Pandi Nurdiansyah » Security

social engineering beraksi di ciputat! awas kena tipu

Pandi — Fri, 27 Mar 2009 14:15:53 +0000

Pernah liat atau nemuin amplop kayak gini? kalo iya sebaiknya ati ati soalnya lagi musimnya sekarang. semalem pas abis pulang dari warnet nemuin amplop kayak gini di jalan and cuma ada nomor “ponsel perusahaan” jah perusahaan pake ponsel . akhirnya dibuka deh tuh amplop didalemnya ada surat badan pertanahan nasional, dinas perindustrian dan perdagangan, dan cek Bank Rakyat Indonesia senilai 4,7 Milyar kaget kan.. gw aja pernah ngerasain jatuh konci kamar and paniknya minta ampun apalagi jatuh cek senilai 4,7 Milyar bisa bunuh diri tuh orang. tapi ndak ada petunjuk laen selain nomor telepon perusahaan sampe jam delapan pagi miscallin terus tuh nomor, akhirnya diangkatlah sama yang ada disana. and dengan alesan nggak bisa dateng sekarang dia siap tranfer duit 35 juta sebagai kompensasi biar dijagain dokumennya. sampe disini permainannya masih cantik belum ada ketauan gelagat mencurigakannya tibalah disaat dia nyuruh ke ATM, doh temen gw semangat banget ya udah lah.. lumayan bisa nyolong semangat dia gw ikutan plus jalan jalan pagi. Pas nyampe di ATM temen gw nelpon dia and katanya dia mau langsung ngomong sama yang punya atm, ya udah dikasih lah gw hp sama temen gw.. dia ngomong ini mau dikirim pake dolar jadi rada ribet katanya pengirimannya saldo anda berapa ya pak? ditanyalah gw.. (sambil menduga-duga ini suara kayaknya pernah gw denger tapi dimana ya) cuma ada 133.000 pak gw jawab… akhirnya dia nyuruh nunggu 10 menit.. dari sebelumnya jeddah telepon selalu 10 menit mungkin inilah letak ilusi dari trik social engineering yang satu ini saat telepon terakhir dari dia ke temen gw, dia bilang saldo itu minimal harus ada 2 juta buat bisa ngirimin kompensasi. eng ing eng, terungkaplah semua,, perasaan gw, konversi dollar and ngirimin ke rekening gw nggak segitu ribetnya deh cabut aja yu gw bilang sama temen gw.. ya udah pan. yang terpenting walaupun kesel ada yang pengen memanfaatkan niat baik tapi mudah-mudahan nggak kapok lah melakukan kebaikan. kadang orang bilang jadi orang baik itu memang susah . so buat yang laen jangan sampe ketipu ya.. ternyata dah banyak banget yang ketipu cuma beda beda tempat. kayak artikel disini dan disini.

Peer to Peer lumbung pembajakan?

Pandi — Tue, 01 Jul 2008 08:23:57 +0000

Jika kita melihat postingan saya tentang komponen yang ada dalam internet mungkin P2P (Peer to Peer) yang file type-nya dot torrent tidak ada di dalamnya teknologi ini terhitung baru. Pirate Bay sendiri sebagai server torrent terbesar dimulai pada tahun 2003. Akan tetapi dari sumber lain seperti wiki Peer to Peer dimulai pada tahun 2001. Peer to Peer dapat digambarkan sebagai sebuah bangunan yang dengan banyak ceker sehingga bandwith dan koneksi tidak hanya ditanggung oleh server akan tetapi juga ditanggung oleh user.

Server dan User seperti tanpa batas. berbeda sekali dengan FTP (File Transfer Protocol) dimana Server dan User jelas berbeda. Ide awal dari Peer to Peer berangkat dari penggunaan Usenet dimana pesan berantai disampaikan. Jelas sekali keuntungan peer to peer cukup banyak, diantaranya tidak membutuhkan bandwidth yang besar, space yang besar dan spesifikasi komputer yang wah.

seperti terlihat dalam gambar di atas sebelah kiri adalah system network yang benar benar bergantung pada server sedangkan sebelah kanan adalah system peer to peer dimana server seperti sudah menyatu dengan user. Peer to peer dapat digolongkan tergantung penggunaannya, File sharing, telephony, media streaming dan forum diskusi. dalam hal security peer to peer termasuk ke dalam data enkripsi yang memungkinkan mengaburkan identitas pengguna dan juga file yang sedang diambilnya. Sementara akan dikembangan sistem lain dari peer to peer yang disebut Anomos. sistemnya terbagi tiga dan akan tampak seperti gambar di bawah ini

Anomos adalah sebuah project dari bit torrent yang sedang dikerjakan untuk lebih melindungi identitas para usernya sehingga dapat dengan tenang melakukan file sharing. hal ini dapat dilihat dari moto yang diusungnya Anomos Is Freedom.

