Watering Hole Attacks: Ketika Situs yang Anda Percaya Berubah Menjadi Jebakan

Pernahkah Anda mengunjungi situs
favorit Anda? Mungkin forum diskusi,
portal berita, atau situs komunitas.
Anda sudah biasa membukanya.
Anda percaya pada situs itu.
Anda tidak merasa curiga.
Tetapi tanpa Anda sadari, situs itu
telah disusupi. Ketika Anda
membukanya, ada kode berbahaya
yang menyusup ke perangkat Anda.
Bukan karena Anda melakukan
kesalahan. Tetapi karena tempat
yang Anda percaya telah diubah
menjadi jebakan. Inilah yang disebut
Watering Hole Attack.

Watering Hole Attack adalah teknik
serangan siber di mana penyerang
tidak menyerang korban secara
langsung. Penyerang lebih dulu
mengompromikan situs web atau
layanan yang biasa dikunjungi oleh
target. Penyerang mengetahui
bahwa cepat atau lambat target
akan datang ke situs itu.
Jadi penyerang menunggu di sana.
Begitu target berkunjung,
penyerang melancarkan serangan.
Ibarat singa yang tidak mengejar
kijang ke mana-mana. Singa hanya
menunggu di kubangan air. Karena
singa tahu, cepat atau lambat,
kijang pasti datang untuk minum.

Teknik ini berhubungan dengan
Tailgating yang telah dibahas
sebelumnya. Pada Tailgating,
pelaku menumpang akses
orang lain untuk masuk ke area
terbatas. Pada Watering Hole
Attack, pelaku menyerang melalui
tempat yang Anda percaya.
Keduanya memanfaatkan
kebiasaan dan kepercayaan Anda.
Perbedaannya, Tailgating lebih
bersifat fisik atau sesi digital,
sedangkan Watering Hole Attack
lebih bersifat situs web atau
layanan yang Anda akses.

Studi Kasus dan Data Penelitian:
Serangan Watering Hole yang
Pernah Terjadi

Studi Kasus 1: Serangan
terhadap Forbes.com (2013)

Pada Februari 2013, situs berita
bisnis Forbes.com menjadi korban
serangan watering hole. Penyerang
berhasil menyusupkan kode
berbahaya ke salah satu bagian situs,
yaitu halaman “Thought Leaders”.
Halaman ini biasanya menampilkan
tulisan dari para pakar dan
kontributor.

Kode berbahaya itu tidak langsung
menyerang semua pengunjung.
Penyerang memilih target secara
spesifik. Mereka mengarahkan
serangan kepada pengunjung yang
berasal dari alamat IP tertentu.
Alamat IP itu diketahui milik
perusahaan-perusahaan di sektor
keuangan dan pertahanan. Ketika
pengunjung dari alamat IP tersebut
membuka halaman Forbes, kode
berbahaya itu aktif. Kode itu
mengarahkan browser ke exploit
kit, yaitu perangkat lunak yang
mencari celah keamanan di browser
atau plugin. Jika celah ditemukan,
malware akan diunduh dan
dipasang di perangkat korban.

Para peneliti keamanan dari
Invincea dan perusahaan lain
melaporkan bahwa serangan ini
sangat terarah. Penyerang tidak
ingin menyerang pembaca umum.
Mereka hanya ingin menyerang
orang-orang tertentu yang bekerja
di industri pertahanan dan
keuangan. Forbes kemudian
membersihkan situsnya dan
memblokir akses dari alamat IP
yang mencurigakan.

Rekonstruksi dialog antara peneliti
keamanan dan tim Forbes:

Peneliti: “Kami menemukan skrip
asing di halaman Thought Leaders.
Skrip ini hanya aktif untuk
pengunjung dari alamat IP tertentu.”

Tim Forbes: “Apakah itu berarti situs
kami digunakan untuk menyerang
pembaca tertentu?”

Peneliti:
“Ya. Penyerang memanfaatkan
kepercayaan pembaca pada Forbes.
Mereka tahu bahwa para eksekutif
dan kontraktor pertahanan sering
membaca halaman itu.”

Tim Forbes: “Jadi kami bukan target
utama. Kami hanya alat.”

Peneliti: “Tepat. Target sebenarnya
adalah pembaca Anda.”

Kasus ini menunjukkan bahwa
watering hole attack tidak selalu
menyerang situs besar secara acak.
Penyerang memilih situs yang
memiliki pengunjung dengan
profil tertentu. Mereka menunggu
di sana. Ketika target yang tepat
datang, mereka menyerang.

