Analisis Serangan Flame Pada Ancaman Sabotase Sistem

Jaringan Komputer

Artikel Ilmiah

Peneliti :

Raden Bagus Dhana Pradana Adi (672010220)

Dr. Irwan Sembiring, S.T., M.Kom.

Program Studi Teknik Informatika

Fakultas Teknologi Informasi

Universitas Kristen Satya Wacana

Salatiga

Januari 2016

i

ii

iii

iv

v

Analisis Serangan Flame Pada Ancaman Sabotase Sistem

Jaringan Komputer 1) Raden Bagus Dhana Pradana Adi, 2) Irwan Sembiring

Fakultas Teknologi Informasi

Universitas Kristen Satya Wacana

Jl. Diponegoro 52 – 60, Salatiga 50771, Indonesia

Email : 1) radenbagusdhana@gmail.com, 2) irwan@staff.uksw.edu

Abstract

Alongside with world’s development, computer network being an equipment that has a

lot of function for human’s life. This makes a computer network be a target for hackers to

do something like breaking a computer network. If the hackers had managed to get into

the computer network, a lot of things that hackers can do, like spreading a malware that

can do a sabotage or stealing data from computers that connected to network. One

example of malicious malware is Flame a.k.a Skywriper. Flame was first discovered

attack on a nuclear reactor in Iran. Flame malware is a malware that can steal data and

also sabotage an infected computer. In this research, learn how to work from flame

malware, characteristic from flame malware, and also the effects if flame infect a

computer.

Abstrak

Seiring dengan perkembangan dunia, jaringan komputer sudah menjadi alat yang sangat

berguna bagi kehidupan manusia. Hal ini menjadikan suatu jaringan komputer menjadi

sasaran bagi para peretas untuk melakukan suatu upaya untuk membobol jaringan

komputer tersebut. Apabila para peretas sudah berhasil masuk ke dalam jaringan

komputer, banyak hal yang dapat dilakukan oleh peretas tersebut seperti menyebarkan

malware yang dapat melakukan sabotase maupun mencuri data – data komputer –

komputer yang terhubung ke dalam jaringan. Salah satu contoh malware yang berbahaya

adalah Flame Malware atau Skywriper. Flame Malware merupakan suatu malware yang

pertama kali ditemukan menyerang pada reaktor nuklir di Iran. Flame malware

merupakan suatu malware yang dapat mencuri data – data dan juga mensabotase

komputer yang terjangkit oleh flame malware. Dalam penelitian ini mempelajari

bagaimana cara kerja dari flame malware, ciri – ciri dari flame malware serta efek yang

ditimbulkan bila terjangkit virus flame.

Kata Kunci : Jaringan Komputer, Peretas, Flame Malware, Virus, sabotase 1) Mahasiswa Program Studi Teknik Informatika, Fakultas Teknologi Informasi, Universitas

Kristen Satya Wacana Salatiga

2) Staff Pengajar Fakultas Teknologi Informasi, Universitas Kristen Satya Wacana Salatiga

1

1. Pendahuluan

Jaringan komputer saat ini sudah sangat luas, baik menggunakan kabel

maupun nirkabel. Arus lalu lintas data datang dan pergi dari tiap – tiap jaringan

komputer yang saling terhubung. Keamanan pada jaringan komputer saat ini pun

sudah mulai canggih, tetapi masih perlu ditingkatkan lagi dalam beberapa hal.

Saat ini semakin banyak serangan – serangan yang dilancarkan melalui media

jaringan komputer baik melalui internet maupun melalui jaringan lokal.

Penyerangan yang dilakukan dapat berupa penyadapan, pencurian data – data

yang rahasia, perusak sistem komputer, dan lain – lain.

Semakin berkembangnya teknologi keamanan jaringan yang mengurangi

terjadinya serangan – serangan pada jaringan komputer membuat segelintir orang

yang berkecimpung pada dunia cybercrime mengembangkan suatu serangan yang

lebih canggih. Serangan yang berkembang yang diberi nama Flame ini merupakan

serangan yang menyerang suatu komputer yang terhubung pada jaringan

komputer. Flame sendiri ditemukan pada tahun 2012 dimana flame malware

pertama kali menyerang reactor nuklir milik Iran dan sejumlah negara di timur

tengah. Flame merupakan sejenis malware yang terbilang rumit karena berbeda

dari malware – malware pada umumnya. Penyebab malware ini berbeda dari yang

sebelumnya adalah malware ini memiliki besaran data yang terbilang besar untuk

sebuah malware[1].

