PENCEGAHAN AGAR TERHINDAR DARI TROJAN

Pencegahan Agar Terhindar Dari Trojan

Beberapa cara dapat dilakukan untuk menghindari agar tidak terinfeksi Trojan. Salah satu cara masuk Trojan untuk menginfeksi suatu sistem adalah melewati file yang di download. Maka perlu ada perlakuan khusus dengan cara mengkarantina hasil download sebelum yakin bahwa file tersebut benar-benar aman.

Cara lain yang bersifat mencegah (preventif) dan merupakan informasi yang umum yang dapat dilakukan oleh seseorang yang menggunakan komputer untuk berinternet, adalah sebagai berikut.

1. Memilih situs yang benar-benar dapat dipercaya untuk melakukan download. Jangan pernah melakukan download secara sembarangan yang berasal dari seseorang atau situs yang tidak dapat dipercaya.

2. Memastikan bahwa file yang dikirimkan belum pernah dibuka oleh orang lain.

3. Mewaspadai file-file yang ekstensionnya disembunyikan.

4. Memastikan bahwa di dalam komputer tidak ada program yang berjalan secara otomatis atau mode file preview.

5. Jangan selalu merasa aman bila di komputer telah terpasang software anti-virus/trojan scanner,

6. Memastikan bahwa tidak melakukan download program executable “check it out”. Ini adalah sebuah Trojan. Jika program ini dijalankan, maka komputer telah terinfeksi Trojan.

Selain pengetahuan di atas, maka pengetahuan tentang proses berjalannya komputer juga perlu dipahami, khususnya saat sistem komputer menjalankan program untuk pertama kalinya. Dalam beberapa kasus, hal ini digunakan oleh Trojan untuk mengeksekusi dirinya. Paparan berikut sekaligus melengkapi bagian sebelumnya.

Cara komputer menjalankan program untuk pertama kalinya (secara otomatis) adalah sebagai berikut:

1. Start Up Folder

Semua program yang berada di folder ini akan dijalankan secara otomatis ketika Windows dijalankan.

C:\windows\start menu\program\startup

Direktori tersebut tersimpan di dalam registry key :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell

2. Win.ini

[windows]

load=file.exe

run=file.exe

Pada load dan run dapat diisi dengan nama program yang akan dijalankan saat pertama kali Windows dijalankan.

3. System.ini [boot]

Shell=Explorer.exe file.exe

Nama program diletakkan setelah explorer.exe.

4. C:\windows\winstart.bat

Program yang dapat dijalankan di winstart.bat adalah yang mempunyai perilaku seperti bat file.

5. Registry

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunSevices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]

Program yang terdapat pada registry key di atas semuanya dijalankan saat pertama kali Windows berjalan.

6. C:\windows\wininit.ini

Program ini digunakan untuk setup, yaitu akan dijalankan sekali lalu akan dihapus oleh Windows. Sebagai contoh isi dari file ini adalah :

[Rename]

NUL=c:\windows\file.exe

Perintah tersebut akan mengirim c:\windows\file.exe ke proses NUL, yang berarti dihapus. Ini tidak membutuhkan interaksi dari pemakai dan berjalan sepenuhnya di background.

7. Autoexec.bat

Program ini akan berjalan secara otomatis dalam DOS level.

8. Registry Shell Spawning

[HKEY_CLASSES_ROOT\exefile\shell\open\command] @=”\”%1”%*”

[HKEY_CLASSES_ROOT\comfile\shell\open\command] @=”\”%1”%*”

[HKEY_CLASSES_ROOT\batfile\shell\open\command] @=”\”%1”%*”

[HKEY_CLASSES_ROOT\htafile\shell\open\command] @=”\”%1”%*”

[HKEY_CLASSES_ROOT\piffile\shell\open\command] @=”\”%1”%*”

[HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\

command] @=”\”%1”%*”

[HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command] @=”\”%1”%*”

[HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command] @=”\”%1”%*”

[HKEY_LOCAL_MACHINE\Software\CLASSES\htafile\shell\open\command] @=”\”%1”%*”

[HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command] @=”\”%1”%*”

Value key yang sesungguhnya adalah ”\”%1”%*”, jika telah diubah menjadi “file.exe %1%*”, maka file yang berekstensi exe/pif/com/bat/hta akan dijalankan. Sebagian Trojan juga menggunakan registry ini untuk mengaktifkan dirinya.

9. ICQ Net

[HKEY_CURRENT_USER\Software\Mirabillis\ICQ\Agent\Apps\test]

“Path”=”test.exe”

“Startup”=”c:\test”

“Parameters”=””

“Enable”=”Yes”

Registry key di atas akan dijalankan jika IQC net mendeteksi adanya koneksi Internet.

