Bahaya Peretas yang Menetap di Server Anda

Bahaya Peretas yang Menetap di Server Anda – Sebagian besar tim TI dan keamanan siber menghabiskan energi untuk mencegah penyerang masuk ke dalam jaringan.

Namun, insiden terbaru yang diinvestigasi memberikan gambaran jelas mengenai apa yang terjadi setelah penyerang berhasil menembus benteng pertahanan utama, serta mengapa penanganan pasca-peretasan (post-breach cleanup) sama pentingnya dengan tindakan pencegahan.

Setelah mendapatkan akses awal (initial access), penyerang tidak selalu terburu-buru melakukan tindakan destruktif seperti mencuri data, mengenkripsi berkas, atau menyebarkan ransomware.

Sebaliknya, mereka sering kali menghabiskan waktu untuk menetap (dwell), membuat pintu belakang (backdoors), menghapus jejak, dan melumpuhkan alat keamanan yang bertugas mendeteksi mereka.

Artikel ini mengulas insiden nyata dari bulan Juni di mana seorang peretas secara agresif memodifikasi lingkungan sistem target setelah berhasil masuk, serta menyajikan pelajaran berharga bagi para tim bertahan (defenders).

Eksploitasi Celah Klasik SQL Injection

Tim peneliti pertama kali mendeteksi aktivitas mencurigakan yang terikat dengan proses Microsoft SQL Server. Setelah dilakukan analisis mendalam, peretas ternyata tidak menyerang basis data secara langsung dari luar.

Penyerang memanfaatkan celah pada sebuah halaman web yang berjalan di server yang sama. Halaman web tersebut tidak melakukan validasi input pengguna dengan benar, sebuah kerentanan klasik SQL Injection (SQLi).

Celah ini memungkinkan penyerang mengeksekusi perintah untuk mengakses sistem operasi Windows di balik server tersebut.

Catatan Penting: SQL Injection tetap menjadi salah satu kerentanan aplikasi web paling umum dan sebenarnya paling dapat dicegah.

Celah ini terjadi ketika situs web mengambil informasi yang diketik pengunjung (seperti kolom pencarian atau formulir login) dan meneruskannya langsung ke basis data tanpa pemeriksaan keamanan.

Tahap Rekognisi dan Membangun Akses Permanen

Setelah berhasil masuk, penyerang tidak langsung bertindak gegabah. Mereka menjalankan perintah bawaan Windows untuk mendaftar seluruh layanan (services) yang sedang berjalan pada mesin.

Sebuah langkah rekognisi sederhana untuk mengidentifikasi target berharga atau proses yang dapat digunakan untuk menyamarkan aktivitas jahat. Hasil pemindaian tersebut kemudian dikirimkan ke server pengendali (C2) milik penyerang.

Selanjutnya, penyerang secara bertahap mengambil alih kontrol sistem:

Mengaktifkan Remote Desktop (RDP): Menyalakan fitur RDP yang sebelumnya nonaktif.
Membuat Akun Administrator Baru: Membuat akun pengguna baru dan memasukkannya ke dalam grup local Administrators untuk mendapatkan hak akses tingkat tinggi yang tetap bertahan meski sistem di-reboot.
Login via RDP: Masuk ke sistem secara resmi menggunakan akun administrator baru tersebut.
Melumpuhkan Windows Defender: Mematikan antivirus bawaan Microsoft. Namun, penyerang membiarkan alat pemantau keamanan lain (seperti EDR) tetap berjalan—mengindikasikan bahwa mereka kemungkinan tidak menyadari keberadaan EDR atau tidak memiliki cara untuk mematikannya.

Mengubah Web Server Menjadi Senjata

1. Modul BadIIS

Penyerang menginstal beberapa pengaya (add-on) berbahaya pada perangkat lunak web server Internet Information Services (IIS).

