Serangan “Lost Mode” Apple yang membuat pusing Stay Hungry, Stay Foolish .... Be Secure

Minggu kedua Agustus 2017, para pengguna produk Apple mendapatkan kejutan yang tidak menyenangkan. Bagaimana tidak, pemilik yang sah dari piranti keluaran Cupertino ini mendadak terkunci dari akses ke perangkatnya dimana untuk mengakses perangkatnya mereka harus memasukkan PIN yang tidak mereka ketahui. Seakan belum cukup kejutan yang diberikan, ada pesan pada layar blokir tersebut bahwa jika ingin mendapatkan PIN akses ke perangkat kerasnya, mereka harus menghubungi alamat email yang telah ditentukan. Dan dari beberapa korban yang mencoba menghubungi alamat email tersebut, ternyata cracker yang memblokir perangkat Apple tersebut meminta uang tebusan dalam bentuk bitcoin sebagai tebusan memberikan PIN untuk mengaktifkan perangkat tersebut.

Pemblokiran perangkat tersebut terjadi secara cukup masif dan serentak dan satu hal yang membuat geleng-geleng kepala adalah akun appleid / icloud yang sudah mengaktifkan TFA Two Factor Authentication juga mengalami serangan yang dikenal dengan istilah serangan “Lost Mode”.

“Lost Mode”

“Lost Mode” adalah fitur baru yang tersedia pada iOS 6 ke atas. Ia akan mengunci perangkat, menampilkan pesan yang bisa di kustomisasi dan mengaktifkan tracking / GPS sehingga anda bisa melihat lokasi perangkat anda. Sekalipun GPS belum diaktifkan. (lihat gambar 1)

Gambar 1, “Lost Mode” pada iCLoud bisa anda temukan di bagian bawah layar dengan tulisan “Need to find your device ?”

Salah satu persyaratan untuk mengaktifkan “Lost Mode” atau “Find your device” adalah pengakses harus mengetahui kredensial secara lengkap. Username dan password akun iCloud / appleid.

Database iCloud bocor ?

Lalu, bagaimana serangan ransom yang menggunakan “Lost Mode” bisa terjadi ?

Sebagai catatan, serangan yang terjadi cukup masif dan terjadi di banyak negara dan bukan hanya Indonesia saja.

Karena untuk mengaktifkan “Lost Mode” memerlukan kredensial “username” dan “password”, jadi berarti pihak penyerang harus mendapatkan kedua data tersebut terlebih dahulu baru bisa melakukan serangan “Lost Mode”. Adapun metode yang digunakan bisa macam-macam seperti :

• Phishing.
• Malware / keylogger
• Bruteforce
• Database pengguna iCloud / appleid yang bocor.

Melihat besarnya skala serangan dan beberapa wawancara dengan korban serangan “Lost Mode” ini dimana ada pengguna yang sejak pertama kali mengaktifkan iCloud tidak pernah mengunjungi situs apapun atau memasukkan kredensial iCloudnya di situs apapun, maka kemungkinan serangan phishing bisa dikesampingkan. Sedangkan kemungkinan serangan malware dan bruteforce bisa menjadi kemungkinan tetapi biasanya serangan ini bersifat targeted attack dan bukan masif. Karena itu, kemungkinan yang paling besar adalah adanya kebocoran database pengguna iCloud. Kebocoran ini bisa saja dari pihak Apple atau pihak ketiga sekalipun dalam rilis resminya pihak Apple menyangkal kebocoran database / kelemahan sistem pengamanan database penggunanya.

Eksploitasi “Lost Mode”

Lalu, bagaimana teknis serangan “Lost Mode” ini dilakukan ?

Dengan asumsi pihak penyerang sudah mengantongi kredensial iCLoud, cracker hanya perlu mengunjungi situs icloud.com dan memasukkan kredensial yang diminta dan mengaktifkan “Lost Mode”. (lihat gambar 2)

Gambar 2, Layar login iCLoud yang bisa diakses dari peramban internet

Namun ada satu pertanyaan yang menggelitik dan dipertanyakan banyak pengguna Apple yang menjadi korban ““Lost Mode””.

