Baca tanpa iklan
TRIBUNNEWS.COM, JAKARTA - Smartphone dapat diretas ketika melakukan pengisian daya baterai dengan menggunakan koneksi USB standar yang terhubung ke komputer, para ahli Kaspersky Lab menemukan hal ini ketika melakukan eksperimen proof-of-concept.
Para peneliti saat ini sedang mengevaluasi dampak apa saja yang mungkin timbul dari insiden tersebut.
Pernahkah Anda bertanya-tanya seberapa aman smartphone dan data Anda ketika menghubungkan perangkat ke alat pengisian daya yang tersedia secara bebas di bandara, kafe, taman dan transportasi umum?
Apakah Anda mengetahui data apa saja dan berapa banyak data yang smartphone Anda transfer ke alat ini ketika melakukan pengisian? peneliti Kaspersky Lab merasa penasaran dan melakukan penelitian untuk menemukan jawaban atas pertanyaan-pertanyaan ini.
Sebagai bagian dari penelitian ini, para ahli perusahaan menguji sejumlah smartphone yang menjalankan berbagai sistem operasi baik versi Android maupun iOS untuk memahami data apa saja yang perangkat transfer ke luar saat terhubung ke PC atau Mac ketika dalam pengisian.
Hasil tes menunjukkan bahwa smartphone mengungkapkan seluruh litani data ke komputer pada saat proses ‘handshake' (proses perkenalan antara perangkat dengan PC / Mac ketika saling terhubung), termasuk: nama perangkat, produsen perangkat, jenis perangkat, nomor seri, informasi firmware, informasi sistem operasi, sistem file / daftar file, elektronik chip ID.
Jumlah data yang dikirim selama proses ‘handshake’ ini bervariasi tergantung pada perangkat dan host, tetapi kebanyakan dari smartphone mentransfer sejumlah informasi yang hampir sama, seperti nama perangkat, produsen, nomor seri dll.
Apakah hal ini bisa dikategorikan sebagai masalah keamanan? Secara tidak langsung hal ini termasuk kedalamnya. Di era digital seperti sekarang ini, smartphone hampir selalu menemani pemiliknya kemana saja dan perangkat ini juga dapat dimanfaatkan sebagai alat identifikasi unik bagi pihak ketiga yang tertarik mengumpulkan data-data tersebut untuk digunakan untuk kepentingan selanjutnya.
Tetapi hal ini tidak akan menjadi sebuah masalah keamanan apabila hal yang bisa dilakukan oleh penyerang hanyalah mengumpulkan beberapa identifikasi unik ketika perangkat terhubung ke komputer atau alat pengisian baterai yang tidak diketahui.
Pada tahun 2014, sebuah konsep diungkapkan pada acara Black Hat yaitu smartphone dapat terinfeksi malware dengan cara menghubungkannya ke sebuah stasiun pengisian palsu.
Sekarang, dua tahun setelah acara tersebut, para ahli Kaspersky Lab berhasil merealisasikan konsep ini. Dengan hanya menggunakan PC biasa dan kabel USB micro standar, dipersenjatai dengan sebuah set perintah khusus (disebut AT-commands), para ahli mampu re-flash smartphone dan diam-diam menginstal aplikasi root pada perangkat. Ha ini sama saja secara total meretas smartphone, meskipun tidak ada malware yang digunakan.
Meskipun informasi tentang insiden yang melibatkan stasiun pengisian palsu belum pernah dipublikasikan, pencurian data dari smartphone yang terhubung ke komputer telah diamati sejak dari lama. Misalnya, teknik ini sudah digunakan pada tahun 2013 sebagai bagian dari aksi spionase siber Red October. Dan kelompok Hacking Team juga menggunakan koneksi komputer untuk memuat perangkat mobile dengan malware.
Kedua pelaku ancaman tersebut menemukan cara untuk mengeksploitasi pertukaran data awal, yang seharusnya aman, antara smartphone dan PC yang saling terkoneksi.
Dengan memeriksa data identifikasi yang diterima dari perangkat yang saling terhubung, hacker mampu menemukan model perangkat yang korban gunakan dan mempercepat serangan mereka dengan bantuan eksploitasi yang dipilih secara khusus.
Data-data tersebut tidak akan mudah untuk didapatkan jika smartphone tidak secara otomatis melakukan pertukaran data dengan PC setelah otomatis terhubung ke port USB.
"Sangat aneh mengetahui bahwa hampir dua tahun setelah publikasi proof-of-concept, yang mengungkapkan bahwa smartphone dapat terinfeksi melalui USB, konsep ini masih terbukti berfungsi. Risiko keamanan di sini adalah jelas: jika Anda pengguna biasa maka Anda dapat dilacak melalui ID perangkat Anda; smartphone Anda bisa di instal dengan apa pun baik itu adware ataupun ransomware secara diam-diam; dan, jika Anda seorang pembuat keputusan di sebuah perusahaan besar, Anda bisa dengan mudah menjadi target hacker profesional," ungkap Alexey Komarov, peneliti di Kaspersky Lab.
"Dan seseorang tidak perlu sangat terampil untuk bisa melakukan serangan tersebut, semua informasi yang Anda butuhkan dapat dengan mudah ditemukan di internet," simpulnya.
Dalam rangka untuk melindungi diri sendiri dari risiko kemungkinan serangan melalui alat pengisian baterai yang tidak diketahui serta komputer yang tidak dipercaya, Kaspersky Lab menyarankan hal-hal berikut ini:
Hanya gunakan stasiun pengisian USB dan komputer terpercaya untuk mengisi daya perangkat Anda;
Lindungi smartphone Anda dengan kata sandi, atau dengan metode lain seperti pengenalan sidik jari, dan jangan membukanya saat pengisian.
Gunakan teknologi enkripsi dan kontainer aman (area terlindung pada perangkat mobile yang digunakan untuk mengisolasi informasi sensitif) untuk melindungi data;
Melindungi perangkat mobile dan PC / Mac Anda dari malware dengan bantuan solusi keamanan yang telah terbukti keandalannya. Hal ini akan membantu untuk mendeteksi malware bahkan jika menggunakan "pengisian" yang rentan.
Untuk mempelajari lebih lanjut, baca posting blog yang tersedia di Securelist.com.