Mencakup luasnya penelitian ini, pembahasan dari penelitian ini hanya

mencakup analisis serangan flame terhadap komputer, kinerja dan pendeskripsian

apa flame itu, ciri – ciri flame serta dampak dari flame terhadap proses komputer,

serta fungsi dari tiap modul flame.

2. Kajian Pustaka

Penelitian terdahulu mengenai flame seperti yang dilakukan oleh Crysys Lab

di Budapest dengan judul “Skywiper (a.k.a. flame a.k.a flamer): a complex

malware for targeted attacks” flame merupakan suatu malware yang kompleks

karena memiliki banyak modul dengan ukuran seluruhnya mencapai 20MB.

Modul – modul yang dimiliki flame mempunyai fungsi – fungsi yang berbeda –

beda[1].

2.1 Malware

Malware merupakan suatu program berbahaya yang dibuat untuk

disusupkan pada suatu sistem dengan tujuan untuk melakukan berbagai

macam aktivitas dimana aktivitas – aktivitas yang dilakukan suatu malware

bersifat merugikan. Sifat malware yang merugikan dapat mengakibatkan

suatu sistem yang diserang oleh malware bekerja tidak seperti biasanya,

sistem bekerja lebih lambat, ada pula suatu malware yang dapat merusak

dan menghancurkan data – data penting sehingga data tersebut tidak bisa

digunakan sebagaimana mestinya. Malware saat ini berkembang juga sebagi

suatu alat untuk melakukan sabotase - sabotase yang dibuat oleh suatu

negara. Seperti halnya flame, yang diindikasikan dibuat oleh suatu negara

2

untuk menyerang reaktor nuklir di Iran, karena terlihat dari struktur malware

flame itu sendiri yang sangat kompleks dan besar kemungkinan flame dibuat

oleh negara yang memiliki modal SDA dan SDM yang memungkinkan.

Dari pengertian diatas merupakan pengertian umum tentang malware,

yaitu program yang bertujuan negatif yang dibuat untuk merugikan orang

lain yang sistem komputernya terserang oleh malware. Pengertian malware

tersebut dirujuk dari pengertian malware menurut Christodorescu (2005)

malware merupakan sebuah program yang memiliki tujuan jahat. Istilah

malware digunakan sebagai nama generik untuk kode yang memiliki kelas

yang berbahaya, termasuk virus, Trojan, worm, dan spyware. Pembuat

malware menggabungkan libraries, dan meminjam kode dari malware yang

lain. Dan beberapa pembuat malware mengambil waktu untuk membaca

dan memahami sebuah jaringan untuk dapat melakukan pendekatan (Arief

dan Besnard, 2003)[2].

2.2 Virus

Virus tidak lain adalah merupakan sebuah perintah yang ditulis

dengan bahasa pemrograman tingkat tinggi, seperti Visual Basic, C, C++,

atau java yang diterjemahkan menjadi bahasa asli komputer (bahasa biner).

Karakteristik dari virus adalah virus dibuat agar aktif, dimana virus dapat

berpindah – pindah dari komputer ke komputer lain dengan kemauan dari

virus itu sendiri maupun sebagai parasit yang melampirkan dirinya sendiri

ke dalam suatu proses pada komputer dan mengikuti kemana program

komputer itu berjalan (Peter Gregory, 2004)[3]. Sedangkan menurut

Michael Davis (2004), virus merupakan program yang dibuat untuk

mengubah sistem suatu yang sudah ditargetkan tanpa sepengetahuan

penggunanya. Untuk mencapai tujuannya atau suatu efek samping untuk

mencapai tujuannya, virus dapat menggandakan dirinya ke berbagai lokasi

penyimpanan yang terlampir dan kelain komputer yang terhubung pada

jaringan komputer, memodifikasi sistem pada disk atau memory dari objek,

atau mengganggu operasi dari suatu sistem yang normal dalam beberapa

cara[4].

