fachrur's blog...

Pernahkah anda mendapat email berisi undian berhadiah? Atau sebuah email seperti yang saya terima berikut ini :

Jelas email ini sangat mencurigakan, pertama karena saya bukan siapa-siapa dari keluarga cendana, jadi aneh sekali mendapat email seperti ini Kedua setahu saya perbankkan adalah lembaga yang mudah menerima uang tapi sulit untuk meminjamkan uang, apalagi dihibahkan dengan cara gratis seperti ini, sungguh tidak masuk akal.Mungkin orang ini mengira bahwa saya akan tergiur oleh harta dan hilang akal sehatnya, ternyata dia salah ! Saya lebih tergiur jika dapet beasiswa keluar negeri.Hehehe…

Oke, kita lanjutkan investigasinya. Hal pertama yang dapat kita lakukan adalah melihat “header” dari email tersebut. Untuk melihat lebih rinci asal-usul email palsu ini. Pada gmail anda dapat melakukannya dengan mengklik tombol disamping reply, kemudian klik pada Show Original :

Berikut isi header dari email tersebut :

Delivered-To: carolus.agung@gmail.comReceived: by 10.141.132.19 with SMTP id j19cs287823rvn;
Tue, 25 Mar 2008 07:52:22 -0700 (PDT)
Received: by 10.141.20.7 with SMTP id x7mr3371904rvi.34.1206456740563;
Tue, 25 Mar 2008 07:52:20 -0700 (PDT)
Return-Path: 
Received: from secure.greatmail.com (secure.greatmail.com [216.18.5.71])
by mx.google.com with ESMTP id g1si5009158rvb.0.2008.03.25.07.52.20;
Tue, 25 Mar 2008 07:52:20 -0700 (PDT)
Received-SPF: neutral (google.com: 216.18.5.71 is neither permitted nor denied by best guess record for domain of angie@rooftoprentals.net) client-ip=216.18.5.71;
Authentication-Results: mx.google.com; spf=neutral (google.com: 216.18.5.71 is neither permitted nor denied by best guess record for domain of angie@rooftoprentals.net) smtp.mail=angie@rooftoprentals.net
Received: (qmail 4135 invoked by uid 1041); 25 Mar 2008 14:52:20 -0000
X-AntiVirus: Clean
Message-ID: <20080325145220.4121.qmail@greatmail1.nmsrv.com>
Cc: recipient list not shown: ;
From: ahmed.faye@bankconfidentials.com
Reply-To: ahmed.faye@hotmail.com
Subject: CONFIDENTIAL PROPOSAL!!!
Date: Tue, 25 Mar 2008 07:52:19 -0700
Mime-Version: 1.0
Content-Type: text/plain; format=flowed; charset="iso-8859-1"
Content-Transfer-Encoding: 7bit

Hal yang paling menarik ada pada tulisan yang saya cetak tebal dan garis bawahi yang menunjukkan ternyata email ini dikirimkan dari secure.greatmail.com dengan user tanpa nomer ip (secure.greatmail.com [216.18.5.71]). Sebab ip 216.18.5.71 ternyata merupakan ip dari situs greatmail.com tersebut. Untuk mengecek suatu nomer ip kita dapat menggunakan fasilitas dari situs http://cqcounter.com/whois/.

Dari situs ini kita mendapat informasi tentang pemilik ip 216.18.5.71 :

IP Address   : 216.18.5.71 [ secure.greatmail.com ]
ISP          : Bell Canada
Organization : Gossamer Threads
Location     :  CA, Canada
City         : Vancouver, BC -
Latitude     :  49°25'00" North
Longitude    : 123°13'33" West

Dengan modus inilah sang penipu tidak dapat terlacak, kecuali dilakukan investigasi lebih lanjut oleh pemilik situs greatmail.com. Tapi satu yang kita tahu pasti, email tersebut jelas bukan dari bankconfidentials.com atau dari kuala lumpur, sebab email ini dikirimkan dari kanada [server greatmail.com].

Teknik pemalsuan email seperti ini sesungguhnya sangat mudah dilakukan. Saya akan memberikan sebuah “keisengan” untuk memberi contohnya.