Pada akun yang TFA Two Factor Authentication / otentikasi 2 faktor sudah diaktifkan, mengapa masih tetap bisa terserang oleh “Lost Mode” ? Padahal penyerang jelas tidak bisa mengakses OTP / one time password yang dikirimkan.

Setelah diteliti lebih jauh, ternyata pada akun yang telah mengaktifkan TFA, “Lost Mode” bisa diakses tanpa perlu memasukkan OTP (lihat gambar 1 di atas) dimana ketika layar permintaan OTP muncul, cracker sudah bisa mengaktifkan “Lost Mode” dan mengunci perangkat keras akun iCLoud yang bersangkutan.

Menu yang muncul saat “Lost Mode” diakses adalah seperti pada gambar 3 di bawah ini (gambar diambil dari situs https://www.engadget.com/2014/05/01/iphone-101-how-to-use-lost-mode-to-find-a-missing-ios-device/) :

Gambar 3, Pesan yang bisa ditampilkan saat mengaktifkan “Lost Mode”

Jadi cracker bisa memasukkan pesan pada saat layar pengunci muncul dan hal ini digunakan untuk menampilkan alamat email yang perlu dihubungi yang kemudian meminta uang tebusan jika korban menginginkan PIN pembuka “Lost Mode”.

Setelah pesan dimasukkan, maka akan muncul layar untuk memasukkan PIN pengunci perangkat, disini hanya cracker yang mengaktifkan ““Lost Mode”” yang tahu PIN yang dimasukkannya. 

PENTING !!

Sebagai catatan, jika perangkat yang dikunci adalah iPhone / iPad yang sudah diamankan dengan PIN oleh pemilik perangkat, maka secara otomatis PIN pengunci “Lost Mode” adalah PIN pengunci iPhone / iPad. Berbeda dengan komputer Mac yang kemungkinan besar tidak diamankan dengan PIN pengunci, maka perangkat Mac tersebut tidak akan bisa diakses tanpa PIN “Lost Mode” kecuali melakukan Factory Reset. Namun perlu diketahui, jika melakukan Factory Reset, maka semua data yang tersimpan pada komputer Mac tersebut akan hilang.

Solusi dan Pencegahan

Bagi anda yang sudah menjadi korban “Lost Mode”, jika anda pengguna iPhone / iPad yang sudah mengaktifkan PIN pengunci, anda bisa login ke iCLoud dengan kredensial anda dan non aktifkan “Lost Mode”, lalu SEGERA ganti password anda dan aktifkan TFA.

Jika anda pengguna Mac dan memiliki data berharga pada komputer anda, Factory Reset akan menghapus semua data berharga anda. Ada kemungkinan data anda bisa anda backup dengan melepaskan harddisk / SSD komputer Mac anda yang terkunci dan kopikan data dari harddisk tersebut ke komputer lain sebelum melakukan Factory Reset. Jika anda tidak mengerti bagaimana melakukan hal ini, harap hubungi Apple Store terdekat atau teknisi yang mengertai melakukan hal ini.

Bagi anda yang belum menjadi korban “Lost Mode”, Vaksincom hanya mempunyai 1 saran :

GANTI PASSWORD iCLoud anda segera dan simpan dengan baik.

Bila anda belum mengaktifkan TFA silahkan aktifkan TFA untuk meningkatkan keamanan akun anda dan backup data penting anda dengan baik dan benar.

Sekalipun anda sudah mengaktifkan TFA, anda tetap harus mengganti password iCloud anda karena serangan “Lost Mode” dapat dilakukan tanpa perlu memasukkan OTP dari TFA.

Stay Hungry, Stay Foolish ....... Be Secure.

PS : Terimakasih kepada saudari Erika dari A-Tri yang mengalami serangan Lost Mode dan memberikan banyak informasi berguna untuk membantu para pengguna Apple di Indonesia.

Sumber : https://www.vaksin.com/0817-apple-icloud-lost-mode-attack