Studi Kasus 2: Operation
Aurora (2009)

Pada tahun 2009, serangkaian
serangan siber yang dikenal sebagai
Operation Aurora mengguncang
dunia maya. Targetnya termasuk
Google, Adobe, dan puluhan
perusahaan teknologi lainnya.
Serangan ini juga menyasar aktivis
hak asasi manusia dan organisasi
yang mengkritik pemerintah
Tiongkok.

Metode yang digunakan adalah
watering hole attack. Penyerang
mengompromikan sejumlah situs
web yang biasa dikunjungi oleh para
aktivis dan karyawan perusahaan
teknologi. Situs-situs itu antara lain
forum diskusi, portal berita, dan situs
organisasi. Ketika target membuka
situs-situs itu, kode JavaScript
berbahaya dieksekusi. Kode itu
memanfaatkan celah keamanan
di Internet Explorer. Setelah celah
itu dieksploitasi, malware dipasang
di komputer korban. Malware itu
memberi penyerang akses jarak
jauh ke sistem korban.

Google kemudian mengumumkan
bahwa mereka telah mendeteksi
serangan itu dan melakukan
investigasi. Mereka juga mengubah
kebijakan keamanan mereka.
Kasus ini menjadi salah satu contoh
paling terkenal dari watering hole
attack yang menargetkan kelompok
tertentu melalui situs yang mereka
percaya.

Rekonstruksi dialog antara analis
keamanan dan manajemen Google:

Analis: “Kami menemukan lalu
lintas mencurigakan dari beberapa
situs yang biasa dikunjungi
karyawan kami.”

Manajemen: “Apakah itu serangan
langsung ke sistem kami?”

Analis: “Bukan. Penyerang
mengompromikan situs pihak ketiga.
Ketika karyawan kami membuka
situs itu, malware masuk
ke komputer mereka.”

Manajemen: “Jadi kita diserang
lewat situs yang kita percaya?”

Analis: “Ya. Penyerang memanfaatkan
kebiasaan karyawan. Mereka tidak
menyerang kita secara langsung.
Mereka menyerang tempat kita
berkumpul.”

Kasus ini menunjukkan bahwa
watering hole attack sangat efektif
ketika penyerang mengetahui
kebiasaan target. Penyerang tidak
perlu mengejar target. Penyerang
hanya perlu menunggu di tempat
yang biasa target kunjungi.

Data Penelitian tentang
Drive-by Download

Penelitian tentang drive-by
download menunjukkan bahwa
serangan melalui situs web yang
dikompromikan adalah salah satu
metode infeksi malware yang paling
umum. Sebuah studi yang dilakukan
oleh perusahaan keamanan
Symantec pada tahun 2013
menemukan bahwa sekitar satu dari
delapan situs web yang diuji
mengandung setidaknya satu tautan
berbahaya. Studi lain oleh Google
pada tahun 2013 menemukan bahwa
jutaan situs web terinfeksi malware
setiap tahun. Sebagian besar infeksi
itu terjadi tanpa sepengetahuan
pemilik situs.

Data ini menunjukkan bahwa situs
web yang Anda percaya belum tentu
aman. Situs itu bisa saja telah
disusupi. Anda tidak bisa menilai
keamanan situs hanya dari
tampilannya. Anda perlu waspada
bahkan terhadap situs yang sudah
lama Anda kunjungi.

Mengapa Watering Hole Attack
Begitu Efektif?

Manusia memiliki tempat favorit.
Kita tidak waspada di tempat yang
sudah biasa kita kunjungi.
Kita berpikir, “Ini kan situs
langganan saya.” Padahal bisa jadi
situs itu telah disusupi. Karena kita
tidak curiga, kita mengklik apa saja,
mengunduh apa saja, dan login
tanpa berpikir.

Watering hole attack juga
memanfaatkan efek halo.
Kita cenderung mempercayai
merek atau situs yang sudah kita
kenal. Kita berasumsi bahwa situs
besar pasti aman. Padahal situs
besar juga bisa disusupi. Penyerang
memanfaatkan kepercayaan itu.
Mereka tidak perlu membuat
situs palsu. Mereka hanya perlu
menyusup ke situs asli.