Hal pertama yang kita lakukan untuk membuat email palsu adalah mencari smtp server untuk mengirimkan email.Sebagai contoh saya ingin menggunakan smtp server gmail.Buka command prompt anda dan ketikkan perintah seperti dibawah ini :

C:\Users\Agung>nslookup -querytype=mx gmail.com

Nanti akan di dapat hasil seperti berikut :

C:\Users\Agung>nslookup -querytype=mx gmail.com
Server: XX.XX.XX.XX
Address: xx.xx.xx.xx:xx

Non-authoritative answer:
gmail.com MX preference = 5, mail exchanger = gmail-smtp-in.l.google.com
gmail.com MX preference = 10, mail exchanger = alt1.gmail-smtp-in.l.google
.com
gmail.com MX preference = 10, mail exchanger = alt2.gmail-smtp-in.l.google
.com
gmail.com MX preference = 50, mail exchanger = gsmtp147.google.com
gmail.com MX preference = 50, mail exchanger = gsmtp183.google.com

gmail.com nameserver = ns3.google.com
gmail.com nameserver = ns4.google.com
gmail.com nameserver = ns1.google.com
gmail.com nameserver = ns2.google.com
gmail-smtp-in.l.google.com internet address = 209.85.147.27
gmail-smtp-in.l.google.com internet address = 209.85.147.114
alt1.gmail-smtp-in.l.google.com internet address = 66.249.83.114
alt1.gmail-smtp-in.l.google.com internet address = 66.249.83.27
alt2.gmail-smtp-in.l.google.com internet address = 66.249.91.27
gsmtp147.google.com internet address = 209.185.147.27
gsmtp183.google.com internet address = 64.233.183.27
ns1.google.com internet address = 216.239.32.10
ns2.google.com internet address = 216.239.34.10
ns3.google.com internet address = 216.239.36.10
ns4.google.com internet address = 216.239.38.10

C:\Users\Agung>

Untuk mempermudah kita gunakan saja smtp server yang Non-authoritative. Pada contoh kali ini saya gunakan smtp server : gsmtp183.google.com.

Kemudian bukalah Email client yan anda miliki dan buatlah account baru. Pada contoh kali ini saya menggunakan program bawaan Windows Mail, anda juga bisa menggunakan Outlook Express jika menggunakan windows xp. Pertama-tama masukkan nama yang anda inginkan, disini saya memberi nama Presiden Kuda.

Kemudian buatlah nama email yang anda inginkan. Disini saya menuliskan presiden@kudaliar.com.

Selanjutnya masukkan Incoming Mail server anda dengan asal aja, disini saya mencontohkan pop.gmail.com dan juga Outgoing E-Mail Server yang telah kita dapat tadi yaitu gsmtp183.google.com

Untuk internet mail logon, biarkan apa adanya, langsung next lalu finish.

Selanjutnya buatlah email Anda !! Disini saya akan mengirimkan email kepada diri saya sendiri dengan subjek Surat Penting dari Presiden Kuda :

Sampai disini selesailah sudah proses pembuatan dan pengiriman email palsu. Selanjutnya kita akan melihat apakah email palsu ini sampai atau tidak di inbox mail saya. Gambar dibawah ini menunjukkan ternyata email palsu ini telah sampai, namun berada pada kelompok Spam.

Lalu bagaimana caranya supaya dapat masuk ke inbox seperti pada email dari penipu tersebut ? Eiits…saya tidak mengajarkan anda untuk jadi penipu ! Oleh karena itu sekian tutorial kali ini. Akhir kata, ingatlah kata-kata bang napi di tiap akhir episode, WASPADALAH !! WASPADALAH !!

Pernahkah friendster account anda dibajak oleh orang lain ? Sehingga profil anda menjadi berantakan atau bahkan primary fotonya berganti menjadi orang utan hehehe… Kalo ya, kemungkinan besar anda telah terjebak oleh situs friendster palsu, atau bahasa bekennya terkena phising.

Bagaimanakah phising ini dilakukan ? Ada beberapa teknik yang dapat anda lakukan untuk melakukan pemalsuan situs friendster guna untuk mencuri id dan password orang lain. Namun secara garis besar, ada 4 buah komponen yang diperlukan untuk melakukan friendster hacking.

