Internet Domain name adalah sebuah nama unique untuk identitas satu orang atau suatu organisasi di dunia internet

Di dunia ini, mungkin banyak sekali orang atau organisasi tertentu yang mempunyai domain name lebih dari satu. Tetapi domain-domain yang dimiliki tersebut, hanya segelintir saja / hanya satu domain saja yang digunakan sebagai domain utama untuk berkomunikasi via email.

Terkait domain name ini, pelaku kriminal atau pelaku kejahatan di dunia internet umum nya dapat memanfaatkan celah pada sebuah domain name yang tidak terproteksi dengan baik, untuk melakukan tindak kejahatan. Teknik yang biasanya digunakan adalah spoofing.
Teknik spoofing ini secara sederhana nya adalah sebuah teknik yang SANGAT MUDAH untuk di eksekusi oleh siapapun dan cukup sering dimanfaatkan untuk memalsukan / menyamarkan identitas terhadap suatu domain name, yang dimana domain name tersebut adalah domain yang tidak di proteksi dengan baik & benar.

Umumnya, dengan memanfaatkan celah dan teknik spoofing tersebut, pelaku kejahatan akan melakukan tindakan penipuan atau pemalsuan atau juga bisa digunakan untuk merusak reputasi dari si pemilik domain name tersebut.

So, saya akan coba sharing guidance bagaimana mengamankan sebuah domain name, yang dimana domain tersebut adalah domain yang memang tidak digunakan untuk proses komunikasi via email, khususnya untuk email keluar (email outbound).

Requirement

Untuk requirement nya sendiri cukup simple, yang pasti anda dapat mengakses DNS management domain yang anda miliki

How-To :

Untuk memproteksi sebuah domain name yang memang tidak gunakan untuk berkomunikasi via email, secara garis besar step yang akan dilakukan adalah sebagai berikut :

• Membuat SPF record di dns management, yang menyatakan bahwa domain tersebut memang tidak memiliki server pengirim (server untuk email outbound)
• Membuat DMARC record untuk mereject semua email yang berasal dari domain name tersebut
• Membuat DKIM key yang isinya kosong (null)
• Dan sebuah MX record yang isinya kosong (null)

Membuat SPF record

type record : TXT

host atau name : @ (jika dibutuhkan)

value : v=spf1 -all

Jika anda cek SPF record tersebut menggunakan perintah dig atau nslookup akan mendapatkan hasil kurang lebih seperti ini :

contoh.com. IN TXT "v=spf1 -all"

Membuat DMARC record

type record : TXT

host atau name : _dmarc

value : v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s;fo=1;

Jika anda cek DMARC record tersebut menggunakan perintah dig atau nslookup akan mendapatkan hasil kurang lebih seperti ini :

_dmarc.contoh.com. IN TXT "v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s;fo=1;"

Membuat DKIM Key kosong

type record : TXT

host atau name : *._domainkey

value : v=DKIM1; p=

Dengan adanya record ini, akan membuat email server(s) yang ada di internet lebih cenderung / lebih pasti untuk menolak seluruh email yang menggunakan domain name tersebut.

Membuat MX record kosong

type record : MX

host atau name : @ atau jika bisa dikosongin saja.

priority : 0

value : . (simbol titik)

Harap diperhatikan bahwa ada beberapa DNS management / registrar domain, yang tidak men-support MX record bersifat null / kosong. Kalau memang ini terjadi pada domain anda, maka tidak perlu khawatir. Cukup pastikan bahwa di DNS Management domain anda, tidak terdapat record MX apapun (tidak memiliki MX record).

Well i think that's it for the tips & tricks terkait domain name yang tidak dipakai untuk pertukaran email / komunikasi via email.

Saya pribadi sangat menganjurkan kepada setiap pemilik sebuah domain name, untuk menjaga domain name nya masing-masing. Dan salah satu caranya adalah seperti yang barusan saya sharing.

Jika anda adalah salah satu orang yang memiliki banyak domain name tetapi kebanyakan domain tersebut tidak dipakai untuk berkomunikasi via jalur email, maka saya menyarankan anda untuk mengikuti cara diatas agar domain tersebut tidak dimanfaatkan atau disalahgunakan oleh pelaku kriminal untuk melakukan sebuah tindak kejahatan ataupun untuk merusak reputasi pribadi atau organisasi pemilik domain tersebut.

Disamping itu juga, dengan mengikuti guidance ini anda secara tidak langsung membantu mengurangi celah-celah yang biasa dimanfaatkan oleh para pelaku kriminal di dunia internet, untuk melakukan kejahatan seperti penipuan, pemalsuan ataupun spamming.

So if you want to help to shape a better internet world, please contribute!

Enjoy! 🍻🍻

Pada tanggal 3 Juli pagi (waktu Indonesia bagian barat), auto update pada product Kaseya VSA - yang terlihat "valid" - berhasil menyebarkan REvil ransomware.

Secara design product ini memang memiliki hak ases penuh setara Administrator, yang berarti MSP (Managed Service Providers) yang terkena / terinfeksi ransomware tersebut, dapat menyebarkan ransomware yang sama ke perangkat client mereka / end user.
Secara simple berarti sebuah bencana.

Penyebaran REvil Ransomware

Kaseya secara design membutuhkan Level Permission yang tinggi. Permission ini sesuai dengan tujuan nya, yakni agar Kaseya mampu menghandle & me-manage sistem tersebut. Dan di sisi lain, ransomware juga memanfaatkan privileges ini untuk mem-push dirinya sendiri ke dalam sistem tersebut.

