Minggu kedua: lebih banyak bot, WordPress naik dua kali

Minggu lalu kami menulis soal minggu pertama sensor di digimasi.com: 1.744 permintaan dari bot, dua pertiganya mencari file .env. Sekarang minggu kedua sudah lengkap, dari Senin 19 sampai Minggu 25 Oktober. Jumlah permintaannya hampir sama, tapi yang datang jauh lebih banyak, dan yang mereka cari mulai bergeser.

Angkanya

• 1.809 permintaan dari 137 alamat IP, tercatat dari 19 Oktober pukul 00.00 WIB sampai akhir 25 Oktober.
• Alamat-alamat itu terdaftar di 30 negara. Itu lokasi servernya, belum tentu lokasi orangnya.
• Jaringan terbesar menyumbang sekitar sepertiga permintaan (612), tapi dari 28 alamat berbeda. Minggu lalu, hampir separuh permintaan datang dari 3 alamat saja.
• 16 permintaan membawa tebakan username atau kata sandi, dikirim ke halaman login yang sebenarnya tidak ada.

Tidak ada yang berhasil. File yang mereka minta memang tidak ada di website kami, jadi semuanya cuma dapat halaman "tidak ditemukan".

Dibanding minggu pertama

• Permintaan hampir sama, alamatnya naik separuh: dari 1.744 jadi 1.809 permintaan, tapi alamat IP naik dari 91 jadi 137. Rata-rata tiap alamat mengirim sekitar 13 permintaan, turun dari sekitar 19.
• .env masih nomor satu, tapi porsinya turun: dari 1.141 (hampir dua pertiga) jadi 936 permintaan, sekitar separuh. Yang mencarinya justru bertambah, dari 39 jadi 50 alamat.
• WordPress naik dua kali lipat: dari 197 jadi 395 permintaan, dan dari 50 jadi 72 alamat.
• Folder .git juga naik dua kali lipat: dari 76 jadi 150 permintaan, dan dari 20 jadi 42 alamat. /.git/config sekarang jadi alamat kedua yang paling sering diminta (52 kali, dari 34 alamat).
• File PHP turun: dari 198 jadi 112 permintaan.

Jadi minggu ini bukan soal bot yang lebih rajin, tapi bot yang lebih banyak. Lebih banyak alamat yang mampir, masing-masing mengirim lebih sedikit.

Apa yang mereka cari

• File konfigurasi rahasia .env (936 permintaan, 50 alamat). Delapan dari sepuluh alamat yang paling sering diminta adalah variasi .env: /.env (62), /.env.local (34), /.env.backup (30), /.env.production (28), /.env.development (26), /.env.old (26), /.env.example (25), dan /.env.save (24). Bot menebak nama yang biasa dipakai developer untuk salinan atau versi lain dari file itu.
• WordPress (395 permintaan, 72 alamat). Termasuk /xmlrpc.php (28 permintaan dari 21 alamat), pintu yang sering dipakai untuk menebak kata sandi. Website kami tidak pakai WordPress.
• Folder riwayat kode .git (150 permintaan, 42 alamat).
• File PHP (112 permintaan). Padahal website kami tidak pakai PHP.
• File konfigurasi lain (100 permintaan).
• Kunci cloud dan server (55 permintaan, 20 alamat).
• File backup (36 permintaan, 6 alamat). Kategori ini baru muncul minggu ini: tebakan nama file arsip dan dump database.
• Panel admin (24 permintaan) dan jalur khas framework (1).

Yang menarik: lebih tersebar

Minggu lalu, satu jaringan (Virtualine Technologies) mengirim 846 permintaan dari 3 alamat saja, hampir separuh dari semuanya. Minggu ini jaringan itu turun jadi 325 permintaan dari 5 alamat. Posisi pertama sekarang Google LLC: 612 permintaan, tapi dari 28 alamat. Lalu TECHOFF SRV LIMITED (273 dari 11 alamat), TC DATACENTER (185 dari 8 alamat), dan DigitalOcean (77 dari 24 alamat). Nama jaringan di sini adalah pemilik blok alamatnya, biasanya penyedia server atau cloud. Siapa pun yang menyewa server di sana bisa memakainya, jadi bukan berarti perusahaan itu sendiri yang mengirim permintaannya.

Negaranya juga lebih merata. Jerman masih di atas (376 permintaan), tapi jauh dari 950 minggu lalu. Belanda (347), Amerika Serikat (270, dari 30 alamat), Belgia (238), dan Polandia (185) menyusul, dan Italia (100) serta Jepang (59) masuk daftar sepuluh besar.

Soal tebakan login

Ada 16 tebakan login, sama dengan minggu lalu, tapi angkanya tidak bisa dibandingkan langsung. Mulai minggu ini kami tidak lagi menghitung pingback WordPress sebagai tebakan login, karena isinya alamat web, bukan username dan kata sandi. Jadi 16 minggu ini semuanya benar-benar percobaan login. Seperti minggu lalu, tidak ada username pasaran seperti "admin" di antaranya, jadi daftar username di catatan mingguan tetap kosong.

Cek website Anda sendiri

Semuanya bisa Anda cek sendiri dalam lima menit, di website milik Anda:

• Buka namadomainanda.com/.env di browser. Seharusnya muncul "tidak ditemukan". Kalau yang muncul malah isi filenya, segera pindahkan file itu dari folder publik, lalu ganti semua kata sandi dan kunci yang ada di dalamnya.
• Coba juga variasinya: /.env.local, /.env.backup, /.env.production, /.env.example. File contoh pun kadang berisi kunci asli.
• Buka namadomainanda.com/.git/config. Seharusnya juga "tidak ditemukan". Kalau muncul teks, berarti folder .git Anda bisa dibuka siapa saja, dan riwayat kode website ikut terbuka.
• Jangan simpan file backup (.zip, .sql, .tar.gz) di folder website. Simpan di tempat lain yang tidak bisa dibuka dari internet.
• Kalau pakai WordPress: matikan xmlrpc.php kalau tidak dipakai, batasi percobaan login, dan aktifkan verifikasi dua langkah untuk akun admin. Minggu ini 72 alamat berbeda mencoba WordPress di website kami, padahal kami tidak pakai WordPress sama sekali.

Catatan soal data ini

Kami hanya mengamati. Semua data berasal dari bot yang datang sendiri ke digimasi.com; kami tidak pernah memindai website orang lain, dan alamat IP tidak kami tampilkan di sini. Alamat yang jelas-jelas menyerang kami laporkan ke AbuseIPDB. Cara kerja lengkapnya ada di halaman metodologi, dan angka tiap minggunya ada di halaman catatan mingguan.

Data: Riset keamanan Digimasi, catatan mingguan sensor (https://doi.org/10.5281/zenodo.23655270).

Kami akan terus mencatat dan membandingkan hasilnya dari minggu ke minggu.