Worm.Win32.Flame., Mesin Perang Cyber Tercanggih di Dunia !

Para pakar keamanan jejaring dunia maya kini mencermati informasi mengenai temuan Flame, sebuah program peranti lunak komputer yang disebut berbahaya karena mampu menembus berbagai jaringan komputer dan jauh lebih sulit ditemukan.

Temuan Flame tersebut kembali membuktikan apa yang sebelum ini sudah banyak diperingatkan para pengamat keamanan dunia maya, yaitu bahwa banyak pemerintah negara yang menggunakan program komputer jahat sebagai senjata untuk kegiatan intelijen selama beberapa tahun terakhir. “Ini hanyalah satu dari sekian banyak kasus yang terjadi sepanjang waktu dan selama ini tak pernah diketahui publik,” ujar Alexander Klimburg, pakar keamanan dunia maya pada Austrian Institute for International Affairs.

Worm Flame atau Skywiper merupakan sebuah senjata canggih cyber gabungan kemampuan sebuah Virus, Worm, Spyware, Backdoor, Keyloger, Trojan yang secara terintegrasi sanggup menyusup ke system security teknologi informasi tercanggih tanpa terdeteksi ! Sehingga tidak salah kalau berbagai media masa ada yang menyebut Flame sebagai virus, worm, trojan. Kapersky Lab sebagai pihak yang menyelidiki aktivitas Flame ini mengkategorikannya sebagai "worm/ cacing" dengan julukan "Worm.Win32.Flame". Vendor Bit Defender mengkategorikan Flame sebagai "Trojan.Flamer.A/B".

Dalam artikel ini Flame kadang tertulis virus, kadang worm, atau trojan sesuai sumber yang kami kutip, harap maklum.

Berikut ini penjelasan dari Akexander Gostev alias Aleks, pimpinan Global Research and Analysis Team di Kaspersky Lab seperti dikutip dari www.securelist.com.

Apakah sebenarnya Flame? Apa yang dilakukannya?

Flame,  juga dikenal sebagai Flamer, sKyWIper, dan Skywiper, adalah komputer modular malware ditemukan pada tahun 2012 yang menyerang komputer yang menjalankan sistem operasi Microsoft Windows . Program ini digunakan untuk target spionase cyber di Timur Tengah negara. Penemuan ini diumumkan pada tanggal 28 Mei 2012 dengan Maher Pusat Iran Nasional Komputer Emergency Response Team (CERT),  Kaspersky Lab  dan CrySyS Lab. dari Universitas Budapest Teknologi dan Ekonomi . Yang terakhir ini dinyatakan dalam laporannya bahwa "sKyWIper tentu malware yang paling canggih yang kami temui selama latihan kami, bisa dibilang, itu adalah malware yang paling kompleks yang pernah ditemukan. ".

Worm Flame diketahui telah "di belantara" sejak Februari 2010, sehingga telah menghindari deteksi oleh software keamanan untuk lebih dari dua tahun ketika ditemukan ; nama komponen utama file telah diamati pada Desember 2007. Api mungkin tetap tidak terdeteksi lebih lama, namun para peneliti datang di saat meneliti "wiper" exploit.

Flame adalah toolkit serangan yang canggih, yang jauh lebih kompleks daripada Stuknet/ Duqu. Ini adalah gabungan : Backdoor, Trojan, dan memiliki fitur seperti Worm, yang memungkinkan untuk mereplikasi di jaringan lokal dan removable media jika diperintahkan demikian oleh tuannya. Flame memiliki fitur seperti worm yang memungkinkannya menggandakan diri dalam sebuah jaringan lokal dan pada media penyimpan seperti flashdisk jika diperintahkan oleh pengontrolnya.

Cara masuk Flame saat ini masih belum diketahui. Diperkirakan program ini dimasukkan melalui serangan terarah yang masih belum diketahui metodenya.

