{"id":295,"date":"2015-05-25T22:44:42","date_gmt":"2015-05-25T15:44:42","guid":{"rendered":"http:\/\/josh.rootbrain.com\/blog\/?p=295"},"modified":"2015-05-25T23:12:45","modified_gmt":"2015-05-25T16:12:45","slug":"belajar-dari-kasus-pembajakan-domain-idsirtii-pemilik-situs-dan-domain-berikut-ini-diharapkan-berhati-hati","status":"publish","type":"post","link":"https:\/\/josh.rootbrain.com\/blog\/2015\/05\/25\/belajar-dari-kasus-pembajakan-domain-idsirtii-pemilik-situs-dan-domain-berikut-ini-diharapkan-berhati-hati\/","title":{"rendered":"Belajar dari kasus pembajakan domain IDSIRTII, pemilik situs dan domain berikut ini diharapkan berhati-hati."},"content":{"rendered":"

Hari ini cukup heboh berita tentang pembajakan domain IDSIRTII (idsirtii.or.id) yang dilakukan oleh attacker. Pembajakan domain IDSIRTII ini berakibat akses ke situs IDSIRTII diarahkan ke sebuah situs yang disiapkan attacker dengan pesan seperti layaknya “web defacing”. Banyak juga media yang terkecoh memberitakan bahwa situs IDSIRTII disusupi attacker tersebut.
\nDari hasil internet forensic, dari artifak artifak di internet serta history perubahan DNS IDSIRTII sangat mirip dengan kasus presidensby.info yang pernah saya bahas di sini<\/a> dan di sini<\/a><\/p>\n

Berikut perubahan yang terjadi pada Administrative Domain idsirtii.or.id yang dilakukan oleh attacker.
\nAttacker melakukan perubahan DNS Server untuk domain idsirtii.or.id menjadi ke dua server dns yang dihosting pada Cloud Flare yakni IAN.NS.CLOUDFLARE.COM (173.245.59.118) dan SARA.NS.CLOUDFLARE.COM (173.245.58.144). Pada kedua DNS Cloud Flare tersebut, si attacker sudah menambahkan zone domain idsirtii.or.id sebelumnya dan dimapping ke IP 104.31.92.5 dan 104.31.93.5. Pada kedua IP webserver tersebut (104.31.92.5 dan 104.31.93.5) sudah disiapkan halaman layaknya “web defacing”, sehingga banyak pihak yang berfikir bahwa server idsirtii.or.id benar-benar disusupi. IP DNS Server yang seharusnya mengelola idsirtii.or.id adalah
\nidsirtii.or.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a03600\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.twisted4life.com.
\nidsirtii.or.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a03600\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0puck.nether.net.
\nidsirtii.or.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a03600\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.rollernet.us.
\nidsirtii.or.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a03600\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns2.rollernet.us.
\nidsirtii.or.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a03600\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0nsus.idsirtii.or.id.<\/p>\n

Dan IP Server (IN A) idsirtii.or.id harusnya adalah :<\/p>\n

idsirtii.or.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a03600\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.34.118.11<\/p>\n

Perubahan DNS tersebut dapat digambarkan sebagai berikut :<\/p>\n

\"\"

Perubahan DNS IDSIRTII<\/p><\/div>\n

Pertanyaannya, bagaimana mungkin attacker dapat merubah setting administrative domain idsirtii.or.id. Hingga saat ini masih dilakukan investigasi pihak pihak yang berkepentingan mulai dari Registrant (IDSIRTII), Registrar (IDWebHost?) dan PANDI (pengelola Domain ID). Beberapa kemungkinan antara lain bahwa attacker melakukan akses ilegal terhadap account pengelola domain tersebut, baik ditingkat registrar maupun account pengguna (registrant). Dari informasi di media, pengelola IDSIRTII menyebutkan bahwa adanya kemungkinan serangan social engineering pada registrar <\/a>, sehingga kemungkinan registrar terkecoh melakukan perubahan DNS tersebut.<\/p>\n