Selain itu, serangan ini sering kali
tidak memerlukan tindakan dari
korban. Korban hanya perlu membuka
situs. Malware langsung berjalan
di latar belakang. Korban tidak
melihat apa pun. Tidak ada peringatan.
Tidak ada tanda bahaya. Korban tidak
menyadari bahwa perangkatnya telah
terinfeksi. Inilah yang membuat
serangan ini sangat berbahaya.

Empat Fase Watering Hole
Attack:
Kisah Rina dan Forum
Pertahanan

Untuk memahami cara kerja teknik
ini, kita akan mengikuti kisah Rina.
Ia bekerja di sebuah perusahaan
pertahanan. Ia sering mengunjungi
forum diskusi industri pertahanan
yang bernama DefenseTalk.

Fase 1: Pengintaian

Sekelompok penyerang ingin
menyusup ke perusahaan tempat
Rina bekerja. Mereka melakukan
riset. Mereka mencari tahu situs
apa yang sering dikunjungi oleh
karyawan perusahaan itu. Mereka
menemukan bahwa banyak
karyawan, termasuk Rina, aktif
di DefenseTalk.

Penyerang: “Target kita adalah
perusahaan itu. Karyawannya
sering membuka DefenseTalk.
Kita tidak perlu menyerang
perusahaan secara langsung.
Kita cukup menyerang forum itu.”

Penyerang lain: “Apakah kita bisa
menyusup ke forum itu?”

Penyerang: “Bisa. Forum itu
menggunakan perangkat lunak lama.
Ada celah keamanan yang bisa kita
manfaatkan.”

Fase 2: Mengompromikan Situs

Para penyerang mengeksploitasi
celah keamanan di DefenseTalk.
Mereka berhasil masuk ke sistem
forum. Mereka menyisipkan kode
JavaScript berbahaya ke dalam
halaman forum. Kode itu hanya
aktif untuk pengunjung tertentu.
Misalnya, pengunjung yang
menggunakan browser tertentu
atau berasal dari alamat IP tertentu.

Penyerang: “Kode sudah tertanam.
Sekarang kita tunggu.”

Fase 3: Menunggu Target

Beberapa hari kemudian,
Rina membuka DefenseTalk seperti
biasa. Ia ingin membaca diskusi
tentang teknologi terbaru. Ia tidak
menyadari bahwa halaman itu telah
disusupi. Kode berbahaya itu
berjalan di browser Rina. Kode itu
mencari celah keamanan di browser
Rina. Celah itu ditemukan. Malware
diunduh dan dipasang di komputer
Rina.

Rina: “Kok browser saya lambat ya?”

Ia tidak menyadari bahwa malware
sedang berjalan di latar belakang.
Ia menutup forum dan melanjutkan
pekerjaannya. Komputernya sudah
terinfeksi.

Fase 4: Eksploitasi dan
Pergerakan Lateral

Malware yang dipasang di komputer
Rina memberi penyerang akses jarak
jauh. Mereka bisa melihat file-file
Rina. Mereka bisa membaca email
Rina. Mereka bisa mengakses
jaringan perusahaan. Perlahan-lahan,
mereka bergerak ke sistem yang lebih
sensitif.

Beberapa minggu kemudian,
tim keamanan perusahaan
menyadari ada aktivitas
mencurigakan. Mereka menemukan
bahwa komputer Rina terinfeksi.
Mereka melacak sumbernya.
Mereka menemukan bahwa infeksi
berasal dari DefenseTalk.

Tim keamanan: “Rina, apakah Anda
baru-baru ini membuka DefenseTalk?”

Rina: “Iya. Saya sering buka forum
itu. Kenapa?”

Tim keamanan: “Forum itu telah
disusupi. Malware masuk melalui
browser Anda.”

Rina: “Tapi saya tidak mengklik
apa pun. Saya hanya membaca.”

Tim keamanan: “Itulah yang
berbahaya. Anda tidak perlu
mengklik. Cukup membuka
halaman.”

Rina menjadi korban watering hole
attack. Ia tidak melakukan
kesalahan yang jelas. Ia hanya
mengunjungi situs yang biasa ia
kunjungi. Tetapi situs itu telah
berubah menjadi jebakan.

Contoh Nyata dengan Dialog
Orisinal

1. Karyawan Teknologi dan
Forum Diskusi

Seorang karyawan perusahaan
teknologi, Bima, sering mengunjungi
forum diskusi tentang pemrograman.
Penyerang mengetahui bahwa
banyak karyawan perusahaan
teknologi mengunjungi forum itu.
Mereka menyusup ke forum dan
menyisipkan kode berbahaya.