Saat sebuah sistem terinfeksi, Flame akan melakukan sejumlah aksi seperti menyadap lalu lintas dalam jaringan yang dimasukinya, menyadap tampilan di monitor, merekam percakapan suara, menyadap kibor (keyloger) dan sebagainya. Sang operator Flame bisa mengunggah lebih banyak modul untuk meningkatkan kemampuannya.

Secanggih apa Flame?

Flame terdiri atas sejumlah modul yang ukurannya hampir 20 MB jika sepenuhnya diunggah. Karena ukurannya yang besar ini, dia sangat sulit dianalisa. Flame berukuran besar karena memiliki banyak unsur seperti kompresi (zlib, libbz2, ppmd) dan manipulasi database (sqlite3), termasuk mesin virtual berbasis bahasa pemrograman Lua.

Virus tersebut memiliki kode 20 kali lebih banyak dibandingkan Stuxnet. Stuxnet sendiri disebut telah membuat perangkat produksi pengayaan uranium di Iran gagal berfungsi saat menyerang tahun 2010 lalu. Virus ini juga memiliki 100 kali lebih banyak kode dibandingkan virus yang selama ini dikenal dipakai untuk mencuri informasi keuangan.

Setelah sistem yang terinfeksi, Flame dimulai seperangkat kompleks operasi, termasuk mengendus lalu lintas jaringan, mengambil screenshot, merekam percakapan audio, mencegat keyboard, dan sebagainya. Semua data ini tersedia untuk operator melalui link ke perintah-dan-kontrol Flame server.

Kemudian, operator dapat memilih untuk meng-upload modul lebih lanjut, yang memperluas fungsi Flame. Ada sekitar 20 modul secara total dan tujuan sebagian besar dari mereka masih sedang diselidiki.

Kemampuan perekaman data oleh Flame juga lebih lengkap karena bisa menjangkau semua bentuk komunikasi, baik audio, lalu lintas data, tampilan dan penyadapan penggunaan kibor. Kemampuan Flame untuk menyebarkan diri melalui perangkat Bluetooth juga cukup unik. 

Data yang terekam dikirim ke C & C melalui saluran SSL rahasia, pada jadwal teratur. Kami masih menganalisis ini; informasi lebih lanjut akan tersedia pada website kami segera (http://www.kaspersky.com/).

Malware ini memiliki kemampuan untuk secara teratur mengambil screenshot; apa lagi, dibutuhkan screenshot saat tertentu "menarik" aplikasi dijalankan, misalnya, IM. Tampilan Layar disimpan dalam format terkompresi dan secara teratur dikirim ke server C & C - seperti rekaman audio.

Flame terdiri dari banyak plug-in yang berbeda - sampai 20 - yang memiliki peran khusus yang berbeda. Infeksi tertentu dengan Flame mungkin memiliki satu set plugin tujuh, sedangkan infeksi lain mungkin 15. Semuanya tergantung pada jenis informasi yang dicari dari korban, dan berapa lama sistem telah terinfeksi Flame.

Para pejabat di Symantec Corp dan divisi keamanan Intel Corp McAfee, dua perusahaan pembuat antivirus terkemuka dunia yang lain, juga menyatakan tengah mempelajari Flame. “Tampaknya memang jauh lebih kompleks, namun masih terlalu dini untuk menentukan skalanya,” ujar Dave Marcus, salah satu direktur penelitian di McAfee.

Manager Symantec Security Response, Vikram Thakur, menyatakan para pakar di perusahaannya yakin Flame adalah malware dengan sistem paling rumit yang pernah ditemukan. Tim peneliti Kaspersky menyebut bahwa jumlah perangkat komputer yang terinfeksi virus ini paling banyak ada di Iran, disusul Israel dan wilayah Palestina serta Sudan dan Suriah.

Roel Schouwenberg, peneliti senior Kaspersky, menyebut Flame dan Stuxnet kelihatannya menginfeksi komputer dengan cara memanfaatkan celah keamanan pada sistem operasi berbasis Windows. Kedua virus ini juga memiliki cara yang sama untuk menyebarkan diri. “Bisa saja tim yang mengembangkan Stuxnet punya akses yang sama terhadap teknologi yang dipakai untuk membuat Flame,” ujar Schouwenberg.

