JS Sniffer Attack

Berbagai kemudahan dan kenyamanan dalam hal memilih barang dan bertransaksi secara online, telah menumbuhkan pasar e-commnerce di seluruh dunia. Menurut survey dari Pew Research Center, delapan dari sepuluh orang dewasa di Amerika adalah merupakan konsumen dari e-commerce. Indonesia sendiri, menurut lembaga riset asal Inggris Merchant Machine adalah salah satu negara dengan pertumbuhan e-ecommerce tercepat. Pada tahun 2018 tercatat angka pertumbuhan 78% untuk pertumbuhan e-commerce di Indonesia. Sementara itu berdasarkan survey e-commerce yang dilakukan oleh BPS pada tahun 2019, tercatat angka 24. 82 juta transaksi e-commerce dari 13.485 usaha e-commerce dengan nilai transaksi mencapai 17, 21 T.

Diantara sekian banyak Bahasa pemrograman untuk membangun sebuah website, salah satunya adalah JavaScript. JavaScript (JS) adalah salah satu bahasa pemrograman tingkat tinggi yang dinamis.  JavaScript banyak dipilih oleh programmer untuk membuat sebuah website. Salah satu kelebihannya adalah dukungan dari semua web browser modern sehingga memudahkan programmer untuk membangun sebuah website. JavaScript merupakan bahasa dari sisi klien yang berarti program diunduh di perangkat yang dimiliki oleh pengunjung situs, lalu diproses di perangkat klien. Saat pengguna mengunjungi situs web, maka file JavaScript akan diunduh dan dijalankan secara otomatis. Hal ini  berbeda dengan  bahasa di sisi server dimana program dijalankan pada server sebelum mengirimkan file ke pengunjung situs. Selain membangun sendiri website melalui Bahasa pemrograman, sebuah website E-Commerce dapat pula dibangun dengan mudah melalui ketersediaan berbagai jenis CMS (Content Management System) untuk e-commerce. Bahkan melalui CMS, dalam hitungan menit atau jam, sebuah website e-ecommerce dapat dibangun dengan mudah oleh siapapun.

Namun kenyamanan berbelanja online memiliki kelemahan transaksi data yang terjadi pada saat berbelanja online menjadi target tersendiri dari para pelaku kejahatan dunia maya. Khususnya data-data yang berkaitan dengan transaksi keuangan. Pelaku e-commerce yang menggunakan kartu pembayaran untuk belanja online menghadapi ancaman dunia maya yang tak terhitung jumlahnya, salah satunya adalah JavaScript-sniffer. Laporan yang dibuat oleh pada April 2019, menyebutkan bahwa sebuah malware baru yang dikenal dengan JavaScript-sniffers telah berhasil menginfeksi 2440 situs e-commerce di seluruh dunia. Malware ini dirancang untuk mencuri data pembayaran pelanggan dari toko online.  JS-sniffer adalah salah satu type malware yang diinjeksi oleh pelaku kejahatan kepada website tertentu untuk melakukan intersep data yang dimasukkan oleh user seperti: kartu kredit, username, password dll.

Dalam hal kejahatan ATM dikenal dengan istilah teknik skimming, yaitu menambahkan alat tertentu pada mesin ATM sehinggga data-data nasabah yang tersimpan pada Kartu ATM/Kredit Card dapat dicuri melalui alat skimming yang terpasang di sekitar mesin ATM. JS sniffer sifatnya adalah sama dengan skimming namun dilakukan secara online melalui injeksi beberapa baris kode pada situs web tertentu. Baris-baris koder tersebut dalam menangkap data yang dimasukkan oleh pengguna, seperti nomor kartu kredit, nama, alamat, kata sandi, dll. Selain digunakan langsung oleh si pelaku kejahatan, data-data yang didapat dari aktivitas JS Sniffer dijadikan sebagai salah satu komoditas produk yang jual di forum-forum illegal atau black market.

JS Sniffer adalah termasuk dalam katagori Web/ Online Skimming yaitu suatu bentuk kejahatan siber dimana sebuah malware di injeksikan kepada sebuah website untuk menjalankan aktifitas intersep data perbankan/transaksi keuangan yang dimasukkan oleh pengguna website tersebut.  Aktivitas web/online skimming ini mulai marak sejak tahun 2016. Salah satu kasus terbesar dari web/online skimming ini adalah kasus yang menimpa perusahaan British Airways dimana terdapat sekitar 380.000 data kartu kredit yang berhasil dicuri dari pelanggan perusahaan ini. Demikian juga dengan web Ticketmaster dimana terdapat 40.000 pelanggan website ini yang menjadi korban dari aktivitas web/online skimming.

