Cara Hapus Backdoor Judol

Cara Hapus Backdoor Judol yang Membandel di Server

nom
nom
•Malware•7 min read

Menghadapi website yang diretas dan disisipi konten ilegal memang sangat membuat frustrasi. Terlebih lagi, banyak pemilik website dan pengelola server pemula yang terjebak dalam siklus tanpa ujung: Anda menemukan file aneh, Anda menghapusnya, dan lima detik kemudian script html balik lagi seolah-olah tidak terjadi apa-apa.

Fenomena ini terjadi karena malware modern bekerja sangat cerdik. Jika Anda sedang mencari cara hapus backdoor judol yang beroperasi bagaikan hama abadi di server Anda, pendekatan “cari dan hapus” biasa tidak akan berhasil. Anda harus memahami cara kerja hama ini agar bisa mencabutnya sampai ke akar-akarnya.

Artikel ini disusun dengan bahasa yang ramah dan mudah dipahami, meskipun tetap berisi panduan teknis yang akurat. Akan dibedah cara mengusir hacker-hacker judol step by step, mematikan backdoor mereka, hingga membongkar trik licik manipulasi tanggal file yang biasa black hat hacker gunakan.

Mengapa Backdoor Susah Sekali Dihapus?

Bayangkan server Anda adalah sebuah rumah. Saat peretas berhasil masuk, mereka tidak hanya meletakkan satu bom waktu (file malware) lalu pergi. Mereka membangun sebuah pabrik kecil di dalam rumah tersebut.

Pabrik ini memiliki beberapa sistem pertahanan utama:

  1. Mandor yang Selalu Berjaga (Proses RAM): Ada program yang terus berlari tanpa henti di memori server. Tugasnya mengecek apakah file backdoor masih ada. Jika Anda menghapus file tersebut, sang mandor akan langsung menciptakan salinannya dalam hitungan detik.
  2. Gembok Anti-Maling (Atribut chattr): Peretas menggunakan gembok sihir bawaan Linux sehingga pemilik rumah sekalipun (user Root) tidak bisa menghapus file tersebut.
  3. Alarm Jam Weker (Cron Job & Konfigurasi): Peretas memasang alarm otomatis untuk mengunduh ulang virus jika file utama hilang.
  4. Trik Penyamaran Waktu (Timestomping): Peretas mengubah tanggal modifikasi file menjadi setahun yang lalu agar lolos dari deteksi pencarian file baru.

Oleh karena itu, cara hapus backdoor judol yang benar harus dilakukan secara sistematis. Kuncinya adalah melumpuhkan sistem pertahanan mereka terlebih dahulu sebelum menghapus filenya.

Langkah 1: Tangkap Mandor di RAM (Matikan Proses PID)

Aturan pertama dan paling utama: Jangan menghapus file apa pun sebelum mematikan program pembuatnya di RAM. Jika tidak, Anda hanya membuang-buang tenaga.

Kita harus mencari tahu program (proses) apa yang sedang berjalan diam-diam. Buka terminal (SSH) server Anda, lalu jalankan perintah ini untuk melihat daftar proses yang berkaitan dengan PHP:

Bash

ps aux | grep -i php

Outputnya akan menampilkan banyak baris. Cari baris yang mengeksekusi file dengan nama acak atau berada di lokasi yang tidak masuk akal, seperti di direktori /tmp atau folder gambar WordPress.

Contoh tampilannya:
www-data 14523 98.0 1.2 34500 12000 ? R 14:02 0:15 php /tmp/sess_8a9b2c.php

Fokus pada angka di kolom kedua, yaitu 14523. Angka ini adalah Process ID (PID). Matikan paksa proses ini menggunakan perintah kill:

Bash

kill -9 14523

Catatan: Huruf -9 berarti perintah mutlak untuk langsung menghentikan proses tanpa kompromi.

[Visual: Tangkapan layar terminal Linux dengan latar belakang hitam, menampilkan daftar proses dari perintah ‘ps aux’, di mana satu baris proses aneh di direktori /tmp disorot dengan warna merah.]

Langkah 2: Cara Buka chattr +i (Melepas Gembok Kebal)

Sering kali, saat Anda mencoba menghapus atau mengubah nama file backdoor, muncul pesan “Operation not permitted” (Operasi tidak diizinkan), padahal Anda sudah masuk sebagai Root.

Ini terjadi karena peretas mengunci file menggunakan atribut chattr. Atribut +i (immutable) membuat file tidak bisa diedit maupun dihapus.

Untuk melihat apakah sebuah file atau folder digembok, gunakan perintah lsattr:

Bash

lsattr /var/www/html/

Jika Anda melihat huruf i kecil pada deretan simbol (misalnya ----i---------e----), artinya file tersebut dikunci.

Lalu, bagaimana cara buka chattr +i? Cukup ubah tanda plus (+) menjadi minus (-):

Bash

chattr -i /var/www/html/index.php
chattr -a /var/www/html/index.php

Trik Jika Perintah Tidak Berjalan: Kadang peretas menyembunyikan atau mengubah nama alat chattr di server Anda. Jika terminal membalas command not found, minta bantuan penyedia hosting Anda untuk mengembalikan fungsi standar chattr pada sistem Linux Anda.

Langkah 3: Menghancurkan Alarm Weker (Cron Job Malware)

Setelah mandor dilumpuhkan dan gembok dibuka, periksa cron job malware. Cron job adalah fitur penjadwalan bawaan server. Peretas memanfaatkannya sebagai alarm yang berbunyi setiap beberapa menit untuk mengunduh ulang virus dari server luar.