10. Lain-lain

[HKEY_LOCAL_MACHINE\Software\CLASSES\ShellScrap]

@=”Scrap object” ”NeverShowExt”=””

Bagian key ”NeverShowExt” mempunyai fungsi menyembunyikan ekstensi aslinya. Hal ini dapat dimanfaatkan oleh Trojan untuk menyembunyikan dirinya.

Pemakai dapat melakukan pemeriksaan terhadap komputernya dengan cara melihat setting sistem saat pertama kali berjalan. Jika terdapat nama-nama file yang mencurigakan dan bukan merupakan bagian dari sistem yang diinginkan maka patut dicurigai.

MENGHAPUS TROJAN

Menghapus Trojan

Trojan sering memodifikasi file startup, menambahkan atau mengubah baris di sistem registry dan bahkan melakukan overwrite terhadap sistem file untuk meyakinkan mereka dapat dijalankan setiap kali komputer booting. Dengan alasan tersebut, maka untuk menghapus Trojan diperlukan waktu yang cukup lama, kesabaran dan suatu pemahaman apa yang harus dilakukan. Proses menghapus Trojan adalah proses yang penuh dengan bahaya, termasuk membuang registry atau kehilangan kemampuan untuk menjalankan program.

Langkah-langkah sederhana yang dilakukan untuk menghapus Trojan dari komputer adalah :

1.     Mengidentikasi file Trojan di dalam hardisk,

2.     Menemukan bagaimana Trojan mengaktifkan dirinya dan mengambil tindakan yang perlu untuk mencegahnya berjalannya Trojan setelah reboot,

3.     Reboot komputer dan menghapus Trojan,

4.     Mengamati proses penyembuhan dari suatu halaman System Compromise dan membantu penyembuhannya.

 Langkah di atas adalah salah satu pilihan untuk membuang Trojan dari komputer. Ada pendapat lain yang intinya juga menghapus keberadaan Trojan dengan beberapa pilihan. Pilihan-pilihan tersebut memang tidak sempurna, karena varian Trojan sangat banyak. Cara tersebut adalah sebagai berikut:

1. Membersihkan dengan cara instalasi ulang.

2. Pemakaian Software Anti-Virus.

3. Pemakaian Software Trojan Scanner.

4. Memanfaatkan bantuan dari IRC Channels.

Anti Virus (AV) Scanner

Anti-virus berfungsi untuk mendeteksi virus, bukan untuk mendeteksi Trojan. Namun ketika Trojan mulai populer dan menyebabkan banyak masalah, pembuat anti-virus menambahkan data-data trojan ke dalam anti-virusnya. Anti-virus ini tidak dapat mencari dan menganalisa Trojan secara keseluruhan. Anti-virus dapat mendeteksi Trojan berdasarkan nama-namanya yang telah dimasukkan ke database anti-virus.

Anti-virus juga tidak termasuk dalam kategori firewall yang mencegah seseorang yang tidak diundang mengakses komputer orang lain. Program anti-virus tidak dapat sepenuhnya melindungi sistem komputer seseorang dari serangan Trojan tetapi hanya meminimalkan kemungkinan itu.

Trojan Scanner

Sebagian anti-virus dapat mendeteksi keberadaan Trojan melalui pendeteksian nama-nama filenya. Pendeteksian yang efektif adalah menggunakan Trojan Scanner, yang khusus digunakan untuk mendeteksi Trojan. Proses pendeteksian dilakukan dengan cara melakukan scanning terhadap port-port yang terbuka.

Trojan membuka port tertentu sebagai jalan belakang (backdoor) untuk menyerang targetnya. Salah satu contoh trojan scanner adalah Anti-Trojan. Scanner ini memeriksa Trojan dengan melakukan proses :

• port scanning,

• memeriksa registry,

• memeriksa hardisk.

Jika ditemukan adanya Trojan, maka dilakukan penangan dengan beberapa pilihan untuk menghapus Trojan.

Penanganan Pengobatan (Recovery)

Jika dalam suatu komputer telah ditemukan adanya hacking oleh Trojan, maka menghapus atau menutup fasilitas sharing tidaklah cukup. Karena suatu penyerang dapat dengan mudah menciptakan jalan lain (backdoors) ke dalam sistem atau memodifikasi sistem operasi untuk dirinya sendiri. Oleh karena itu hanya ada satu jalan yang nyata untuk mengamankan suatu yang sistem, yaitu meng-install ulang dengan menggunakan program yang asli.