Menurut riset dari Group-IB, pada tahun 2019 telah terdeteksi 38 varian dari JavaScript sniffers. Menurut riset tersebut, 70% malware JS Script berjalan pada platform (Content Management System) – CMS Magento, yaitu sebuah platform open source untuk e-commerce yang dibangun menggunakan bahasa pemrograman PHP. Magento sendiri adalah salah satu platform e-commerce yang sangat popular. Menurut statistic dari web Magento sendiri, saat ini terdapat lebih dari 250.000 web site e-commerce yang memanfaatkan Magento sebagai platform aktivitasnya. Selain, Magento, beberapa platform e-commerce lainnya juga seperti OpenCart, Shopify, WooCommerce dan WordPress telah berhasil ditembus oleh malware JS Sniffer walaupun prosentasenya tidak sebanyak Magento.

Hal yang mengkhawatirkan dari JS Sniffer adalah sulitnya melakukan deteksi terinfeksinya sebuah website oleh JS Sniffer. Attack JS Sniffer dapat dilakukan langsung kepada websitenya ataupun melalui library/plug in yang digunakan yang berasal dari pihak ketiga. Kekhawatiran lainnya adalah terkait dengan luasnya potensi pencurian data dari sebuah website e-commerce yang telah terinfeksi. Melihat cara kerja dari JS Sniffer ini, menurut Grup IB sangat dimungkinkan terjadinya korban berantai, yaitu tidak hanya pengunjung situs saja namun juga perusahaan pemilik situs serta pihak perbankan yang menjadi mitra transaksi pembayaran dari situs e-ecommerce tersebut juga berpotensi dicuri datanya. Hal ini mengingat banyaknya varian dari JSScript dengan cara kerja dan kemampuan yang berbeda-beda. Group-IB mengidentifikasi bahwa banyaknya varian JS Sniffer tersebut diduga karena dikembangkan oleh sebuah komunitas, bukan oleh individu. JS sniffer telah menjadi bagian dari komunitas underground yang luas dan hal ini tercermin dari adanya penjualan kode JS Script serta penjualan data-data yang diperoleh dari website yang terinfeksi JS Sniffer. Pada awal perkembangannya, JS Sniffer banyak mengarah pada aplikasi Magecart yang diduga dikembangkan oleh oleh sebuah grup hacking yang memuat berbagai script untuk kepentingan berbagai aktivitas pembayaran/payment. Tanpa sadar, pengguna script dari layanan Magecart tersebut akan langsung menjadi target dari aktivitas sniffing perusahaan tersebut.

Secara umum, terdapat 4 tahapan dari aktivitas JS Sniffer, yaitu:

1. Mendapatkan akses kepada website target tertentu. Web dengan vulnerabilitas yang rendah akan menjadi sasaran utama dari pelaku JS Sniffer.
2. Mendapatkan kode JS Sniffer,baik dengan cara melalukan koding sendiri ataupun membeli dari forum underground.
3. Melakukan instalasi/injeksi kode JS Sniffer.
4. Memanfaatkan (monetisasi) hasil pencurian data yang didapat, baik dijual melalui forum underground ataupun dimanfaatkan sendiri untuk pembelian barang-barang pada web e-ecomercer lainnya.

Kunci pertamanya adalah pada langkah awal untuk mendapatkan akses kepada website. Disinilah pentingnya setiap website melakukan external pentest untuk mendapatkan feedback terhadap vulnerability dari website tersebut. Selain itu, melakukan assesmet ketat terhadap vendor atau pihak ketiga yang terkait langsung dengan aplikasi website kita sangatlah penting dilakukan untuk memastikan bahwa pihak ketiga juga telah menerapkan standar keamanan siber yang sesuai.

