Minggu ketiga: WordPress hampir menyusul .env

Minggu lalu kami menulis soal minggu kedua sensor di digimasi.com: lebih banyak bot, dan WordPress naik dua kali. Sekarang minggu ketiga sudah lengkap, dari Senin 26 Oktober sampai Minggu 1 November. Kali ini bukan cuma botnya yang bertambah. Permintaannya juga naik tajam, dan WordPress hampir menyusul .env di posisi teratas.

Angkanya

• 2.976 permintaan dari 179 alamat IP, tercatat dari 26 Oktober pukul 00.00 WIB sampai akhir 1 November.
• Alamat-alamat itu terdaftar di 29 negara. Itu lokasi servernya, belum tentu lokasi orangnya.
• Satu jaringan menyumbang sekitar sepertiga permintaan: 1.000 permintaan dari 22 alamat.
• 9 permintaan membawa tebakan username atau kata sandi, dikirim ke halaman login yang sebenarnya tidak ada.

Tidak ada yang berhasil. File yang mereka minta memang tidak ada di website kami, jadi semuanya cuma dapat halaman "tidak ditemukan".

Dibanding minggu kedua

• Permintaan naik sekitar dua pertiga: dari 1.809 jadi 2.976. Alamat IP naik dari 137 jadi 179. Rata-rata tiap alamat mengirim sekitar 17 permintaan, naik dari sekitar 13. Jadi minggu ini botnya lebih banyak dan juga lebih rajin.
• WordPress naik lagi, lebih dari dua kali lipat: dari 395 jadi 936 permintaan, dan dari 72 jadi 100 alamat. Sekarang hampir sama dengan .env (986).
• .env masih nomor satu, tapi hampir tidak bertambah: dari 936 jadi 986 permintaan. Porsinya turun dari sekitar separuh jadi sepertiga. Yang mencarinya tetap bertambah, dari 50 jadi 66 alamat.
• File PHP hampir tiga kali lipat: dari 112 jadi 313 permintaan. /index.php saja diminta 54 kali, tapi cuma dari 5 alamat.
• Folder .git naik lagi: dari 150 jadi 253 permintaan, dan dari 42 jadi 63 alamat. /.git/config tetap alamat kedua yang paling sering diminta (83 kali, dari 50 alamat).

Apa yang mereka cari

• File konfigurasi rahasia .env (986 permintaan, 66 alamat). Tujuh dari sepuluh alamat yang paling sering diminta adalah variasi .env: /.env (89), /.env.local (51), /.env.backup (47), /.env.bak (45), /.env.production (41), /.env.save (38), dan /.env.old (35).
• WordPress (936 permintaan, 100 alamat). Lebih dari separuh alamat yang datang minggu ini mencoba WordPress. Website kami tidak pakai WordPress.
• File PHP (313 permintaan, 36 alamat). Padahal website kami juga tidak pakai PHP.
• Folder riwayat kode .git (253 permintaan, 63 alamat).
• File konfigurasi lain (221 permintaan, 40 alamat).
• Kunci cloud dan server (96 permintaan, 31 alamat). Untuk pertama kalinya, /.aws/credentials masuk daftar sepuluh besar (35 permintaan dari 24 alamat). File itu berisi kunci akses akun Amazon Web Services.
• File backup (72 permintaan, 7 alamat).
• Panel admin (56 permintaan) dan jalur khas framework (43 permintaan). Yang terakhir ini naik dari cuma 1 permintaan minggu lalu.

Yang menarik: satu jaringan makin besar

Minggu kedua terasa lebih tersebar. Minggu ini satu jaringan kembali menonjol: TECHOFF SRV LIMITED mengirim 1.000 permintaan dari 22 alamat, sekitar sepertiga dari semuanya. Tiga minggu terakhir, jaringan ini terus naik: 56 permintaan di minggu pertama, 273 di minggu kedua, dan 1.000 minggu ini. Google LLC stabil (628 permintaan dari 30 alamat), lalu TC DATACENTER (320 dari 10 alamat), DigitalOcean (221 dari 37 alamat), dan Cloudflare (140 dari 14 alamat). Ada juga satu alamat di LIGHT NODE LIMITED yang sendirian mengirim 60 permintaan. Nama jaringan di sini adalah pemilik blok alamatnya, biasanya penyedia server atau cloud. Siapa pun yang menyewa server di sana bisa memakainya, jadi bukan berarti perusahaan itu sendiri yang mengirim permintaannya.

Negaranya juga bergeser. Belanda kini jauh di atas (1.100 permintaan dari 32 alamat), disusul Amerika Serikat (399), Polandia (327), Prancis (206), dan Singapura (151). Jerman, yang di minggu pertama mengirim 950 permintaan, minggu ini tinggal 104. Brasil dan Thailand masuk daftar sepuluh besar untuk pertama kalinya.

Soal tebakan login

Ada 9 tebakan login, turun dari 16 minggu lalu. Semuanya dikirim ke halaman login yang tidak ada di website kami. Seperti dua minggu sebelumnya, tidak ada username pasaran seperti "admin" di antaranya, jadi daftar username di catatan mingguan tetap kosong.

Cek website Anda sendiri

Semuanya bisa Anda cek sendiri dalam lima menit, di website milik Anda:

• Buka namadomainanda.com/.env di browser. Seharusnya muncul "tidak ditemukan". Kalau yang muncul malah isi filenya, segera pindahkan file itu dari folder publik, lalu ganti semua kata sandi dan kunci yang ada di dalamnya.
• Coba juga variasinya: /.env.local, /.env.backup, /.env.bak, /.env.production. Bot menebak nama-nama ini setiap hari.
• Buka namadomainanda.com/.git/config. Seharusnya juga "tidak ditemukan". Kalau muncul teks, berarti folder .git Anda bisa dibuka siapa saja, dan riwayat kode website ikut terbuka.
• Buka namadomainanda.com/.aws/credentials. Kalau file itu terbuka, siapa pun bisa memakai akun cloud Anda. Hapus dari folder website, lalu matikan kuncinya di akun AWS dan buat kunci baru.
• Kalau pakai WordPress: matikan xmlrpc.php kalau tidak dipakai, batasi percobaan login, perbarui plugin, dan aktifkan verifikasi dua langkah untuk akun admin. Minggu ini 100 alamat berbeda mencoba WordPress di website kami, padahal kami tidak pakai WordPress sama sekali.

Catatan soal data ini

Kami hanya mengamati. Semua data berasal dari bot yang datang sendiri ke digimasi.com; kami tidak pernah memindai website orang lain, dan alamat IP tidak kami tampilkan di sini. Alamat yang jelas-jelas menyerang kami laporkan ke AbuseIPDB. Cara kerja lengkapnya ada di halaman metodologi, dan angka tiap minggunya ada di catatan mingguan.

Data: Riset keamanan Digimasi, catatan mingguan sensor (https://doi.org/10.5281/zenodo.23655270).

Kami akan terus mencatat dan membandingkan hasilnya dari minggu ke minggu.