Berikut ini akan disampaikan uraian langkah-langkah yang diperlukan dalam rangka pengobatan/penyembuhan suatu sistem. Langkah-langkah yang diperlukan adalah sebagai berikut:

1. Mengisolasi komputer yang telah terinfeksi.

Untuk mengisolasi komputer, maka semua hubungan dengan komputer tersebut harus diputuskan, baik dengan Internet maupun jaringan lokalnya. Melepaskan kabel jaringan dan mematikan kerja modem. Cara ini berarti memutuskan hubungan antara komputer dengan penyerang. Sebagian orang beranggapan bahwa membiarkan kabel tetap terpasang dan modem dalam kondisi standby telah mengisolasi suatu komputer. Dalam beberapa kasus anggapan tersebut adalah tidak benar. Sebab kondisi tersebut memungkinkan komputer tetap tersambung dengan jaringan.

2. Menemukan masalah-masalah yang serius.

Jika sebuah komputer terpasang dalam suatu jaringan maka ada beberapa resiko yang harus dihadapi. Resiko yang dihadapi mencakup :

• lamanya waktu eksploitasi keamanan yang tidak diketahui,

• tipe jaringan yang digunakan,

• pemakaian dan pemeliharaan anti-virus atau firewall,

• kepastian bahwa suatu program yang akan di-install belum dirubah.

3. Mengawali dengan proses pembersihan

 Menggunakan dan memastikan bahwa program yang akan digunakan asli. Proses pembersihan diawali dengan backup data, kemudian format ulang hardisk dan install ulang program. Dalam penanganan backup data diperlukan prosedur :

• melepaskan hubungan dengan jaringan lain,

• meng-copy file data ke dalam disket atau CD, dan memastikan bahwa Program Files tidak ter-copy,

• memberikan label atau tulisan terhadap data yang telah terinfeksi dan menyimpan di tempat yang aman.

4. Mengamankan sistem dan menggunakan software tambahan

Setelah melakukan proses pembersihan, maka dalam komputer diperlukan tambalan keamanan dengan memasang software anti-virus, trojan scanner atau firewall mutakhir yang berfungsi mengamankan sistem. Sistem operasi yang digunakan menggunakan fasilitas update yang secara otomatis meng-update sistemnya.

5. Restore backup data

Setelah proses instalasi dan pengaturan semua software selesai, proses selanjutnya adalah menempatkan kembali data yang telah di backup. Sebelum data disimpan kembali ke komputer, perlu dilakukan pembersihan dan membuang semua bentuk infeksi. Setelah selesai, maka komputer siap digunakan lagi untuk berinternet. Banyak pengetahuan yang harus diketahui untuk memastikan bahwa selama memakai Internet terbebas dari serangan dari luar atau infeksi lain.

DETEKSI TROJAN

Deteksi Trojan

Kadang-kadang pemakai komputer menganggap normal perilaku komputer yang menjalankan program tertentu dan memakai hardisk dengan kapasitas yang besar. Bahkan tidak curiga karena telah terpasang software anti-virus yang dianggap telah mampu menangkal keberadaan Trojan. Banyak yang mengira bahwa dengan anti-virus yang selalu di update dari situs pembuatnya, maka pemakai telah aman dari masalah di Internet dan tidak akan terinfeksi trojan atau komputernya diakses orang lain. Anggapan tersebut tidak benar, karena banyak jalan dilakukan oleh penyerang untuk menyusup ke komputer korban.

Tanda-tanda terserangnya komputer oleh Trojan dapat diketahui dengan melihat perilaku tampilan komputer dan melakukan deteksi dengan anti-virus maupun trojan scanner. Tanda-tanda yang diperlihatkan oleh tampilan komputer dan patut dicurigai adalah sebagai berikut:

·       Saat mengunjungi suatu situs, terdapat beberapa pop-up yang muncul dan telah mengunjungi salah satu pop-up. Tetapi ketika akan mengakhiri kunjungan (tidak sepenuhnya dikunjungi), tiba-tiba browser mengarahkan dan membuka secara otomatis beberapa halaman tidak dikenal.

·       Tampilan Kotak Pesan yang tak dikenal dan tampak di layar monitor. Pesan berisi beberapa pertanyaan yang bersifat pribadi.

·       Tampilan Windows mengalami perubahan dengan sendirinya, misalnya teks screensaver yang baru, tanggal/waktu, perubahan volume bunyi dengan sendirinya, pointer mouse bergerak sendirinya, CD-ROM drive membuka dan menutup sendiri.