Kebanyakan virus memiliki muatan yang berisi instruksi yang berguna

untuk menggerakkan virus sebagai tambahan dari karakteristik virus yang

dapat menyebar dari komputer ke komputer. Muatan instruksi tersebut

biasanya dipicu oleh beberapa event seperti tanggal tertentu, waktu tertentu,

atau juga saat kita mengaktifkan suatu file. Instruksi / dalam virus bervariasi

hasilnya, seperti menampilkan pesan untuk menghapus file – file penting,

mengkomunikasikan informasi pribadi Anda kepada pihak ketiga yang tidak

diketahui, atau mengirim pesan e – mail yang memalukan dalam nama

pengguna komputer yang sah.

Dari kedua pendapat para ahli tersebut mengandung makna yang sama

virus dibuat untuk merubah sistem komputer sehingga mengacaukan kinerja

dari sistem komputer yang terjangkit virus. Tidak hanya itu saja, virus juga

dapat mengacaukan pengguna komputer dengan menipu agar menghapus

file – file yang penting melalui pesan – pesan yang dimunculkan oleh virus

3

tersebut, dan juga dengan merusak ataupun menyembunyikan file maupun

folder pada suatu komputer sehingga pengguna tidak dapat mencari dimana

file – file mereka berada.

2.3 Trojan

Malware memiliki beberapa jenis yang memiliki peran atau fungsi

yang berbeda – beda, diantaranya adalah malware bernama Trojan. Trojan

merupakan sebuah bentuk perangkat lunak yang berbahaya (malicious

software) atau biasa disebut malware yang dapat merusak sebuah sistem

atau jaringan. Trojan dibuat dengan tujuan untuk mencuri suatu informasi

yang dapat berupa (password, sistem log file, data, dan lain – lain), dan juga

bahkan mengendalikan target yang terinfeksi Trojan.

Trojan dengan fungsinya sebagai program yang dapat merusak

memiliki cara kerja yang sederhana. Secara kasat mata, Trojan menjalankan

suatu program yang menarik dan tampak tidak berbahaya. Hal ini yang

menyebabkan pengguna yang tertarik dan tidak mengetahui kegunaan lain

dari program yang sedang dia gunakan akan mengurangi tingkat

kewaspadaannya terhadap suatu malware.

Menurut penulis buku Hacking Exposed Malware and Rootkits,

Michael A. Davis, dkk, bahwa Trojan merupakan sebuah program yang

memiliki suatu fungsi tertentu, tetapi juga mempunyai fungsi yang tidak

dinginkan atau tidak diketahui yang biasanya memberikan seseorang suatu

akses remote tanpa izin ke komputer atau mendownload malware

tambahan.[4] Sedangkan menurut (Peter Gregory, 2004) dalam bukunya

yang berjudul Computer Viruses For Dummies menjelaskan bahwa Trojan

merupakan sebuah program yang merusak yang menyamar sebagai program

jinak. Trojan seringkali berada pada e – mail, dimana teks dalam pesan e –

mail biasanya berisi seperti, “Your e – card has arrived, click here to open.”

Mungkin, pada kenyataanya, menjadi e – card, tetapi untuk menjadi suatu

Trojan program ini juga akan memiliki karakteristik yang merusak, seperti

merusak dan menghapus file maupun direktori[3].

Jika dibandingkan dari pengertian Trojan dari kedua ahli di atas

memiliki pemahaman yang sama tentang Trojan, dimana Trojan merupakan

suatu program yang dibuat dengan memiliki fungsi yang negatif dimana

diantaranya berguna untuk melakukan pencurian data dan meretas hak akses

suatu komputer. Bila dilihat dari fungsi dari Trojan sendiri memang dapat

dikatakan bahwa Trojan termasuk ke dalam jenis malware karena memiliki

sifat yang merusak pada suatu sistem komputer.

2.4 Worms

Worms adalah kumpulan coding bahasa pemrograman yang memiliki

tujuan untuk memperlambat kerja komputer. Konsep kerja dari worm,

pertama ia mencari celah untuk masuk kedalam suatu komputer yang belum

4

terinfeksi oleh worm. Hal ini bisa dilakukan dengan menyisipkan coding

worm pada suatu file yang menarik user untuk mendownload file tersebut.