Komponen pertama adalah halaman login palsu. Halaman login ini biasa dibuat dengan bahasa pemrograman web PHP. Halaman login ini dibuat semirip mungkin dengan halaman friendster saat anda belum melakukan login. Lihatlah tampilan berikut :

Halaman login tersebut biasanya diipload pada sebuah web hosting gratisan yang dapat menjalankan PHP script. Banyak sekali web hosting yang menyediakan jasa tersebut. Salah satunya adalah 110mb.com , tapi hati-hati sebelum anda memutuskan untuk melakukan phising, sebab seringkali pada web hosting gratisan tersebut telah tertulis ancaman seperti berikut :

** What will happen if you dare phish with your account… **

110mb has already captured your CPU ID (unique per every computer). Including your REAL I.P. and address via multiple advanced protocols (even if it’s faked by Proxy services). Should we find you phishing (like eBay, MySpace, PayPal, etc…), your ISP will be contacted and proof forwarded to your local police for prosecution.

524 people have already been arrested and prosecuted by their local police thanks to us.

Jadi berhati-hatilah sebelum melakukan keisengan, hehehe….

Komponen kedua adalah file teks guna menyimpan semua hasil input yang didapat dari halaman login friendster yang palsu tersebut. Hal ini tidak perlu saya uraikan lebih lanjut, karena saya yakin anda pasti mengerti.

Komponen ketiga adalah file javascipt, yang berguna untuk melakukan redirect menuju halaman login palsu yang telah anda simpan pada web hosting gratisan.

Komponen keempat adalah script linker yang akan menjalankan java script (yang berada di web hosting) pada friendster anda. Script ini biasa disisipkan pada kolom-kolom tertentu pada profile friendster yang memiliki kelemahan, seperti pada Who Want to meet (telah di patch) , aplikasi emote dan sebagainya. Saya tidak akan menjelaskan lebih rinci untuk hal ini, karena friendster selalu meng-update situsnya, sehingga dibutuhkan informasi celah keamanan terbaru untuk dapat menyisipkan script linker tersebut.

Ada sebuah buku terbitan di gramedia yang saya baca sekilas, menulis sebuah teknik tambahan yaitu dengan menyisipkan file Flash yang telah diinjeksi javascript pada action scriptnya, kemudian baru pada profle friendster dimasukan sebuah script untuk membuka file flash tersebut. Namun saya sendiri belum pernah mencoba teknik tersebut.

Nah, dengan keempat komponen tersebut anda telah dapat melakukan phising pada situs friendster untuk mendapatkan user id dan password friendster orang lain. Anda dapat iseng-iseng melihat hasil dari halaman friendster palsu tersebut disini .

File-file yang anda butuhkan ada disini :

Login Palsu

Java Script Redirect

Script Linker

Greetz to : Rekan-rekan CCPB @ Kaskuser untuk Scriptnya .

Catatan : Penyalahgunaan informasi di Blog ini bukan tanggung jawab penulis. Penulis hanya memberikan masukan pengetahuan dan permasalahan keamanan.

Tempat Publik seperti warnet biasanya diproteksi oleh program automatic-recovery seperti Deep Freeze. Hal ini tentunya sangat membantu bagi Administrator Warnet, karena tidak perlu pusing memikirkan soal Virus,Trojan,KeyLog,Spyware dan sebagainya. Setiap kali PC di restart maka semua data akan hilang dan kembali ke settingan awal.

Namun tampaknya Deep Freeze tidak luput dari serangan para Hacker. Terutama Deep Freeze versi 5 dan dibawahnya. Di Internet sudah banyak tersebar Tools bernama UnDeep Freeze yang dapat menon-aktifkan Deep Freeze meskipun kita tidak mengetahui passwordnya. Saat artikel ini ditulis memang sudah sangat basi kedengerannya tapi believe or not ternyata masih banyak Warnet yang tidak menyadari kelemahan dari Deep Freeze 5 dan kebawah.

Akhirnya para iseng mania (kalo tidak layak disebut Hacker) seperti saya , dan juga banyak orang lain diluar sana, dapat dengan mudah melumpuhkan Deep Freeze, dan bahkan menyebarkan virus buatan sendiri (ingat membuat Virus kian mudahnya).

Untuk itu bagi para penyedia layanan publik seperti warnet atau Laboratorium kampus, harap lebih aware terhadap hal yang seperti ini.Bila anda tidak percaya, anda dapat langsung mendownload Tools UnDeep Freeze 1.6 .

Bahkan untuk Deep Freeze 6 sudah ada yang berhasil menjebolnya juga, meski dengan cara yang sedikit lebih repot. Pada posting selanjutnya akan saya bahas.

Keep Secure !