Untuk meningkatkan faktor keamanan dari website e-ecommerce, maka memanfaatkan layanan premium dari CMS adalah salah satu solusinya. Selain itu juga melakukan update secara berkala versi dari CMS yang digunakan. Selain itu, penggunaan plug-in untuk menambah fungsionalitas website juga harus dilakukan secara hati-hati. Secara umum, kerentan sebuah website e-commerce salah satunya dipengaruhi oleh setting keamanan yang tidak maksimal dari website tersebut. Karena itu, untuk pengelola website e-ecommerce hal yang dapat dilakukan untuk mencegah terinjeksinya JS Sniffer pada websitenya langkah yang dapat dilakukan antala lain:

1.  Gunakan kata sandi yang kuat dan unik untuk akun admin dan lakukan perubahan secara teratur.
2. Lakukan pembaharuan secara lengkap terhadap semua sistim pada perangkat yang digunakan, terutama pada CMS. Library atau plug-in yang digunakan.
3. Lakukan pengecekan secara rutin terhadap keamanan system e-eccomerce yang digunakan.
4. Lakukan mekanisme pencatatan terhadap semua perubahan yang terjadi di situs, log ke panel kontrol, serta perubahan file.
5. Pastikan semua infrastruktur server web dilakukan update/patching sepenuhnya ke versi terbaru. Hal ini  meliputi  perangkat lunak dan perangkat lunak serta sistim operasi yang berjalan pada masing-masing computer.

Web/online skimming banyak menyerang website e-ecommerce dengan katagori kecil dan menengah. Salah satunya adalah karena kurangnya perhatian dari pemilik dan pengeloka website tersebut terhadap aspek keamanan siber. Website untuk usaha e-commerce kecil dan menengah umumnya berfokus pada pengembangan produk, jejaring pemasaran, promosi. Sementara aspek keamanan siber agak terabaikan. Hal inilah yang justru menjadi sasaran pelaku kejahatan siber. Dalam sebuah rantai bisnis, setiap aktivitas bisnis akan saling terhubung, termasuk keterhubungan dengan e-commerce yang besar. Sehingga mentargetkan website e-ecommerce kecil dan menengah adalah salah satu taktik pelakuk kejahatan untuk bisa menembus web ecommerce yang besar, yang relative telah didukung oleh sebuah sitim keamanan siber yang ketat.

Sejalan dengan keberhasilan Ditipidsiber Bareskrim dalam mengungkap pembobolan sejumlah toko online menggunakan JS Sniffer, maka hal yang perlu diapresiasi adalah kemampuan SDM dan teknologi yang dimiliki oleh DitipidsiberBareskrim untuk menerapkan teknik-teknik pengungkapan kejahatan siber yang semakin canggih. Hal ini tentunya didukung pula oleh koordinasi lintas negara yang dilakukan oleh penegak hukum dan perusahaan keamanan siber dalam mengidentifikasi terjadinya kejahatan siber.

Apakah pelaku yang diamankan adalah seorang hacker ? Bisa jadi ya bisa juga tidak. Dalam sebuah organized crime, pelaku umumnya memiliki peran masing-masing. Dalam kasus tersebut bisa jadi pelaku yang sudah dan maupun yang belum tertangkap menjalankan  salah satu dari peran berikut yaitu:

1. programmer, yaitu yang mengembangkan langsung JS sniffer untuk diinjeksi ke website tertentu.
2. technology expert dan hosted system, yang berperan untuk membangun infrastruktur IT dan server hosting.
3. hacker, yang melakukan eksploitasi awal dari sebuah website sehingga didapat celah untuk melakukan injeksi JS Sniffer
4. cashier, money mules, teller, yang berperan dalam hal mekanisme dana yang didapat dari aktivitas criminal ini.
5. distributor, yang berhubungan dengan pihak ketiga untuk menjual data yang didapat dari JS Sniffer
6. leader, pemimpin yang mengendalikan seluruh aktivitas kejahatan.

Bisa jadi diantara pelaku tersebut salah satunya adalah hacker atau salah satu dari tiga peran tersebut karena memang berhubungan langsung dengan sistim komputer dan jaringan serta bertugas untuk melakukan eksploitasi langsung website target serta melakukan injeksi kode JS Sniffer pada website tersebut. Atau bisa saja mereka yang tertangkap itu adalah pelaku yang termasuk salah satu dari tiga peran lainnya yang tidak secara langsung berhubungan dengan teknis computer dan aktivitas hacking. Pihak penegak hukum perlu melakukan pendalaman yang cermat atas peran masing-masing karena akan berkaitan dengan penerapan pasal hukum yang tepat untuk perbuatan yang telah mereka lakukan.

Yogyakarta, 25 Januari 2020

Dr. Yudi Prayudi, M.Kom.

Pusat Studi Forensika Digital FTI UII