Bima membuka forum itu.
Kode berbahaya berjalan. Malware
dipasang di komputernya. Bima
tidak menyadari apa pun.

Beberapa hari kemudian,
tim keamanan perusahaan
menghubunginya.

Tim keamanan: “Bima, komputer
Anda terinfeksi malware.
Kami melacak sumbernya dari
forum pemrograman yang Anda
kunjungi.”

Bima: “Saya hanya membaca forum.
Saya tidak mengunduh apa pun.”

Tim keamanan: “Penyerang tidak
perlu Anda mengunduh. Mereka
menyerang melalui celah
di browser.”

Bima: “Jadi saya terkena hanya
karena membuka situs favorit saya?”

Tim keamanan: “Ya. Itulah
watering hole attack.”

2. Warga Desa dan Portal Berita
Lokal

Seorang warga desa, Pak Doni, sering
membaca portal berita lokal.
Portal itu sudah lama menjadi
langganannya. Penyerang menyusup
ke portal itu dan menyisipkan iklan
berbahaya. Ketika Pak Doni mengklik
iklan itu, ponselnya terinfeksi
spyware.

Pak Doni: “Kok pulsa saya cepat
habis ya?”

Anaknya: “Pak, HP Bapak kena
spyware. Ini dari iklan di portal
berita yang Bapak baca.”

Pak Doni: “Tapi portal itu sudah
lama saya baca. Saya percaya.”

Anaknya: “Penyerang memanfaatkan
kepercayaan Bapak. Mereka
menyusup ke situs yang Bapak
percaya.”

3. Aktivis dan Situs Organisasi

Seorang aktivis, Sari, sering
membuka situs organisasi hak asasi
manusia.
Penyerang mengompromikan situs
itu dan menyisipkan kode
berbahaya. Ketika Sari membuka
situs itu, komputernya terinfeksi.
Penyerang bisa membaca email
dan dokumen Sari.

Sari: “Saya tidak mengerti.
Saya hanya membuka situs
organisasi saya.”

Rekan: “Situs itu sudah disusupi.
Penyerang menargetkan aktivis
seperti Anda.”

Sari: “Jadi mereka menyerang saya
melalui tempat yang saya percaya?”

Rekan: “Ya. Mereka menunggu
di sana. Mereka tahu Anda akan
datang.”

Cara Melindungi Diri dari
Watering Hole Attack

Jika Anda ingin melindungi diri dari
watering hole attack, ada beberapa
langkah yang bisa dilakukan.

Pertama, jangan langsung
percaya pada situs yang Anda
kunjungi. Walaupun itu situs
langganan Anda, tetap waspada.
Situs besar bisa disusupi. Situs kecil
bisa disusupi. Tidak ada situs yang
kebal.

Kedua, jangan mengklik iklan
atau tautan yang mencurigakan.
Walaupun iklan itu ada di situs
favorit Anda. Penyerang sering
menyisipkan kode berbahaya melalui
iklan. Gunakan pemblokir iklan dan
skrip untuk mengurangi risiko.

Ketiga, rajin memperbarui
browser dan sistem operasi.
Banyak serangan watering hole
memanfaatkan celah keamanan
yang sudah diketahui. Jika Anda
memperbarui perangkat lunak
Anda, celah itu ditutup. Penyerang
tidak bisa lagi memanfaatkannya.

Keempat, gunakan perangkat
keamanan tambahan.
Pasang antivirus, firewall, dan alat
deteksi malware. Alat-alat ini bisa
mendeteksi dan memblokir kode
berbahaya sebelum merusak
sistem Anda.

Kelima, waspadai perubahan
pada situs favorit Anda.
Jika situs tiba-tiba meminta Anda
mengunduh sesuatu, atau meminta
login ulang padahal biasanya tidak,
curigalah. Itu bisa menjadi tanda
bahwa situs telah disusupi.

Keenam, pisahkan jaringan.
Jika Anda bekerja di perusahaan,
pastikan jaringan Anda terpisah.
Jangan biarkan satu komputer
yang terinfeksi mengakses seluruh
jaringan. Gunakan segmentasi
jaringan untuk membatasi
penyebaran malware.

Ketujuh, latih kesadaran
keamanan. Semakin banyak orang
yang tahu tentang watering hole
attack, semakin sulit penyerang
berhasil. Bagikan informasi ini
kepada rekan kerja dan keluarga.