sedari dulu timbul perdebatan tentang penyebaran file ber- copyright melalui media peer to peer. pada musim semi tahun 2006 sekitar 300 server piratebay diangkut oleh kepolisian di Swiss dan dibalik itu semua terdapat conspirasi antara Gedung Putih yang didesak Industri per-film-an dan pemerintahan Swiss peristiwa ini anda dapat lihat di di film steal this film dan untuk part 1 sudah tersedia subtittle dalam bahasa Indonesia. tentu saja masalah hak paten tergantung dari UU yang berlaku pada masing masing negara di Indonesia Undang-undang itu sudah ada.

merosotnya industri musik yang mungkin akan diikuti oleh Industri film dengan alasan file sharing bagi teman-teman Pirate Bay dianggap sebagai hal yang lucu. seperti ketika dulu pada awal industri rekaman belum besar para musisi mendapat penghasilan dari hasil pementasan, dan ketika industri rekaman berkembang maka musisi mendapat penghasilan tambahan dari rekaman dan ketika sekarang rekaman merosot maka para musisi dan pengusaha rekaman harus mencari cara lain yang lebih kreatif sesuai dengan perkembangan zaman. begitu juga dengan perfilman. sekian.

Social Engineering Trick part 2

Pandi — Thu, 08 May 2008 11:10:02 +0000

Sebagai Contoh pada tahun 2003 berkembang penipuan menggunakan metode phishing dimana users menerima email seperti dari ebay dan mengatakan bahwa account users tersebut disuspend kecuali dia mengklik link yang tersedia dan mengupdate nomor CC yang sudah ada di ebay asli. karena membuat tampilan web yang relatif mirip agak mudah dengan menjiplak kode html. penipuan ini menipu orang-orang yang mengira dirinya betul-betul dihubungi oleh ebay dan mengira dirinya ada di situs ebay asli untuk mengupdate nomor CC nya dengan menyepam banyak orang, phiser akan memprosentasekan jumlah orang yang membaca email dengan cc-nya.

IVR/phone phishing

Tehnik ini menggunakan Interactive Voice Response (IVR) sistem yang menjiplak mesin penjawab bank atau institusi. korban dihubungi (biasanya lewat email phishing) untuk menelpon ke “bank” melalui nomor bebas pulsa dan memberikan informasi. sistem tersebut mereject login beberapa kali untuk memastikan korban memasukan pin secara berulang-ulang, biasanya mendapatkan beberapa pasword berbeda. sistem yang lebih canggih akan menyambungkannya pada penyerang yang menyamar sebagai costumer service untuk bertanya. beberapa orang bahkan sampai merekam perintarh umum (“tekan satu untuk merubah password, tekan dua untuk berbicara dengan costumer service”…) dan memainkannya secara berulang ulang, hingga membuat IVR seperti tanpa biaya sama sekali.

Trojan horse/gimmes

Gimmes mengambil keuntungan dari keingintahuan korban dengan mengirimkan malware. juga dikenal sebagai trojan horse, contoh simple dari gimmes adalah “email bervirus” yang memiliki attachment dan menjanjikan apa saja yang wah, dari screen saver seksi, antivirus upgrade atau bahkah gosip terkini. ketika korban tergoda dan membuka sisipannya yang merupakan tombol untuk mengaktifkannya. ketika korban cukup naif untuk mendownload tanpa berfikir, teknik ini cukup efektif dan contoh simple yang mendunia adalah virus i love you. umumnya sebuah program yang memberi akses dengan bersembunyi didalam software lain (spyware) atau berpura-pura menjadi sesuatu (copian gratis dari software terbaru). prilakunya seperti legenda terkenal kuda troya (trojan horse) yang berisi penyerang didalamnya.

Road apple

Road Apple adalah variasi lain dari Trojan Horse yang menggunakan media fisik dan membuat rasa ingin tahu yang sangat besar. nama ini diambil dari euphemisme untuk kata pupuk kuda. dalam serangan road apple, penyerang meninggalkan malware dalam sebuah disket, cd atau flashdisk di lokasi yang sangat mungkin ditemukan. (kamar mandi, lift, jalanan, dan tempat parkir) dengan memberikan label yang sangat membangkitkan rasa ingin tahu, dan setelah itu tinggal menunggu. sebagai contoh, penyerang menciptakan sebuah cd dengan logo perusahaan, dan memberikan label “gaji pegawai eksekutif tahun 2008″ didepannya. kemudian penyerang meninggalkan cd itu di lantai sebuah lift atau di lobby perusahaan target. salah satu pegawai sangat mungkin menemukannya dan kemudian membukanya untuk memuaskan rasa ingin tahunya. seorang pegawai yang baik tentu mengembalikannya ke perusahaan. dalam kasus ini memasukan cd untuk melihat isinya secara otomatis menginstal malware ke dalam komputer, yang memberikan penyerang akses ke dalam komputer korban, atau bahkan ke dalam jaringan perusahaan. kecuali kontrol lain memblok infeksi tersebut, PC dengan sistem autorun akan menjadi sasaran empuk ketika sebuah cd dimasukan.