Menurut Bayu Krisna, Jim Geovedi (2009 :1) menyatakan bahwa

cacing – cacing di internet (worm) adalah yang mampu melakukan

penggandaan diri dan menyebar dengan memanfaatkan kelemahan –

kelemahan sekuriti (security flaws) pada services yang umum digunakan.

Sedangkan menurut eWolf Community (2010 : 11) menyatakan bahwa

“Worms (cacing) merupakan program kecil yang dapat mereplikasi dan

menyebarkan dirinya melalui media jaringan”. Sebuah salinan worm akan

berusaha mencari (scanning) jaringan untuk menyebarkan dirinya ke

komputer lain melalui celah keamanan tertentu, dan begitu pula seterusnya,

hinggaworm dapat menguasai seluruh komputer dalam sebuah jaringan[5].

2.5 Spyware

Spyware adalah produksi yang memungkinkan pengumpulan

informasi mengenai konputer pengguna, memplihatkan iklan, atau

menggunakan kebiasaan web – browser untuk keuntungan finansial bagi

pembuat spyware tersebut. Biasanya beberapa spuware programs mengubah

hasil search engine menjadi iklan. Spyware biasanya ter – install sebagai

trojan horses[6].

2.6 Rootkit

Rootkit adalah sekumpulan program yang bertujuan untuk

menyembunyikan file, folder, port yang terbuka, registry key, driver dan

proses yang sedang berjalan di tempat dia bernaung. Tujuan dari rootkit

adalah untuk menyediakan jalan bagi attacker agar aktifitasnya tidak

terdeteksi dan tersembunyi. Jika karakteristik virus dan worm didefinisikan

oleh satu katta “replication”, maka rootkit dapat didefinisikan “stealth”.

Virus mereproduksi, sedangkan rootkit menyembunyikan diri[7].

2.7 Backdoors

Backdoors adalah suatu metode untuk melewati proses autentikasi

atau kontrol keamanan lainnya supaya dapat mengakses suatu sistem

komputer atau data yang terdapat di dalam sistem. Backdoors bisa berada

pada level sistem, berupa suatu algoritma kriptografi atau berada di dalam

suatu aplikasi[8].

2.8 Botnet

Botnet adalah jaringan komputer yang terinfeksi berbagai macam

serangan. Komputer yang terinfeksi ini disebut zombie dan mereka akan

dikontrol oleh botmaster. Botmaster mampu mengirimkan perintah untuk

5

zombie ini dengan berbagai macam jalan dan meluncurkan berbagai macam

jenis tindakan kriminal dalam jaringan seperti stealing personal identity,

meluncurkan serangan Distributed Denial of Service (DdoS), mengirim

spam email atau scanning aktivitas. Botnet mampu menyebar dalam

jaringan komputer tanpa diketahui siapa user dan di mana lokasinya[9].

3. Metode Perancangan Sistem

Metode penelitian yang akan digunakan dalam analisis malware flame

adalah sebagai berikut :

1) Studi pustaka

2) Perancangan sistem

3) Praktek dan analisis

Tahap pertama : studi pustaka merupakan proses dimana dilakukannya

pengumpulan data melalui buku, jurnal, maupun artikel yang berkaitan dengan

keamanan jaringan komputer, malware, virus, flame, serta penelitian – penelitian

terdahulu tentang cara kerja dan ciri – ciri umum dari malware.

Tahap Kedua : perancangan sistem merupakan proses yang meliputi

perancangan proses kerja flame dan bahan yang diperlukan untuk dapat

menganalisis kerja dari flame, seperti contoh malware flame, virtual komputer

dengan operating system Windows XP, aplikasi pendukung untuk memonitoring

proses komputer dan juga untuk melihat fungsi – fungsi modul pada flame

malware.

Tahap Ketiga : Praktek dan analisis, yaitu proses dilakukannya pengujian

dengan cara menganalisa cara kerja dari malware flame saat menjangkit suatu

komputer, memonitor proses sebelum dan sesudah terjangkit, menganalisa fungsi

tiap modul, dan menganalisa akibatnya.

Untuk melakukan pengujian, hardware dan software yang digunakan adalah

aplikasi Vmware untuk menginstall virtual operating system Windows XP, dan

pada Windows XP digunakan aplikasi untuk memonitoring tiap – tiap proses dan

servis yang berjalan pada windows xp.