Periksa daftar jadwal untuk sistem web (www-data) dan administrator (root):

Bash

crontab -u www-data -l
crontab -u root -l

Jika melihat baris perintah aneh yang mengandung kata wget, curl, atau domain yang tidak dikenal, hapus jadwal tersebut:

Bash

crontab -u www-data -e

Hapus baris yang terindikasi sebagai malware, lalu simpan.

Langkah 4: Membersihkan Pintu Masuk Terselubung

Peretas sering menyisipkan satu baris perintah pendek pada konfigurasi server yang memaksa website memuat virus mereka terlebih dahulu sebelum memuat halaman utama. Teknik ini bernama auto_prepend_file.

Perintah ini biasanya ditanam di dalam file .htaccess, .user.ini, atau php.ini. Buka file .htaccess di folder utama website Anda dan cari baris seperti ini:

Apache

php_value auto_prepend_file "/tmp/sess_xyz123"

Jika menemukan perintah tersebut, segera hapus seluruh barisnya.

Selanjutnya, bersihkan direktori /tmp. Peretas sering menggunakan teknik suntik log session /tmp dengan menyamarkan virus sebagai file sesi PHP atau file log palsu.

Pindai file PHP yang tersimpan di dalam folder /tmp menggunakan perintah ini:

Bash

find /tmp -type f -name "*.php"

Hapus semua file berakhiran .php yang ditemukan di direktori tersebut.

Langkah 5: Hapus File Zombie PHP & Mengatasi Trik “Timestomping”

Kini saatnya untuk hapus file zombie php (file fisik backdoor) hingga bersih. Namun, di langkah terakhir ini, Anda harus sangat waspada terhadap satu trik cerdik yang sering digunakan peretas kawakan.

Waspada Trik Manipulasi Waktu Edit (Timestomping)

Banyak orang mencari file backdoor dengan perintah pencarian berdasarkan tanggal modifikasi terbaru (misalnya mencari file yang diubah dalam 3 hari terakhir via find -mtime -3).

Peretas yang cerdik mengetahui hal ini. Setelah mereka menyisipkan atau meretas file, mereka mengubah tanggal date modified file tersebut menggunakan fungsi touch atau script khusus. Mereka memundurkan tanggalnya menjadi 1 tahun yang lalu (misalnya menjadi tahun 2023 atau 2024). Akibatnya, saat Anda memindai file yang baru diubah minggu ini, file backdoor tersebut tidak akan pernah muncul di hasil pencarian!

Cara Mengatasinya:

  1. Gunakan Parameter ctime (Change Time): Meskipun peretas bisa memalsukan modification time (mtime), mereka sangat sulit memalsukan status change time (ctime) pada sistem file Linux tanpa mengubah jam sistem server. Gunakan perintah ini untuk mencari file yang statusnya diubah dalam 3 hari terakhir:Bashfind /var/www/html -type f -ctime -3
  2. Cari Berdasarkan Isi Kode (Grep Content): Abaikan tanggal file, dan langsung cari file yang mengandung fungsi eksekusi berbahaya seperti eval, base64_decode, atau gzinflate:Bashgrep -rnw '/var/www/html/' -e 'base64_decode' -e 'eval('

Setelah lokasi file backdoor ditemukan, hapus file tersebut menggunakan rm -f. Jika file yang terinfeksi adalah file inti (seperti index.php), buka file tersebut dan hapus hanya bagian script asing di dalamnya.

Setelah selesai, restart layanan web server Anda agar semua memori bersih total:

Bash

systemctl restart nginx
systemctl restart php8.1-fpm

FAQ Seputar Backdoor dan Keamanan Server

How to mencegah malware ini datang lagi ke server saya?

Batasi hak akses (permissions). Pastikan folder Anda di-set ke 755 dan file ke 644. Jangan pernah memberikan hak akses 777. Selain itu, selalu perbarui versi CMS (WordPress), tema, dan plugin untuk menutup celah keamanan dasar.

Can I menggunakan plugin antivirus untuk membersihkan ini secara otomatis?

Antivirus seperti Wordfence atau Imunify360 sangat membantu. Namun, untuk backdoor tingkat lanjut yang menggunakan trik chattr, auto_prepend_file, atau timestomping, pembersihan manual berbasis terminal tetap menjadi cara paling ampuh.

Apa yang harus dilakukan jika saya tidak paham perintah Linux atau tidak punya akses root?

Jika Anda menggunakan Shared Hosting (cPanel) tanpa akses Terminal/SSH, Anda tidak bisa menjalankan perintah chattr atau kill PID. Segera hubungi tim Support Hosting Anda, laporkan bahwa ada infeksi backdoor yang terus beregenerasi, dan minta mereka membersihkannya dari level administrator (root).

Mengusir peretas dari website memang membutuhkan ketelitian ekstra, terutama saat menghadapi trik manipulasi tanggal dan proses tersembunyi. Dengan memahami alur kerja sistem operasi Linux, Anda bisa mengambil alih kembali kendali penuh atas server Anda.

Ingat, mengamankan web adalah proses yang harus terus dilakukan. Untuk panduan teknis lainnya, tips, dan analisis security terupdate, Anda dapat kembali ke blog Nomatali dan membaca artikel-artikel pilihan lainnya.

Related Posts