Quid pro quo

Sesuatu untuk sesuatu * penyerang menelpon nomor secara acak mengaku dari sebuah perusahaan yang menelpon untuk masalah teknis. ketika mereka mendapatkan korban dengan masalah yang serius, mereka akan menelpon kembali dan penyerang akan “menolong” memecahkan masalahnya dengan memerintahkan korban mengetikan kode perintah yang dapet memberikan akses atau mengaktifkan malware. * pada tahun 2003 pada survey jaringan informasi, 90% pekerja kantor memberikan peneliti yang mereka klaim sebagai kata sandi dalam jawaban sebuah pertanyaan dengan imbalan sebuah pulpen. survey serupa di tahun berikutnya mendapatkan hasil yang sama dengan menggunakan coklat sebagai conditioning atau conditioning murah lainnya, bagaimanapun mereka tidak berusaha memvalidasi kata sandi mereka, beberapa responden mungkin saja memberikan kata sandi yang salah sekedar untuk mendapatkan hadiah. akan tetapi seperti inilah hal itu bekerja.

Beberapa tipe lain

bahkan ketika memiliki skill untuk cracking, beberapa orang masih tetap menggunakan social engineering yang notabene mengacaukan keputusan dan memanipulasi orang, eksploitasi kelemahan seseorang untuk mendapatkan keuntungan. bentuk social engineering terkini termasuk mengintip dan mengambil id dari orang terkenal yang memiliki email yahoo. gmail, hotmail dll. alasan mungkin beragam. beberapa diantara bisa jadi: 1. Phising nomor kartu kredit dan pasword. 2 hacking email pribadi, data pembicaraan dan memanipulasi menggunakan teknik edit yang sederhana kemudian menggunakannya untuk memeras uang dan menciptakan ketidakpercayaan diantara individu. 3 menghack website sebuah organisasi dan menghancurkan reputasi mereka. 4. menciptakan ketidakharmonisan dalam lingkungan sosial.

are social engineering trick still work?

Pandi — Fri, 02 May 2008 11:35:26 +0000

setelah memposting tentang kevin mitnick the legendary hacker nah di postingan itu dijelaskan bahwa Mitnick hanya menggunakan trick social engineering, apakah trick social enginering ??
Social engineering adalah sekumpulan tehnik yang digunakan untuk memanipulasi seseorang untuk melakukan atau membocorkan informasi rahasia. hal ini juga sepadan dengan trick atau fraud sederhana, umumnya digunakan untuk trik mengumpulkan informasi atau akses sistem komputer dan dalam kebanyakan kasus penyerang tidak pernah bertatap muka dengan korban.
tentu kalo dah ngomongin masalah social engineering belum lengkap rasanya kalo nggak nyebut nama Kevin Mitnick, ada sebaris kutipan dari kata kata Kevin

You could spend a fortune purchasing technology and services…and your network infrastructure could still remain vulnerable to old-fashioned manipulation.
Anda bisa saja mendapat keberuntungan menggunakan teknologi dan bermacam-macam service.. dan bangunan jaringan anda masih bisa lemah terhadap manipulasi gaya lama.

nah gaya lama yang kayak apa sih ini nih beberapa gaya dari social engineering :
pada dasarnya semua social engineering memanfaatkan pembuatan keputusan sebagai bias kognitif yang merupakan deviasi dalam beberapa kondisi tertentu. kalo di komputer persis kayak istilah bugs. bugs ini bisa dieksploitasi melalui beberapa cara and beberapa ada disini :

Pretexting
Pretexting adalah aksi yang menggunakan sebuah skenario untuk membuat target memberitahu informasi atau melakukan tindakan dan umumnya dilakukan melalui telephone. lebih tepat seperti pembohongan sederhana akan tetapi melibatkan beberapa penelitian atau kumpulan informasi (seperti :tanggal lahir, transaksi terakhir) untuk mendeviasi otak target.

Tehnik ini biasa dipakai untuk mengorek informasi pelanggan, dan digunakan oleh oleh penyelidik pribadi untuk memperoleh catatan telepon, catatan penggunaan, catatan bank untuk kemudian digunakan untuk tingkat yang lebih besar dengan pembicaraan 2 mata bersama managet (perubahan account, mendapat informasi saldo, dll)

Phising
Phishing adalah teknik tipuan untuk mendapat informasi pribadi. umumnya, phiser mengirim email yang tampak seperti perusahaan mapan, bank, atau perusahaan kartu kredit dan meminta verivikasi dan peringatan jika langkah lankah tersebut tidak diikuti. biasanya surat ini memiliki sebuah link ke halaman situs web tipuan yang tampak seperti perusahaan situs asli, dengan logo perusahaan dan isinya. dan memiliki form yang menanyakan alamat rumah serta nomor pin atm.

BErsambung…