Mungkin sebagian Anda ada yang sudah mengenal Trojan atau biasa
disebut dengan trojan horse. Ya, trojan horse adalah program jahat yang
umumnya disamarkan sebagai program biasa agar tidak menimbulkan
kecurigaan pengguna yang menjalankan program tersebut. Ada beberapa cara
pada trojan untuk menyamarkan dirinya diantaranya adalah mengeluarkan
pesan error saat dijalankan, sehingga pengguna menyangka bahwa program
yang dijalankan sedang mengalami error padahal trojan telah aktif secara
tersembunyi. Selain itu trojan dapat menggabungkan diri dengan program
biasa tanpa pengguna sadari.
Umumnya, tujuan dibuatnya trojan adalah mendapatkan informasi dari
target baik berupa password, data/dokumen penting, hingga foto pribadi.
Mayoritas trojan memiliki fitur mengendalikan konputer target dari jarak
jauh (remote access) dan tujuan dibuatnya trojan antara lain
menggunakan target sebagai mesin untuk melakukan spam, mencuri data,
mendownload malware lain, menghapus data/file, merekam tikan (keystroke
logging), melihat isi layar, merekam aktivitas pengguna, merusak sistem,
menghilangkan bukti digital sampai sabotase komputer.
Mengenal Trojan Backdoor
Backdoor adalah salah satu jenis trojan yang sering digunakan untuk
mengontrol suatu komputer dari jarak jauh melalui jaringan baik lokal
maupun Internet. Ciri khas backdoor adalah berjalan secara tersembunyi,
tidak menampilkan hal-hal yang mencurigakan, serta membuka port agar
komputer dapat diakses secara remote. Backdoor dapat juga disebut
sebagai Remote Access Trojan atau Remote Administration Tool (RAT).
Contoh trojan backdor (RAT) adalah Posion Ivy, Bifrost, Optix Pro,
DarkComet-Rat, XpertRAT, Back Orifice dan Sub Seven (Sub7).
Trojan backdoor merupakan jenis malware yang sangat berbahaya.
Pasalnya, selain pencurian data, komputer korban dapat dijadikan zombie
untuk menyerang server. Berdasarkan suatu situs berita Jerman, seorang
warga negara Jerman menyewa jasa zombie dari Rusia dengan kisaran $65
per hari untuk melumpuhkan beberapa situs judi online saat piala dunia
diselenggarakan. Selain reputasi IP pada komputer korban menurun,
bandwidth terkuras, kecepatan akses dan kinerja sistem pun berkurang.
Cara kerja Trojan Backdoor
Ada dua bagian backdoor, yaitu client dan server. Client adalah
program yang diinstal di komputer target sedangkan server merupakan
program yang digunakan attacker dalam mengoperasikan komputer target.
Ada dua metode komunikasi antara client dan server yaitu direct
connection dan reverse connection.
- Pada direct connection, server berusaha melakukan koneksi ke IP
target agar dapat berkomunikasi dengan client. Tapi hal ini lebih mudah
diblok oleh program firewall.
- Pada reverse connection tidak membutuhkan IP target karena serverlah
yang berusaha melakukan koneksi ke IP client (attacker). Ketika
attacker menjalankan client dengan koneksi Internet lain, IP pun akan
berubah, lalu bagaimana membuat IP client yang bersifat taktis? Untuk
mengatasi hal ini, attacker dapat memakai dynamic DNS yang banyak
disediakan secara gratis oleh website-website tertentu.
Mendeteksi Backdoor
Cara manual untuk mendeteksi backdoor adalah melihat port yang
terkoneksi dan port yang sedang menunggu koneksi dari luar. Berikut ini
langkah-langkah untuk mendeteksi trojan backdoor.
- Tutup semua program, terutama yang berhubungan dengan koneksi jaringan.
- Buka dialog Run dengan menggunakan kombinasi tombol Window+R. Isi dengan "CMD"
- Muncul jendela CMD dan ketikkan "netstat-aon"
- Hasil perintah netstat akan terlihat sebagai berikut:
C:\Documents and Settinga\Administrayor>netstat -aon
Active Connections
| Proto |
Local Addresss |
Foreign Address |
State |
PID |
| TCP |
0.0.0.0:135 |
0.0.0.0:0 |
LISTENING |
944 |
| TCP |
0.0.0.0:445 |
0.0.0.0:0 |
LISTENING |
4 |
| TCP |
127.0.0.1:1028 |
0.0.0.0:0 |
LISTENING |
1312 |
| TCP |
127.0.0.1:1135 |
127.0.0.1:3460 |
SYN.SENT |
2328 |
| TCP |
192.168.244.131:139 |
0.0.0.0:0 |
|
4 |
| UDP |
0.0.0.0:445 |
*:* |
|
392 |
| UDP |
0.0.0.0:500 |
*:* |
|
1084 |
| UDP |
0.0.0.0:1039 |
*:* |
|
692 |
| UDP |
127.0.0.1:123 |
*:* |
|
1036 |
| UDP |
127.0.0.1:1900 |
*:* |
|
1152 |
| UDP |
192.168.244.131:123 |
*:* |
|
1036 |
| UDP |
192.168.244.131:137 |
*:* |
|
4 |
| UDP |
192.168.244.131:138 |
*:* |
|
4 |
| UDP |
192.168.244.131:1900 |
*:* |
|
1152 |
| C:\Documents and Settings\Administrator> |
Seperti yang ada di lajur ke empat pada kolom ketiga terdapat isi
yang berbeda dari baris lainnya. Pada kolom inilah perhatian akan lebih
difokuskan.
Transmission Control Protocol atau TCP merupakan bagian protocol yang
digunakan untuk mengirim data. Kolom kedua berisi alamat komputer,
sedangkan kolom ketiga berisi alamat tujuan packet akan dikirimkan.
Dalam kasus ini, contoh tersebut memperlihatkan alamat local 127.0.0.1.
Dalam kasus nyata, kolom ini berisi alamat DNS, misalnya yang dibuat
melalui NO.IP.com. Sementara, kolom keempat berisi SYN_SENT yang berarti
ada program yang sedang menunggu jawaban dari respon luar. Hal ini
menandakan server belum terkoneksi ke client. Jika server telah
terkoneksi ke client, kolom ini berisi tulisan ESTABLISHED.
Kolom terakhir berisi PID dari proses program yang sedang menjalankan
rutin koneksi ini. Untuk melihat proses program apakah itu, Anda dapat
menggunakan Task Manager.
Mengingat begitu berbahayanya malware yang satu ini, selain
mendeteksinya dengan cara manual, Anda pun juga bisa menggunakan
antivirus andal untuk membersihkan komputer Anda yang terinfeksi malware
ini terutama oleh Poison Ivy.
Sumber: CHIP