Di dalam kasus ini, si attacker (penyerang) melakukan semacam push update yang dimana secara otomatis ransomware akan terinstall di semua sistem yang dimanage oleh Kaseya itu sendiri - dengan kata lain impact nya sangat-sangat besar.

Selain itu, Kaseya juga merekomendasikan untuk meng-exclude beberapa folder dari scanning Antivirus. Dan hasil rekomendasi dari Kaseya ini juga dimanfaatkan oleh si penyerang, untuk memudahkan operasi nya dalam menyebarkan ransomware tersebut.

Teknik Penyerangan

Pada kasus Kaseya ini ada beberapa jenis atau cara yang digunakan oleh si penyerang untuk memuluskan serangan ransomware ini. Salah satunya adalah Tampering (menggangu) Microsoft Defender. Perintah / command yang dijalankan adalah sebagai berikut :

powershell.exe Set-MpPreference -DisableRealtimeMonitoring $true -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -EnableNetworkProtection AuditMode -Force -MAPSReporting Disabled -SubmitSamplesConsent NeverSend

Dimana secara garis besar, perintah / command yang dijalankan tersebut bertujuan untuk :

• Menonaktifkan IPS
• Menonaktifkan Real Time Scanning
• Menonaktifkan Controlled Folder Access (Ransomware Prevention)
• Menonaktifkan Script Scanning
• Menonaktifkan Cloud Lookup
• Mematikan fitur Cloud Sample Submission
• Menonaktifkan Network Protection

IoC's (Indicators of Compromise)

d55f983c994caa160ec63a59f6b4250fe67fb3e8c43a388aec60a4a6978e9f1e

8dd620d9aeb35960bb766458c8890ede987c33d239cf730f93fe49d90ae759dd

e2a24ab94f865caeacdf2c3ad015f31f23008ac6db8312c2cbfb32e4a5466ea2

Statement dari Kaseya

We are in the process of investigating the root cause of the incident with an abundance of caution but we recommend that you IMMEDIATELY shutdown your VSA server until you receive further notice from us. Its critical that you do this immediately, because one of the first things the attacker does is shutoff administrative access to the VSA

Let's talk casually now....

Impact dari kasus ini bisa jadi sangat luar biasa.
Kalau dilihat dari beberapa berita yang sudah beredar di dunia maya, customer / user yang bahkan bukan merupakan customer langsung dari Kaseya itu sendiri juga terkena dampak operasional yang masif.

Dapat dikatakan kasus ini sudah merupakan kasus skala besar / masif dan dapat dikategorikan sebagai Supply Chain Attack. Kasus ini juga seharusnya jadi pelajaran untuk Pemerintah dan instansi / organisasi lain nya, agar lebih serius mengenai keamanan cyber.

Seperti contoh yang sudah saya referensikan diatas, Coop merupakan salah satu grocery store terbesar di Swedia. Mereka menghentikan layanan grocery store mereka di 800 cabang, karena terkena dampak dari kasus serangan cyber ini.

Apabaila kasus seperti Kaseya ini kita kaitkan dengan situasi pandemi COVID19 saat ini, maka jika layanan seperti supermarket / grocery store besar tutup atau food industry tidak dapat beroperasi, bisa dibayangkan bagaimana dampak nya untuk pemenuhan kebutuhan hidup sehari-hari?

Dan tidak menutup kemungkinan, hal-hal seperti ini juga bisa menyerang dan berdampak kepada industri Healthcare. Yang dimana seperti kita ketahui, industri Healthcare adalah salah satu industri yang paling tidak diharapkan untuk terkena dampak serangan seperti ini, khususnya di momen pandemi COVID19 yang sedang terjadi saat ini.

Di momen pandemi COVID19 saat ini, bisakah anda bayangkan dampak yang terjadi jika industri seperti Healthcare, Food Industry, dan sejenisnya sampai harus menutup layanan operasional nya karena serangan cyber seperti ini?

Untuk itu harapan nya Pemerintah, Instansi / Organisasi terkait dan juga para staff IT khususnya divisi IT Operation / IT Security, untuk lebih peka dan peduli terhadap infrastruktur sistem masing-masing, demi mencegah hal-hal yang tidak diingingkan.

My personal thoughts

Belajar dan berkaca dari sudah banyaknya kasus yang terjadi, khusus nya dari kasus Kaseya ini, secara pribadi saya sangat menyarankan (dan cukup sering saya katakan di beberapa training yang saya lakukan) untuk :

TIDAK MENGIKUTI SARAN KASEYA DALAM MELAKUKAN "PENGECUALIAN/EXCLUSION" TERHADAP TOOLS SEMACAM KASEYA INI DARI PROTEKSI YANG DITAWARKAN OLEH ANTIVIRUS atau ENDPOINT PROTECTION

Mengapa?

Seperti yang sudah dijelaskan diatas, tools atau software semacam Kaseya VSA ini membutuhkan ijin Priviliges Administrator yang sangat tinggi. Untuk itu, jika tools semacam ini diberikan pengecualian dari protection antivirus / endpoint protection, maka siapa yang akan mengawasi nya?

Mungkin jawaban nya adalah manusia, mungkin. Tetapi, manusia layaknya software tidak lah sempurna. Semua nya punya kekurangan.

Dan jika anda rasa saran saya tersebut tidak cocok dikarenakan masalah "usability", maka selanjutnya langkah yang saya anjurkan adalah challenge vendor software tersebut agar software / tools sejenis bisa tetap berjalan, meskipun tidak di exclude dari Antivirus / Endpoint Protection.

Karena dalam Security, tidak ada pernah ada yang namanya aman.
Dan Security tidak akan pernah berjalan mulus dengan Usability ✌️