·       Outlook Express menggunakan waktu yang cukup lama saat menutup (close) atau terlihat hang (menggantung) ketika melihat preview-nya,

·        Adanya file yang rusak atau hilang,

·       Program yang tidak diketahui aktif terlihat di task list,

·       Tanda atau informasi dari firewall tentang outbound komunikasi dari sumber yang tidak diketahui.

Sebagian tanda-tanda diatas biasanya dilakukan oleh penyerang tingkat pemula dengan ciri memberikan tanda atau pesan di layar monitor. Hal ini berbeda dengan penyerang tingkat lanjut, ia akan berusaha untuk menutupi dirinya dan menghilangkan jejaknya saat melakukan penyusupan. Penyerang tingkat lanjut melakukan penyadapan dan menggunakan komputer yang infeksi untuk beberapa alasan yang spesifik, serta tidak menggunakan cara-cara seperti penyerang tingkat pemula. Sehingga aktivitasnya diam-diam dan tidak mencurigakan.

Pendeteksian Trojan dapat dilakukan dengan cara-cara sebagai berikut :

1.     Task List

Cara pendeteksiannya adalah dengan melihat daftar program yang sedang berjalan dalam task list. Daftar dapat ditampilkan dengan menekan tombol CTRL+ALT+DEL. Selain dapat mengetahui program yang berjalan, pemakai dapat melakukan penghentian terhadap suatu program yang dianggap aneh dan mencurigakan. Namun beberapa Trojan tetap mampu menyembunyikan dari task list ini. Sehingga untuk mengetahui secara program yang berjalan secara keseluruhan perlu dibuka System Information Utility (msinfo32.exe) yang berada di C:\Program files\common files\microsoft shared\msinfo. Tool ini dapat melihat semua proses itu sedang berjalan, baik yang tersembunyi dari task list maupun tidak. Hal-hal yang perlu diperiksa adalah path, nama file, properti file dan berjalannya file *.exe serta file *.dll.

2.   Netstat

Semua Trojan membutuhkan komunikasi. Jika mereka tidak melakukan komunikasi berarti tujuannya sia-sia. Hal ini adalah kelemahan yang utama dari Trojan, dengan komunikasi berarti mereka meninggalkan jejak yang kemudian dapat ditelusuri. Perintah Netstat berfungsi membuka koneksi ke dan dari komputer seseorang. Jika perintah ini dijalankan maka akan menampilkan IP address dari komputer tersebut dan komputer yang terkoneksi dengannya. Jika ditemukan IP address yang tidak dikenal maka perlu diselidiki lebih lanjut, mengejar dan menangkapnya.

3.   TCP View

TCPVIEW adalah suatu free utility dari Sysinternals yang mempunyai kemampuan menampilkan IP address dan menampilkan program yang digunakan oleh orang lain untuk koneksi dengan komputer pemakai. Dengan menggunakan informasi tersebut, maka jika terjadi penyerangan dapat diketahui dan dapat melakukan serangan balik.

SUMBER-SUMBER TROJAN

Sumber-sumber Trojan

Banyak pemakai komputer/Internet yang mempunyai sedikit pengetahuan tentang asal muasal sebuah Trojan, mereka beranggapan bahwa sumber Trojan hanya dari proses download dan menjalankan server.exe. Sebenarnya banyak jalan atau sumber Trojan untuk menginfeksi komputer seseorang yang berawal dari menggunakan Trojan untuk aktivitas yang tidak sah.

Komputer korban dapat disusupi Trojan dengan berbagai macam cara atau berasal dari sumber-sumber tertentu. Sumber-sumber tersebut adalah sebagai berikut.

1.     ICQ

ICQ adalah media komunikasi yang populer, namun sebenarnya merupakan media yang sangat mungkin mengakibatkan seseorang terkena Trojan, terutama sewaktu seseorang mengirimkan file. Terdapat bug pada ICQ yang memungkinkan seseorang mengirimkan file *.exe ke orang lain, namun file tersebut akan seperti file *.bmp atau *.jpg atau jenis file lain sesuai keinginan. Hal ini sangat berbahaya, pengirim dapat mengirimkan file *.exe tetapi dengan bentuk *.jpg atau *.bmp dan mengatakan bahwa ini foto si pengirim. Penerima akan menerima file tersebut dan menjalankannya dengan rasa aman, karena file yang diterima berupa file gambar. Jika pengirim adalah seorang penyerang, maka dengan mudah menyusupkan file Trojan ke dalam komputer penerima (korban). Hal inilah yang menyebabkan orang ragu menggunakan ICQ.