Pengaya ini merupakan bagian dari keluarga malware BadIIS, yang biasanya digunakan untuk membajak lalu lintas situs web sah guna manipulasi mesin pencari (search-engine fraud), mengalihkan pengunjung, menyisipkan tautan tersembunyi, atau menampilkan konten palsu.

Taktik ini secara efektif mengubah server web korban menjadi alat untuk memanipulasi peringkat pencarian dan lalu lintas iklan tanpa sepengetahuan pemilik situs.

2. Penambangan Kripto (XMRig)

Penyerang juga menyudutkan program penambang mata uang kripto (cryptocurrency miner) XMRig ke dalam mesin untuk memanfaatkan daya pemrosesan server target demi keuntungan finansial penyerang, sementara biaya listrik ditanggung oleh korban.

Untuk menyembunyikan miner tersebut, penyerang:

Menyamarkan Berkas: Mengubah atribut berkas menjadi hidden, system, dan read-only agar tidak muncul saat diperiksa secara kasual melalui File Explorer.
Menjalankan sebagai Service: Mengatur miner agar berjalan sebagai Windows service menggunakan alat admin sah yang tersedia secara gratis, memastikan program berjalan otomatis saat sistem menyala.
Alat Anti-Deteksi: Menginstal alat tambahan untuk membantu malware menghindari deteksi sistem keamanan.

Eksekusi Skrip PowerShell Siluman

Selama aksi berlangsung, penyerang mengunduh serangkaian skrip PowerShell dan berkas batch dari server eksternal.

Mereka menggunakan teknik eksekusi PowerShell siluman: berjalan tanpa jendela (no visible windows), tanpa perintah keamanan (no security prompts), dan melewati pembatasan kebijakan eksekusi skrip (script execution policies).

Yang menarik perhatian analis Huntress bukanlah satu teknik yang mutakhir, melainkan banyaknya perubahan dan modifikasi agresif yang dilakukan oleh satu penyerang ini pada satu mesin tunggal.

Pelajaran Penting Bagi Tim Pertahanan

Sering kali kita merasa memiliki “keunggulan kandang” (home field advantage) karena kita adalah pemilik dan pengelola sistem. Namun, tanpa rencana pengamanan dan pemantauan yang solid, penyerang yang berhasil masuk dapat membalikkan keunggulan tersebut dan mengubah lingkungan sistem sesuai tujuan mereka.

Pelajaran Terbesar: Menemukan dan memperbaiki titik masuk utama (entry point) sama pentingnya dengan membersihkan malware yang ditinggalkan penyerang.

Dalam kasus ini, pintu masuknya adalah kolom input yang tidak terintegrasi dengan validasi (SQL Injection). Jika tim keamanan hanya menghapus akun baru, mematikan miner, dan menghapus modul BadIIS tanpa memperbaiki celah SQL Injection di aplikasi web, penyerang dapat dengan mudah masuk kembali melalui pintu yang sama.

Langkah Praktis Mitigasi

Ketahui Aset Anda: Buat dan perbarui secara berkala inventarisasi seluruh sistem fisik/virtual, aplikasi, dan versi yang digunakan di lingkungan organisasi Anda.
Kurangi Area Serangan (Attack Surface): Tutup atau hapus layanan dan aplikasi yang terekspos jika tidak benar-benar dibutuhkan.
Perketat Akses: Terapkan prinsip least privilege dan wajibkan penggunaan Autentikasi Multi-Faktor (MFA) sebagai standar.
Pembaruan & Pemantauan Rutin: Pastikan setiap aplikasi aktif diperbarui (patching) secara rutin dan masuk dalam cakupan pemantauan EDR/SIEM.
Investigasi Akar Masalah (Root Cause Analysis): Saat menangani insiden, jangan berhenti setelah berhasil menghapus malware. Cari tahu secara pasti bagaimana penyerang pertama kali masuk, dan gunakan temuan tersebut untuk memperkuat pertahanan ke depan.