Watering Hole Attack adalah teknik
yang memanfaatkan kepercayaan
dan kebiasaan manusia. Penyerang
tidak perlu mengejar Anda.
Penyerang hanya perlu menunggu
di tempat yang biasa Anda kunjungi.
Ketika Anda datang, penyerang
menyerang. Anda tidak diserang
karena Anda lemah. Anda diserang
karena Anda percaya.
Kenali polanya. Jaga kewaspadaan.
Dan jangan biarkan situs yang Anda
percaya berubah menjadi jebakan
yang merugikan Anda.

kalau masih kurang paham ini
versi yang sederhana:

Oke, kita lanjut ke teknik berikutnya.
Namanya Watering Hole Attacks.

Lo pasti pernah ngalamin momen
di mana lo lagi asik buka situs favorit
lo. Mungkin forum, portal berita,
atau situs komunitas. Lo udah biasa
ke situ. Lo percaya. Lo nggak mikir
apa-apa. Tapi tanpa lo sadar,
situs itu udah disusupi. Dan pas lo
buka, ada sesuatu yang nyusup
ke komputer lo. Bukan karena lo
yang salah. Tapi karena tempat yang
lo percaya udah diubah jadi jebakan.
Nah, itu yang namanya Watering
Hole Attack.

Simpelnya, watering hole attack
adalah teknik di mana penyerang
nggak nyerang lo langsung.
Dia nyerang dulu situs atau layanan
yang biasa lo kunjungi. Dia tau lo
bakal dateng ke situ.
Jadi dia nunggu di situ. Begitu lo
mampir, dia nyerang. Ibaratnya,
singa nggak ngejar kijang
ke mana-mana. Dia cuma nunggu
di kubangan air. Karena dia tau,
cepat atau lambat, kijang pasti
dateng buat minum.

Ini masih nyambung sama
Tailgating yang barusan kita
bahas. Kalau tailgating itu lo nebeng
masuk lewat pintu orang lain,
watering hole ini lo diserang lewat
tempat yang lo percaya. Dua-duanya
sama-sama manfaatin kebiasaan lo.
Tapi tailgating lebih ke fisik atau
sesi, watering hole lebih ke situs
atau layanan yang lo akses.

Kenapa ini ampuh? Karena kita semua
punya tempat favorit. Kita nggak
waspada di tempat yang udah biasa
kita kunjungi. Kita mikir,
“Ah, ini kan situs langganan gue.”
Padahal bisa jadi situs itu udah
disusupi. Dan karena kita nggak
curiga, kita klik apa aja,
kita download apa aja, kita login
tanpa mikir.

Contoh gampangnya gini.
Ada kelompok karyawan di satu
perusahaan yang suka buka forum
teknologi tertentu. Penyerang tau
itu. Dia susupin forum itu dengan
malware. Pas karyawan buka forum,
komputer mereka kena. Padahal
mereka cuma baca-baca doang.
Tapi dari situ, penyerang bisa
masuk ke sistem perusahaan.

Contoh lain di dunia nyata.
Situs berita lokal yang sering
dibaca warga desa. Penyerang
susupin iklannya. Pas warga klik
iklan, HP mereka kena spyware.
Nggak ada yang curiga, karena
situsnya emang langganan.

Cara pakainya, bagi pelaku,
gampang.
Pertama, tentuin target. Siapa yang
mau diserang.
Kedua, cari situs atau layanan yang
biasa target kunjungi.
Ketiga, susupin situs itu dengan kode
jahat. Keempat, tunggu target dateng.
Nggak perlu ngejar. Cukup nunggu.

Tapi lo nggak perlu jadi pelaku.
Lo perlu tau cara nahan teknik ini.
Pertama, jangan langsung percaya
sama situs yang lo kunjungi.
Walaupun itu langganan lo. Tetap
waspada.
Kedua, jangan klik iklan atau link
yang mencurigakan, walaupun ada
di situs favorit lo.
Ketiga, rajin update browser dan
antivirus.
Keempat, kalau bisa, pake pemblokir
iklan dan skrip.
Kelima, kalau situs tiba-tiba minta
download sesuatu, atau minta login
ulang padahal biasanya nggak,
curigalah.

Jadi, Watering Hole Attacks itu
ibarat lo lagi minum di kubangan air
yang biasa lo datengin. Lo nggak
curiga, karena tempatnya familiar.
Tapi di balik airnya, ada predator
yang udah nunggu. Lo nggak
diserang karena lo lemah.
Lo diserang karena lo percaya.