2.     IRC

Media yang digemari banyak orang adalah chatting menggunakan IRC. Seperti halnya ICQ, IRC media penyebaran Trojan yang efektif. Cara yang digunakan juga hampir sama dengan ICQ, yaitu dengan cara mengirimkan file-file tertentu yang menarik bagi pemakai IRC dan di dalam file tersebut telah disisipkan program Trojan. Tawaran dari pengirim yang sekaligus sebagai penyerang misalnya dengan hal-hal yang bersifat pornografi, software untuk melakukan akses Internet secara bebas, hacking program Hotmail dan sebagainya. Target utama penyerang biasanya adalah pemakai baru Internet (newbies) maupun pemakai lama tetapi belum mengetahui tentang keamanan dalam berinternet.

3.     Attachment

Attachment dalam e-mail juga merupakan media penyebaran Trojan. Banyak penyerang menggunakan media attachment, karena media ini adalah salah satu media yang efektif untuk menyerang korban secara massal dengan cara mengirimkan e-mail. Attachment yang dikirimkan berisi hal-hal yang menarik misalnya pornografi, layanan bebas berinternet, password dan sebagainya. Selain dengan cara tersebut, penyerang juga menggunakan cara lain yaitu dengan menyadap e-mail address dan attachment dari seseorang yang sedang mengirimkan e-mail ke temannya. Setelah disadap oleh penyerang, attachment disisipi program Trojan dan kemudian dikirimkan ke target e-mail. Penerima e-mail akan merasakan bahwa e-mail yang dikirimkan berasal dari temannya dan tanpa ragu-ragu membuka attachment yang telah tersisipi Trojan.

4.     Physical Access

Akses fisik dalam komputer adalah hal yang sangat vital. Media akses fisik adalah dengan disket, Compact Disc (CD) maupun flash ROM. Dengan media tersebut, Trojan dapat menyusup ke dalam komputer dan dapat mengaktifkan dirinya ketika terkoneksi dengan Internet. Caranya adalah dengan menyebar melalui komputer yang telah terinfeksi, kemudian komputer digunakan untuk meng-copy file ke dalam media. Selanjutnya file yang berada dalam media di-copykan lagi ke komputer lain, sehingga komputer tersebut juga terinfeksi. Cara lainnya adalah dengan memanfaatkan fasilitas autorun dalam fungsi pembacaan CD. Saat CD dimasukkan ke CDROM drive, secara otomatis akan membaca fasilitas autorun yang berada dalam Autorun.inf dalam CD, yaitu :

[autorun]

open=setup.exe

icon=setup.exe

Jika sebuah CD dengan fasilitas autorun dan telah disisipi program Trojan, maka sangat mudah bagi penyerang untuk menyusupkan Trojan ke dalam komputer orang lain.

5.     Lubang Software Browser dan E-mail

Dalam penggunaan software aplikasi untuk browser dan e-mail, seringkali pemakai tidak memperhatikan masalah update software. Pemakai enggan memperbaharui versi softwarenya padahal mereka seharusnya melakukan update setiap saat. Hal ini membawa keuntungan bagi penyerang karena pemakaian software versi lama lebih mudah untuk disusupi. Software versi lama tentunya mempunyai banyak kelemahan atau bug jika dibandingkan dengan versi barunya. Misalnya kasus pemakaian software versi lama Internet Explorer yang digunakan untuk mengunjungi sebuah situs malicious, kemudian secara otomatis menginfeksi komputer tanpa melakukan proses download atau menjalankan program apapun. Situs malicious tersebut akan memeriksa secara otomatis software yang digunakan dan mencari kelemahannya. Hal yang sama juga terjadi dalam pemakaian software untuk memeriksa e-mail misal pemakaian Outlook Express versi lama. Oleh karena itu, update software atau menggunakan software versi terbaru perlu dilakukan. Hal ini dapat menekan atau meminimalkan kemungkinan terinfeksinya komputer yang melewati software browser dan e-mail.

6.     Netbios (File Sharing)

File sharing dapat dilakukan dengan cara membuka port 139 . Jika port tersebut terbuka dan diketahui oleh penyerang, maka dapat digunakan sebagai jalan untuk menyusupkan Trojan. Caranya adalah dengan meng-install trojan.exe dan memodifikasi file sistem di komputer korban. Trojan yang telah disisipkan akan aktif setiap kali komputer dihidupkan.

Kadang-kadang penyerang juga melengkapi dengan DoS yang digunakan melumpuhkan kerja komputer. Komputer dipaksa untuk booting ulang, sehingga Trojan dapat mengaktifkan sendiri bersama proses booting.