Kapan Virus Flame diciptakan?

Worm Flamediidentifikasi pada Mei 2012 oleh Kaspersky Lab, Maher Pusat Nasional Iran CERT, dan CrySyS Lab (Laboratorium Kriptografi dan Sistem Keamanan) dari Universitas Budapest Teknologi dan Ekonomi ketika Kaspersky Lab diminta oleh PBB International Telecommunication Union untuk menyelidiki laporan dari virus yang mempengaruhi Minyak Kementerian Iran komputer. Sebagai Kaspersky Lab diselidiki, mereka menemukan sebuah MD5 hash dan nama file yang muncul hanya pada mesin pelanggan dari negara-negara Timur Tengah. Setelah menemukan potongan lebih, peneliti dijuluki program "Flame" setelah nama salah satu modul-modulnya. 

Menurut Kaspersky, Flame telah beroperasi setidaknya sejak Februari 2010. CrySyS laporan bahwa nama file komponen utama telah diamati pada awal Desember 2007. Namun, tanggal pembuatan yang tidak dapat ditentukan langsung, karena tanggal pembuatan untuk modul tersebut malware yang salah set ke tanggal pada awal 1994.

Para pencipta Virus Flame khusus mengubah tanggal pembuatan file agar setiap peneliti tidak dapat menentukan waktu kembali kebenaran penciptaan. File ini adalah tanggal 1992, 1994, 1995 dan sebagainya, tapi jelas bahwa ini adalah tanggal palsu.
Ahli komputer menganggapnya penyebab serangan pada bulan April 2012 yang menyebabkan para pejabat Iran untuk memutuskan sambungan terminal minyak mereka dari Internet. Pada saat itu Kantor Berita Mahasiswa Iran disebut malware yang menyebabkan serangan itu sebagai "Wiper", sebuah nama yang diberikan kepadanya oleh pencipta malware. Namun, Kaspersky Lab percaya Worm Flameyang mungkin "infeksi terpisah sepenuhnya" dari malware wiper. Karena ukuran dan kompleksitas dari program-digambarkan sebagai "dua puluh kali "lebih rumit dari Stuxnet -Lab menyatakan bahwa analisis penuh dapat memerlukan selama sepuluh tahun.

Pada tanggal 28 Mei, Iran CERT mengumumkan bahwa mereka telah mengembangkan program deteksi dan alat penghapusan untuk Flame, dan telah mendistribusikan untuk "memilih organisasi" selama beberapa minggu.

Kami menganggap bahwa dalam utama proyek Api diciptakan tidak lebih awal dari tahun 2010, namun masih mengalami pengembangan aktif sampai saat ini. Penciptanya terus memperkenalkan perubahan ke dalam modul yang berbeda, sambil terus menggunakan arsitektur yang sama dan nama file. Sejumlah modul yang baik dibuat dari berubah pada tahun 2011 dan 2012.

Menurut data kita sendiri, kita melihat penggunaan Api pada bulan Agustus 2010. Terlebih lagi, berdasarkan data agunan, kita dapat yakin bahwa Api keluar di alam liar pada awal bulan Februari sampai Maret 2010. Ada kemungkinan bahwa sebelum itu ada ada versi sebelumnya, tapi kami tidak memiliki data untuk mengkonfirmasi hal ini, namun kemungkinan sangat tinggi.

Apa beda Flame dengan virus lain? Apakah ada yang baru?

Virus Flame  berukuran 20 MB (jika diupload semua), sehingga ia sulit di analisis.  Alasan mengapa Flame begitu besar adalah karena termasuk perpustakaan yang berbeda, seperti untuk kompresi (zlib, libbz2, PPMD) dan manipulasi database (sqlite3), bersama dengan mesin virtual Lua. Selama ini penggunaan Lua dalam malware bisa dibilang sangat langka. Begitu pula dengan ukuran besar virus ini. Umumnya malware masa kini berukuran kecil dan ditulis dalam bahasa pemrograman yang praktis sehingga mudah disembunyikan. is uncommon. Cara penyembunyian melalui penggunaan kode program yang sangat besar adalah kebaruan yang dibawa Flame.

