[PR] Symantec: Anatomi Serangan ke Point Sistem Penjualan

Serangan-serangan terhadap sistem Point of Sale (POS) di lingkungan yang sudah matang biasanya bertahap. Pertama, penyerang harus mendapatkan akses ke jaringan korban. Biasanya, mereka mendapatkan akses ke jaringan terkait dan tidak langsung ke lingkungan data pemegang kartu (Cardholder Data Environment/CDE).

Mereka kemudian harus melintasi jaringan, akhirnya mendapatkan akses ke sistem POS. Selanjutnya, mereka akan menginstal malware untuk mencuri data dari sistem yang telah disusupi. Karena sistem POS kemungkinan tidak memiliki akses jaringan eksternal, data yang dicuri kemudian biasanya dikirim ke server tahapan internal dan akhirnya lolos secara diam-diam dari jaringan retailer ke penyerang.

Penyusupan

Ada berbagai metode yang bisa digunakan penyerang untuk mendapatkan akses ke jaringan perusahaan. Mereka dapat mencari kelemahan di sistem menghadap eksternal, seperti menggunakan injeksi Structured Query Language (SQL) pada server Web atau menemukan perangkat periferal yang masih menggunakan kata sandi default perusahaan. Atau mereka dapat menyerang dari dalam dengan mengirimkan email phishing spear kepada individu dalam organisasi. Email phishing spear bisa berisi lampiran berbahaya atau tautan ke situs web yang menginstal program pintu belakang di mesin milik korban.

Melintasi Jaringan

Setelah berada di dalam jaringan, para penyerang harus mendapatkan akses ke target utama mereka – sistem POS. Penyerang biasanya akan menggunakan berbagai alat untuk memetakan jaringan untuk menemukan sistem-sistem dalam CDE. Meskipun mereka mungkin menggunakan kerentanan atau menggunakan teknik lain untuk mendapatkan akses ke sistem ini, namun metode yang paling efektif, untuk mendapatkan akses adalah dengan mendapatkan kredensial pengguna. Kredensial pengguna dapat diperoleh melalui keylogging Trojans, pengambilan hash kata sandi, cracking, dan/atau memainkan kembali sekuens login yang diambil, atau bahkan pemaksaan. Akhirnya, kredensial tingkat administratif mungkin bisa didapatkan. Penyerang-penyerang bahkan mungkin mendapatkan kendali pengontrol domain, memberikan mereka akses penuh ke semua komputer dalam jaringan tersebut. Setelah mendapatkan kendali, mereka kemudian bisa mendapatkan akses ke CDE, bahkan ketika ini berada dalam jaringan tersegmentasi dengan menggunakan lintasan jaringan dan data yang dibuat untuk kepentingan bisnis yang sudah ada. Setelah masuk ke CDE, mereka kemudian menginstal malware yang memungkinkan mereka untuk mencuri data kartu dari sistem POS.

Alat pencuri data

Malware yang sengaja dibuat untuk mencuri data dari sistem POS kini banyak tersedia di pasar gelap. Dalam beberapa serangan, alat-alat pelacak jaringan digunakan untuk mengumpulkan nomor kartu kredit ketika mereka melintasi jaringan internal tidak terenkripsi. Lain waktu, malware yang menghabiskan RAM ini digunakan untuk mengumpulkan nomor kredit saat data tersebut terbaca ke dalam memori komputer. Setiap data yang dikumpulkan kemudian disimpan dalam file lokal sampai waktu untuk lolos tanpa diketahui. Seringkali, file data ini harus ditransfer ke beberapa komputer melalui jaringan internal sampai mencapai sebuah sistem yang memiliki akses ke sistem eksternal.

Kegigihan dan Penipuan

Karena penyerang menargetkan sistem POS dan serangan ini membutuhkan waktu untuk mengumpulkan data, mereka akan memerlukan kode yang persisten. Tidak seperti pelanggaran database di mana jutaan catatan dapat diakses langsung, pelanggaran sistem POS mengharuskan penyerang untuk menunggu sampai transaksi-transaksi terjadi dan kemudian mengumpulkan data secara real-time dari setiap kartu kredit yang digunakan. Karena itu, penemuan awal dari serangan ini dapat membatasi kerusakan. Kegigihan Malware dapat dicapai dengan menggunakan teknik sederhana untuk memastikan proses malware selalu berjalan dan mulai kembali setiap kali sistem di restart.

Teknik tipuan yang digunakan akan bervariasi mulai dari ketidakjelasan nama file dan proses, hingga teknik-teknik bypass software keamanan yang spesifik. Dalam lingkungan yang lebih aman, agar penyerang berhasil, mereka kemungkinan sudah memiliki akses ke kredensial administratif yang sudah disusupi dan dapat menggunakannya untuk scrub logs, menonaktifkan software pengawasan dan sistem, dan bahkan mengubah konfigurasi software keamanan (contohnya mengubah persyaratan penandatanganan file atau memodifikasi entri masuk ) untuk menghindari deteksi.

Exfiltration

Para penyerang dapat membajak sistem internal untuk bertindak sebagai staging server mereka. Mereka akan berusaha untuk mengidentifikasi server yang secara teratur berkomunikasi dengan sistem POS dan menumpang di komunikasi normal untuk menghindari deteksi.

Setiap data yang dikumpulkan oleh malware yang memakan RAM akan dikirim ke staging server tempat data disimpan dan dikumpulkan sampai waktu yang tepat untuk dikirimkan ke penyerang. Pada saat yang tepat, para penyerang dapat mentransfer data yang dikumpulkan melalui sejumlah sistem internal lainnya sebelum akhirnya tiba di sistem eksternal seperti server FTP yang dikompromikan milik pihak ketiga. Dengan menggunakan server yang telah disusupi dari situs yang sah untuk menerima data yang dicuri, lalu lintas ke situs-situs tersebut kemungkinan tidak akan menimbulkan kecurigaan dari pihak retailer yang telah tersusupi, terutama jika situs tersebut adalah situs yang sering dikunjungi oleh pengguna dalam organisasi korban tersebut.