Ssst! Ingin membeli peretasan keamanan yang berbahaya?

Para ahli percaya bahwa worm cyber dirancang untuk melumpuhkan fasilitas nuklir Iran dan membuat industri keamanan dirugikan – dan memang demikian adanya. Para ahli mengatakan bahwa mereplikasi virus akan mudah karena adanya pasar gelap yang mudah diakses untuk kode pemrograman yang merusak.

Basis data kode yang mengeksploitasi kelemahan keamanan adalah hal biasa di Internet. Beberapa dijalankan oleh bisnis sebagai alat penelitian, seperti Pelacak Nol Hari eEye.com, yang dimaksudkan untuk membuat katalog tingkat keparahan kerentanan dan meningkatkan kesadaran. “Hacktivists” berkumpul pada orang lain, seperti inj3ct0r. Namun ada sumber lain dari peretasan ini, yang jauh lebih berbahaya.

Jay Bavisi, presiden perusahaan keamanan Dewan Komisi Eropamengatakan kepada FoxNews.com bahwa penjahat dunia maya yang berniat menulis worm serupa dapat membeli kode di pasar gelap terbuka yang mengeksploitasi kelemahan keamanan yang tidak tercantum dalam database tersebut – cuplikan kode dijual kepada penawar tertinggi.

“Ini seperti eBay bagi para peretas,” kata Bavisi kepada FoxNews.com.

Sebagian besar pakar keamanan percaya suatu negara merilis worm Stuxnet untuk menyerang pembangkit listrik tenaga nuklir Bushehr Iran, baik itu Tiongkok, Israel, Rusia atau bahkan Amerika Serikat. Namun siapa pun mereka, pembuat worm tersebut bisa saja membeli kode yang membuatnya berfungsi di pasar gelap. kata Gerry Egan, direktur Respons keamanan Symantec tim.

“Uang dihabiskan untuk (worm) ini, baik dengan membelinya langsung atau mempekerjakan orang dengan keterampilan yang diperlukan” untuk membuat lubang pada infrastruktur komputer pembangkit nuklir, kata Egan. Faktanya, Stuxnet menggunakan beberapa bug sistem untuk melakukan pekerjaan kotornya, yang disebut eksploitasi zero-day karena mereka memanfaatkan kelemahan saat ini yang beroperasi pada “hari nol” – artinya sekarang.

“Serangan ini menggunakan empat kerentanan zero-day yang berbeda. Apakah jumlahnya banyak? Ya, benar,” katanya kepada FoxNews.com, menjelaskan bahwa hanya 12 dari jenis kerentanan ini yang ditambal pada tahun 2009.

Ada negara yang mungkin berada di belakang Stuxnet, namun Bavisi khawatir bahwa organisasi teroris yang mempunyai dana besar mempunyai akses yang sama besarnya terhadap kode di balik pelanggaran keamanan ini dibandingkan negara-negara lain, berkat pasar gelap ini.

“Ada organisasi teroris yang memiliki pendanaan yang sangat baik dan tahu cara mempekerjakan peretas seperti ini,” ujarnya. “Dan jika Anda pergi ke komunitas bawah tanah, Anda bisa membeli eksploitasi ini.”

Siapa yang mengelola pasar gelap ini, eBay ini untuk mendapatkan kode ilegal? “Beberapa peretas yang sangat canggih melakukan hal ini, mereka menulis kode ini, mereka menemukan kerentanan ini,” kata Bavisi kepada FoxNews.com. “Ini adalah pekerjaan penuh waktu,” tambah Bavisi, sambil mencatat bahwa tergantung pada bagaimana celah keamanan tertentu dapat dieksploitasi, dampak dari kerentanan menjadi lebih tinggi. Jika pembelinya banyak, jual retasan tersebut dengan harga lebih tinggi. Jauh lebih tinggi.

“Harganya bisa semurah $1.000, bisa juga mahal hingga satu juta dolar. Tergantung pada apa yang dilakukannya dan siapa yang membeli,” kata Bavisi. Dan bidang yang menguntungkan ini terus berkembang, kata Egan dari Symantec, menggambarkan upaya perusahaannya untuk menambal lubang keamanan.

“Beberapa tahun yang lalu kami menulis 5-10 kali seminggu,” katanya kepada FoxNews.com. Saat ini, perusahaan melihat “jutaan varian ancaman baru setiap minggunya.”

Berjuang untuk mengatasi lubang keamanan yang diidentifikasi oleh peretas di sistem operasi Windows-nya, Microsoft terus-menerus merilis patch untuk ancaman keamanan tersebut pada hari Selasa – hari yang oleh para pakar keamanan secara luas disebut sebagai “patch Tuesday”. Namun konsistensi yang memungkinkan para profesional TI mengharapkan pembaruan juga memudahkan penjahat dunia maya untuk mengakalinya.

“Setiap hari Selasa, Microsoft merilis patch. Namun setiap hari Rabu, hal tersebut berjalan seperti biasa bagi para peretas. Mereka merekayasa balik malware tersebut. Dan mereka mengirimkannya ke sana,” kata Bavisi kepada FoxNews.com.

Stuxnet menggunakan empat serangan zero-day, menjadikannya sebuah kode yang sangat rumit, namun ada masalah keamanan lain, kata Bavisi: manusia.

“Mereka mencoba mengejar elemen manusia,” katanya, sebuah teknik yang dirintis beberapa dekade lalu oleh proto-hacker Kevin Mitnick. Pakar keamanan menyebutnya rekayasa sosial, dan itu juga memainkan peran penting dalam serangan Stuxnet.

Egan dari Symantec menjelaskan bahwa “hal ini bisa dilakukan dengan menjatuhkan beberapa kunci USB di tempat parkir di luar fasilitas strategis dan mengandalkan keingintahuan alami orang-orang” untuk menginstal virus. Dan ketersediaan pasar gelap, peretasan yang canggih – dan ketergantungan yang terus-menerus pada rekayasa sosial yang terbukti benar – merupakan kombinasi yang berbahaya, kata Bavisi.

“Ini baru permulaan,” dia memperingatkan. “Masih banyak lagi yang akan datang.”

Bagian SciTech FoxNews.com ada di Twitter! ikuti kami @fxnscitech.