Lua adalah scripting (pemrograman) bahasa , yang dapat dengan mudah diperpanjang dan dihubungkan dengan kode C. Banyak bagian Api memiliki logika tinggi urutan ditulis di Lua - dengan subrutin serangan yang efektif dan perpustakaan dikompilasi dari C + +. Bagian kode Lua efektif agak kecil dibandingkan dengan keseluruhan kode. Estimasi kami 'biaya' pembangunan di Lua adalah lebih dari 3000 baris kode, yang untuk pengembang rata-rata akan memakan waktu sekitar sebulan untuk membuat dan debug.

Juga, ada internal database lokal digunakan dengan SQL query bersarang, beberapa metode enkripsi, algoritma kompresi berbagai penggunaan Windows Management Instrumentation scripting, batch scripting dan banyak lagi.

Virus Flame berjalan otomatis bahkan saat boot sistem, ia juga kecil kemungkinan untuk di deteksi anti virus karena ia bukan aplikasi executable konvensional, tapi memiliki komponen beberapa file DLL yang otomatis dimuat saat boot sistem.

Secara keseluruhan, kita dapat mengatakan Flame salah satu ancaman paling kompleks yang pernah ditemukan.

Siapa di balik Flame?

Temuan virus komputer terbaru Flame, yang dikhawatirkan menjadi peranti lunak jahat atau malicius sofware (malware) terkuat yang pernah ada memicu kekhawatiran baru soal perang dunia maya babak baru. Sejumlah bukti menunjukkan virus tersebut kemungkinan dibuat atas pesanan sebuah atau sejumlah negara yang dulu juga bertanggung jawab atas serangan virus Stuxnet yang tahun 2010 lalu menyerang sistem program nuklir Iran.

Para peneliti dari Kaspersky Lab, perusahaan pembuat program antivirus terkenal asal Rusia yang kali pertama menemukan bukti infeksi Flame atas sejumlah jaringan komputer ini sejauh ini menyatakan belum menemukan bukti apakah Flame berfungsi mirip seperti Stuxnet. Mereka juga menolak mengungkap negara mana yang bertanggung jawab di belakangnya.

Saat serangan Stuxnet dulu, Iran menuduh AS dan Israel sebagai penanggung jawabnya.

Selama ini ada tiga pihak yang biasa mengembangkan malware dan spyware (perangkat lunak untuk penyadapan data), yaitu hacktivist (aktivis untuk tujuan tertentu yang beroperasi dengan cara menembus jaringan pihak yang menjadi sasaran kampanye mereka), cybercriminal dan negara. Flame tidak dirancang untuk mencuri uang dari rekening bank. Virus ini juga lain dari peranti peretas yang biasa dipakai hacktivist.

Jadi dengan menyisihkan kedua kemungkinan ini, satu-satunya “tersangka” adalah pihak ketiga. Apalagi, sasaran serangan yaitu sejumlah negara di Timur Tengah dan kompleksitas ancaman yang muncul menunjukkan bahwa ada negara atau pemerintah yang menjadi sponsor penelitian pembuatan program ini.

Lembaga keamanan dunia maya Iran dalam situs berbahasa Inggrisnya menyatakan Flame memiliki kemiripan dengan Stuxnet, yang banyak dijadikan contoh senjata dunia maya yang kali pertama terungkap ke publik. Lembaga itu juga menyatakan Flame kemungkinan terkait dengan insiden hilangnya sejumlah besar data pada sejumlah jaringan komputer Iran.

Penyusun : Yohanes Gitoyo S Pd.

Sumber : 

• http://www.securelist.com/en/blog/208193522/The_Flame_Questions_and_Answers, 28 Mei 2012, 13:00 UTC.
• http://en.wikipedia.org/wiki/Flame_(malware), 1 Juni 2012 di 21:56 UTC. 
• http://www.solopos.com/, Rabu, 30 Mei 2012.