4. Hasil dan Pembahasan

Malware bisa bersumber dari mana saja, namun kebanyakan malware

menyebar melalui internet. Malware bisa menyebar melalui internet, seperti di

dalam email, file – file yang tertanam malware, aplikasi yang tertanam malware,

serta serangan seseorang yang ingin menanamkan malware pada suatu komputer.

Flame malware awal menyerang melalui jaringan internet seperti dari email

dan dari website yang mengandung flame. Sumber penularan flame bila suatu

jaringan komputer sudah terinfeksi dapat melalui sebuah flashdisk dan juga

komputer yang terjangkit yang berada di dalam suatu jaringan.

6

Gambar 1 Penyerangan flame malware

Pada Gambar 1 menunjukkan sumber infeksi awal dari flame berasal dari

jaringan internet seperti website dan email, dan sumber infeksi lanjutan adalah

melalui flashdisk dan juga komputer yang sudah terjangkit flame sebelumnya.

Setelah flame menginfeksi komputer yang berada pada jaringan komputer seperti

jaringan LAN , maka komputer lainnya yang terhubung pada jaringan tersebut

dapat terserang flame. Flame juga akan menginfeksi usb flashdisk yang terpasang

pada komputer yang terinfeksi sehingga flame dapat menyebar pada komputer –

komputer lainnya yang menggunakan flashdisk yang terinfeksi.

4.1 Modul Utama Flame

Flame memiliki banyak sekali modul yang bekerja dan terpasang pada

komputer target secara terus menerus. Modul utama dari flame adalah

msscemgr.ocx dimana modul itu yang pertama kali dijalankan oleh

komputer target. Modul utama memiliki dua ukuran yang berbeda, ukuran

yang terbesar sekitar 6 Mb yang mengandung semua modul yang memiliki

versi paling akhir yang di unduh dari C&C server. Modul utama ukuran

kecil sekitar 900Kb yang hanya mengandung isi malware biasa tanpa ada

modul lainnya sehingga modul yang belum ada akan diunduh melalui

internet dari C&C server. Modul yang sudah diunduh akan diinstall di

%windir%\system32\ dengan nama mssecmgr.ocx, advnetcfg.ocx,

msglu32.ocx, nteps32.ocx, soapr32.ocx, ccalc32,sys, boot32drv.sys, dan lain

– lain.

7

Gambar 2 Modul – modul yang berkaitan dengan flame[1]

Dari Gambar 2 terdapat banyak modul yang berkaitan dengan flame

yang dipisahkan berdasarkan tipe, yang memiliki fungsi yang berbeda –

beda, serta bagaimana beberapa file itu dibuat dan disandikan (enkripsi

maupun terkompresi). Berikut ini kumpulan modul – modul flame beserta

hash nya :

Tabel 1 Modul flame beserta Hash nya[1]

MODUL MD5

advnetcfg.ocx BB5441AF1E1741FCA600E9C433CB1550

advnetcfg2.ocx 8ED3846D189C51C6A0D69BDC4E66C1A5

boot32drv.sys C81D037B723ADC43E3EE17B1EEE9D6CC

ccalc32.sys 5AD73D2E4E33BB84155EE4B35FBEFC2B

msglu32.ocx D53B39FB50841FF163F6E9CFD8B52C2E

mssecmgr.ocx BDC9E04388BDA8527B398A8C34667E18

nteps32.ocx C9E00C9D94D1A790D5923B050B0BD741

soapr32.ocx 296E04ABB00EA5F18BA021C34E486746

4.2 Aktivasi dan Penyebaran

Flame dapat diaktifkan dengan dua cara yang berbeda yaitu :

1. Mengatur mssecmgr.ocx pada bagian registry.

2. Menjalankan malware dengan menggunakan perintah rundll32

dengan perintah sebagai berikut : start /wait rundll32.exe

c:\windows\system32\mssecmgr.ocx, DDEnumCallback

8

Gambar 3 Pengaktifan flame melalui CMD

Gambar 4 Pengaktifan flame melalui registry.

9

Pada penelitian ini, pengaktifan flame dilakukan melalui registry¸

diamana pada HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

pada bagian Authentication Packages dirubah value data dengan

menambahkan modul mssecmgr.ocx ke dalamnya. Hal ini bertujuan agar

mssecmgr.ocx dapat berjalan pada saat sistem baru menyala. Pada saat

komputer baru menyala, modul mssecmgr.ocx akan berjalan semagai LSA

Authentication Package.