Baik, kasus tersebut harusnya menjadi pelajaran bagi pemilik & pengelola domain serta pemilik situs di Indonesia. Karena pada dasarnya ancaman seperti ini sangat banyak terjadi di internet dan bisa menimpa siapa saja. Dan yang perlu saya tekankan adalah bahwa hingga saat inipun, beberapa situs berita maupun instansi utama milik indonesia juga dapat mengalami hal yang sama.
\nBerikut beberapa domain\/situs yang kemungkinan menjadi target berikutnya dengan metode yang sama. Mengapa saya informasikan demikian? Karena beberapa zone domain pada daftar dibawah ini juga sudah disiapkan pada DNS Server yang sama dengan DNS yang digunakan attacker diatas yakni pada server IAN.NS.CLOUDFLARE.COM (173.245.59.118) atau SARA.NS.CLOUDFLARE.COM (173.245.58.144).<\/p>\n

1. polri.go.id<\/strong><\/h3>\n

#dig @SARA.NS.CLOUDFLARE.COM polri.go.id<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> @173.245.58.144 polri.go.id<\/em>
\n ;; QUESTION SECTION:<\/em>
\n ;polri.go.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n polri.go.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.28.20.52<\/em>
\n polri.go.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.28.21.52<\/em><\/p>\n

;; Query time: 29 msec<\/em>
\n ;; SERVER: 173.245.58.144#53(173.245.58.144)<\/em><\/p>\n

Informasi yang benar harusnya:<\/p>\n

#dig polri.go.id<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> polri.go.id<\/em><\/p>\n

;polri.go.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n polri.go.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a04469\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.130.236.199<\/em><\/p>\n

;; AUTHORITY SECTION:<\/em>
\n polri.go.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a02757\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.polri.go.id.<\/em><\/p>\n

;; ADDITIONAL SECTION:<\/em>
\n ns1.polri.go.id.\u00a0\u00a0 \u00a036181\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.130.236.196<\/em><\/p>\n

;; Query time: 0 msec<\/em>
\n ;; SERVER: 175.111.88.2#53(175.111.88.2)<\/em><\/p>\n

2. detik.com<\/h3>\n

#dig @SARA.NS.CLOUDFLARE.COM detik.com<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> @173.245.58.144 detik.com<\/em><\/p>\n

;; QUESTION SECTION:<\/em>
\n ;detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.31.71.138<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.31.70.138<\/em><\/p>\n

;; Query time: 29 msec<\/em>
\n ;; SERVER: 173.245.58.144#53(173.245.58.144)<\/em><\/p>\n

Informasi yang benar harusnya :<\/p>\n

#dig\u00a0 detik.com<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> detik.com<\/em><\/p>\n

;; QUESTION SECTION:<\/em>
\n ;detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a062\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.190.241.43<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a062\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.190.242.69<\/em><\/p>\n

;; AUTHORITY SECTION:<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a059274\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns.detik.net.id.<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a059274\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.detik.com.<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a059274\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.detik.net.id.<\/em>
\n detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a059274\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns.detik.com.<\/em><\/p>\n

;; ADDITIONAL SECTION:<\/em>
\n ns.detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a02096\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.190.242.2<\/em>
\n ns.detik.net.id.\u00a0\u00a0 \u00a066175\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.190.242.2<\/em>
\n ns1.detik.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a02096\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.190.240.131<\/em>
\n ns1.detik.net.id.\u00a0\u00a0 \u00a067936\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0203.190.240.131<\/em><\/p>\n

;; Query time: 0 msec<\/em>
\n ;; SERVER: 175.111.88.2#53(175.111.88.2)<\/em><\/p>\n

3. kompas.com<\/h3>\n

dig @SARA.NS.CLOUDFLARE.COM kompas.com<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> @173.245.58.144 kompas.com<\/em>
\n ;; QUESTION SECTION:<\/em>
\n ;kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.28.9.90<\/em>
\n kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.28.8.90<\/em><\/p>\n

;; Query time: 27 msec<\/em>
\n ;; SERVER: 173.245.58.144#53(173.245.58.144)<\/em>
\n ;; WHEN: Mon May 25 22:30:11 WIB 2015<\/em>
\n ;; MSG SIZE\u00a0 rcvd: 71<\/em><\/p>\n