Gambar 5 Alur kerja pengaktifan flame

Pada Gambar 5 dapat dijelaskan bagaimana alur saat flame aktif. Pada

saat komputer target menyala pertama kali, proses startup yang dilakukan

oleh registry dan rundll32.exe akan menjalankan modul mssecmgr.ocx.

10

Setelah berjalan, modul mssecmgr.ocx akan disalin ke dalam file

wavsup3.drv di direktori c:\Program Files\Common Files\Microsoft

Shared\MSAudio\Wavsup3.drv. Pada proses Winlogon.exe, menjalankan

dua modul dari flame yaitu Nteps32.ocx yang dibuat dari modul utama,

berfungsi untuk merekam informasi dan melihat hasil screenshot serta

memonitor beberapa nama domain email. Winlogon.exe juga menjalankan

modul ccalc32.sys yang akan tersimpan pada c:\windows\system32\

direktori setelah proses services.exe membuatnya. Proses selanjutnya yang

akan digunakan untuk pengaktifan dan penyebaran flame adalah

services.exe, dimana pada services.exe modul Nteps32.ocx sama seperti

pada winlogon.exe dan Advnetcfg.ocx yang berfungsi untuk mengambil

screenshot ditanamkan. Pada services.exe membuat modul ccalc32.sys dan

boot32drv.sys yang disimpan pada direktori system32. Modul ccalc32.sys

yang dibuat oleh proses service.exe nantinya yang akan dijalankan pada

proses winlogon.exe. Boot32drv.sys berisi file data yang terenkripsi denga

algoritma XOR denga 0xFF. Flame juga menginjeksi kodenya pada proses

eplorer.exe yang nantinya proses tersebut akan menjalankan proses

iexplorer.exe. iexplorer.exe nantinya akan menjalankan modul wpgfilter.dat

Pada proses awal pengaktifan modul utama, flame membuat direktori

MSSecurityMgr pada c:\Program Files%\Common Files\Mi crosoft Shared\

yang nantinya akan diisi dengan file mscrypt.dat, wpgfilter.dat,

wavsup32.drv, audcache, dan audfilter.dat. Pada saat menginjeksian modul

pada proses services.exe, flame memanggil file sistem shell32.dll dan

membajak isinya, lalu menjalankan isi dari wpgfilter.dat ke dalam

shell32.dll serta menjalankan isi – isi dari audcache dan wavsup3.drv ke

dalam shel32.dll. setelah itu barulah modul – modul lain dari flame seperti

nteps32.exe, comspol32.ocx, advnetcfg.ocx, boot32drv.sys, dan msglu32.ocx

akan dibuat dan disimpan pada system32. Pada proses itu pula flame

memodifikasi waktu pembuatannya seperti dalam kernel32.dll untuk

mencegah terdeteksi.

Flame yang memanggil file sistem shell32.dll melalui proses

penanaman kode dan membajak isinya, memperbolehkan shell32.dll untuk

membuat proses iexxplorer.exe. kemudian isi dari netps32.ocx dan

ccalc32.sys akan dimuat ke dalam shell32.dll. Setelah itu wavsup32.drv

dimuat dan flame akan mengecek sistem servis registry dan

menghubungkan ke server windows update yang kemudian akan terhubung

ke server virus.

11

Gambar 6 Registry LSA yang sudah dimodifikasi

Gambar 7 Modul yang tidak diketahui fungsinya berjalan pada explorer.exe

12

Pada Gambar 7 merupakan proses Explorer.exe yang terdapat suatu

modul yang tidak diketahui fungsi dan asalnya. Hal ini dapat dilihat dengan

menggunakan aplikasi process monitor.

4.3 Analisa Fungsi Modul Flame

Beberapa modul flame memiliki ciri khas dan fungsinya masing –

masing sehingga dapat bekerja dengan baik. Untuk mengetahui ciri khas

maupun fungsi dari tiap – tiap modulnya adalah dengan menggunakan

aplikasi IDA pro (Interactive Dissambler). Dengan aplikasi IDA dapat

mengetahui struktur dari setiap modul flame, mulai dari hex view, hasil dari

dissambler modulnya, dan semua fungsi – fungsi dari kode yang ada di

modul flame yang akan diteliti.