Informasi yang harusnya :<\/p>\n

dig\u00a0 kompas.com<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> kompas.com<\/em><\/p>\n

;; QUESTION SECTION:<\/em>
\n ;kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0360\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0202.61.113.35<\/em>
\n kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0360\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0202.146.4.100<\/em><\/p>\n

;; AUTHORITY SECTION:<\/em>
\n kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a069254\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.kidsklik.com.<\/em>
\n kompas.com.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a069254\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns2.kidsklik.com.<\/em><\/p>\n

;; ADDITIONAL SECTION:<\/em>
\n ns1.kidsklik.com.\u00a0\u00a0 \u00a03857\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0202.146.4.250<\/em>
\n ns2.kidsklik.com.\u00a0\u00a0 \u00a03857\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0202.61.112.10<\/em><\/p>\n

;; Query time: 13 msec<\/em>
\n ;; SERVER: 175.111.88.2#53(175.111.88.2)<\/em>
\n ;; WHEN: Mon May 25 22:30:53 WIB 2015<\/em>
\n ;; MSG SIZE\u00a0 rcvd: 148<\/em><\/p>\n

4. kaskus.co.id<\/h3>\n

#dig @SARA.NS.CLOUDFLARE.COM kaskus.co.id<\/em><\/p>\n

; <<>> DiG 9.9.5-3ubuntu0.2-Ubuntu <<>> @173.245.58.144 kaskus.co.id<\/em><\/p>\n

;; QUESTION SECTION:<\/em>
\n ;kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.28.13.87<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0300\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0104.28.12.87<\/em><\/p>\n

;; Query time: 27 msec<\/em>
\n ;; SERVER: 173.245.58.144#53(173.245.58.144)<\/em>
\n ;; WHEN: Mon May 25 22:24:40 WIB 2015<\/em>
\n ;; MSG SIZE\u00a0 rcvd: 73<\/em><\/p>\n

Yang benar harusnya adalah:
\n;; QUESTION SECTION:<\/em>
\n ;kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A<\/em><\/p>\n

;; ANSWER SECTION:<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a064963\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0103.6.117.2<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a064963\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0A\u00a0\u00a0 \u00a0103.6.117.3<\/em><\/p>\n

;; AUTHORITY SECTION:<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a09971\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns1.lumanau.web.id.<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a09971\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns3.lumanau.web.id.<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a09971\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns4.lumanau.web.id.<\/em>
\n kaskus.co.id.\u00a0\u00a0 \u00a0\u00a0\u00a0 \u00a09971\u00a0\u00a0 \u00a0IN\u00a0\u00a0 \u00a0NS\u00a0\u00a0 \u00a0ns2.lumanau.web.id.<\/em><\/p>\n

 <\/p>\n

Selain domain\/situs diatas, kemungkinan masih ada beberapa domain lainnya. Saya tidak ada waktu untuk mengecek, silahkan bagi yang mau menambahkan dengan memberi komentar pada pesan dibawah.\u00a0 Mudah mudahan para pemilik domain\/situs serta pengelola domain (registrar) semakin aware terhadap ancaman ancaman terkait DNS sejenis ini.<\/p>\n

Semoga bermanfaat.<\/p>\n","protected":false},"excerpt":{"rendered":"

Hari ini cukup heboh berita tentang pembajakan domain IDSIRTII (idsirtii.or.id) yang dilakukan oleh attacker. Pembajakan domain IDSIRTII ini berakibat akses ke situs IDSIRTII diarahkan ke sebuah situs yang disiapkan attacker dengan pesan seperti layaknya “web defacing”. Banyak juga media yang terkecoh memberitakan bahwa situs IDSIRTII disusupi attacker tersebut. Dari hasil internet forensic, dari artifak artifak […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5],"tags":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/posts\/295"}],"collection":[{"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/comments?post=295"}],"version-history":[{"count":3,"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/posts\/295\/revisions"}],"predecessor-version":[{"id":298,"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/posts\/295\/revisions\/298"}],"wp:attachment":[{"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/media?parent=295"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/categories?post=295"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/josh.rootbrain.com\/blog\/wp-json\/wp\/v2\/tags?post=295"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}