1. Mssecmgr.ocx

Mssecmgr.ocx merupakan modul utama dalam struktur malware

flame, dimana berfungsi sebagai modul penginjeksi pertama yang

bekerja dalam proses pengaktifan flame. Mssecmgr.ocx setelah aktif

akan merubah key registry HKEY_LOCAL_MACHINE\SYSTEM \ Lsa

pada bagian Authentication Packages dengan memasukan dirinya ke

dalam value nya (Authentication Packages = default +

mssecmgr.ocx).

Gambar 8 Fungsi yang di Import pada modul mssecmgr.ocx

13

Dari Gambar 8 dapat terlihat bahwa terdapat fungsi yang akan

memodifikasi sektor LSA (Local Security Authority), seperti

menambah akun untuk user, merubah aturan tiap – tiap user, melihat

seluruh informasi dari sektor LSA.

2. Advnetcfg.ocx

Advnetcfg.ocx merupakan bagian dari modul yang ditanamkan

ke dalam proses komputer. Modul ini memiliki fungsi sebagai pencuri

informasi seperti screenshots dan lainnya.

Gambar 9 Beberapa fungsi yang ada pada Advnetcfg.ocx

Pada Gambar 9 yang merupakan beberapa contoh dari fungsi

yang ada di advnetcfg.ocx yang terlihat menggunakan aplikasi IDA.

Pada baris ke – 107 dari 233 baris terdapat suatu fungsi

CreateToolhelp32Snapshot yang berfungsi untuk mengambil snapshot

dari suatu proses beserta heap-nya, modulnya, serta threads yang

digunakan oleh proses itu.

3. Msglu32.ocx

Modul ini berfungsi untuk melewati beberapa file dalam sistem,

membaca secara spesifik informasi dari suatu data, menulis informasi

yang didapat ke dalam database SQL, dan juga mengumpulkan

domain yang berhubungan dengan informasi.

14

Gambar 10 Fungsi msglu32.ocx yang berguna untuk menyimpan data ke dalam

databes SQL

Dari Gambar 10 terdapat fungsi dengan library ODBC32 yang

semua fungsinya mengandung hal yang berkaitan dengan database,

dimana fungsi dari modul msglu32.ocx memang memakai database

sebagai media penyimpanan informasi yang didapat seperti informasi

tentang network interface, domain, dan juga proses yang berjalan.

4. Nteps32.ocx

Nteps32.ocx dibuat oleh modul utama yang memiliki fungsi

untuk merekam kunci informasi, menangkap screenshots, dan

memonitor beberapa domain email.

15

Gambar 11 Fungsi pada modul nteps32.ocx

Pada Gambar 11 terdapat fungsi GetDiBits dengan library

GDI32 yang berfungsi sebagai pengatur Bitmap image yang nantinya

akan dijadikan hasil dari screenshots.

5. Soapr32.ocx

Soapr32.ocx adalah modul yang memiliki fungsi untuk

mengumpulkan informasi seperti software yang sudah terinstall,

jaringan konputer, WIFI, USB, dan waktu dan zona waktu serta

tentang jaringan dasar untuk penyebaran.

16

Gambar 12 Fungsi modul soapr32.ocx untuk melihat direktori windows dan disk

drive.

Pada Gambar 12 terdapat fungsi untuk melihat direktori

windows sehingga modul dapat melihat aplikasi yang sudah terinsall

(GetWindowsDirectory) dan terdapat fungsi GetDriveType untuk

menunjukkan suatu disk drive merupakan removable, fixed, CD-Rom,

RAM, atau network drive.

Gambar 13 Fungsi untuk melihat device printer.

Pada Gambar 13 terdapat fungsi yang menyebutkan ketersediaan

printer, print servers, domains, atau print provider.

4.4 Pencegahan Terhadap Serangan Flame

Pencegahan yang dapat dilakukan agar komputer selalu terlindungi

dari serangan flame adalah dengan selalu menyalakan firewall pada

komputer, terutama operating system berbasis Windows XP, menggunakan

Antivirus yang terpercaya karena sudah banyak antivirus – antivirus yang

sudah mampu mengatasi flame. Nyalakan fitur internet security jika

terkoneksi dengan internet, sehingga dapat meminimalisir serangan

malware dari jaringan internet.

17

4.5 Dampak Terkena Flame

Dampak yang terlihat saat komputer terjangkit flame dapat dilihat dari

perbedaan 2 sistem komputer berbasis windows xp berikut ini :

1. Dilihat dari sistem registry nya, terdapat perbedaan dimana pada

komputer yang terjangkit flame terjadi perubahan pada key

authentication packages.

Gambar 14 : Registry sebelum terkena flame

Gambar 15 : Registry setelah terkena flame

2. Dilihat dari proses yang sedang berjalan, pada proses explorer.exe

terdapat suatu proses yang fungsinya tidak diketahui seperti pada

Gambar 7.

18

5. Simpulan dan Saran

Kesimpulan dari penelitian ini adalah sebagai berikut :

1. Penelitian ini dilakukan agar berguna untuk lebih mengetahui apa itu

malware beserta jenisnya, terutama flame malware. 2. Dari penelitian ini dapat diketahui ciri – ciri dari flame seperti

bagaimana cara kerja, modul – modul apa saja yang terdapat di dalam

flame, serta fungsi dari tiap – tiap modulnya. 3. Urutan pengaktifan dari flame sendiri juga dapat diketahui dari

penelitian yang dilakukan. 4. Dapat mengetahui dan menganalisa tiap – tiap modul dengan aplikasi

IDA sehingga dari contoh flame beserta modulnya dapat dilihat fungsi

– fungsi yang menyusun flame itu sendiri.

5. Dampak dari suatu komputer yang terkena flame adalah adanya data

– data pada komputer yang tercuri seperti password, screenshot, serta

file – file penting yang ada di dalam komputer yang terinfeksi.

Dan saran untuk penelitian ini adalah untuk bisa mempelajari lebih rinci

tentang flame diperlukan waktu yang lama untuk mempelajari bahasa

permrograman seperti C++ dan LuA, serta diperlukan keahlian untuk membaca

bilangan biner dan hexadecimal.

Untuk melanjutkan penelitian tentang flame penulis menyarankan agar

dapat memecahkan algoritma – algoritma yang digunakan untuk mengenkripsi

tiap modul flame

19

Daftar Pustaka

[1] Laboratory of Cryptography and System Security. (2012). Skywiper (a.k.a.

flame a.k.a flamer): a complex malware for targeted attacks. Unpublished

raw data, Departement of Telecomunications, Budapest University of

Technology and Economics, Budapest, Hungary. Retrieved from

http://www.crysys.hu/skywiper/skywiper.pdf.

[2] Verma, Aparna., et al. 2013. “A Literature Review on Malware and Its

Analysis”. IJJR, Vol: 5, Nomor: 16, Agustus 2013.

[3] Gregory, Peter. 2004. “Computer Viruses For Dummies”. Indianapolis.

Wiley Publishing.

[4] Davis, Michael., et al. 2009. “Hacking Exposed Malware and Rootkits :

Malware and Rootkits Secrets and Solutions”. McGraw – Hill Education.

New York.[

[5] Siregar, Iksan Irfansyah. 2014. “Analisa Perbandingan Cara Kerja Trojan

Horse dan Worm dan Cara Penanganannya Dengan Metode Heuristic

Identification Byte”. STMIK Budidarma Medan, Vol: VI, Nomor: 2, April

2014. ISSN 2301-9425.

[6] Tri Wahyu, Aidil Sanjaya. “Studi Sistem Keamanan Komputer”. Universitas

Nasional, Vol: 2, Nomor: 2, Juli 2008. ISSN 1978-9491.

[7] Najoan, Xaverius. “Analisis Aspek Keamanan Dalam Menghadapi Rootkit

Berbasis Mesin Virtual (VMBR)”. Universitas Sam Ratulangi. Indonesia.

[8] Chris Wysopal, Chris Eng. “Static Detection of Application Backdoor”.

Veracode Inc. Burlington USA.

[9] Saha, B., & Gairola, A. (2005). Botnet: An Overview. CERT-In White

Paper.

[10] PĂTRAŞCU, Alecsandru. SIMION, Emil. 2012. Meet Flame, The Most

Outrageous Malware Yet. University Polotehnica of Bucharest.