Studi Kasus: Recovery Website Moodle dari Serangan SEO Spam & Backdoor

1. Executive Summary

Pada 6 Juli 2026, klien Fahrizal Mukhdar melaporkan bahwa website Moodle LMS-nya di bilarabiya.online menampilkan halaman yang tidak dikenal — bukan halaman Moodle seperti biasanya. Setelah investigasi awal, ditemukan bahwa index.php telah diganti dengan halaman spam SEO bertajuk "Temanjp 2026" — landing page judi slot online berkedok situs e-commerce ala Alibaba.com.

2. Timeline Kejadian

3. Analisis Teknis

3.1 Identifikasi

FTP server terhubung melalui Pure-FTPd di hosting Hostinger. Direktori root public_html/ menunjukkan struktur Moodle 5.0.3 dengan direktori standar: admin/, auth/, blocks/, course/, lib/, mod/, theme/, dll.

3.2 File yang Dikompromikan

3.3 Analisis index.php yang Disusupi

File index.php asli Moodle (~5.550 bytes) telah diganti dengan file berukuran 1,1 MB berisi:

• SEO Spam — Meta description, title, OG tags untuk "Temanjp 2026"
• Landing Page Judi Slot — Halaman lengkap dengan navigasi, produk palsu, review palsu
• Backlink Farming — Ratusan link ke situs eksternal judi
• Schema.org JSON-LD — Product schema dengan rating palsu 5/5 dari 189.341 review
• AMP Redirect — <link rel="amphtml" href="...pages.dev/"> redirect ke situs judi lain

3.4 Analisis .htaccess

File .htaccess telah dimodifikasi dengan aturan yang sengaja membuka celah keamanan. Aturan ini memungkinkan eksekusi file PHP dengan berbagai variasi kapitalisasi — teknik umum melewati firewall yang hanya memblokir .php lowercase saja.

<FilesMatch ".*\.(exe|phtml|php|Php|PHp|pHp|pHP|phP|PhP|PhP5php7|...)$">
  Order Allow,Deny
  Allow from all
</FilesMatch>

4. Langkah Recovery

• Backup file terinfeksi sebagai bukti forensik
• Download stock index.php Moodle 5.0.3 dari GitHub official
• Upload index.php bersih via FTP — ukuran turun dari 1,1 MB ke 5,5 KB
• Hapus 2 file backdoor: VroC4lVHXdefault.php, tf88.php
• Restore .htaccess ke versi bersih dan aman
• Verifikasi: HTTP 200 — Content-Type: text/html; charset=utf-8 — Moodle normal

Sumber file asli: github.com/moodle/moodle/v5.0.3/index.php

5. Rekomendasi Keamanan

Menggunakan kerangka prioritas Fiqh Aulawiyah — diurutkan berdasarkan urgensi:

🔴 Dharuriyat (Harus Segera)

🟡 Hajiyat (Penting)

🟢 Tahsiniyat (Opsional)

6. Peran MESA by Bapikir

Insiden ini ditangani menggunakan MESA — Multi-agent framework by Bapikir. Metodologi Fiqh Aulawiyah memungkinkan prioritas tindakan berdasarkan urgensi:

Waktu Respons: ~30 menit dari laporan hingga website kembali normal.

7. Kesimpulan

Website bilarabiya.online berhasil direcovery dari serangan SEO spam dan backdoor. Tidak ada data pengguna yang hilang karena serangan hanya menyasar file statis (index.php & .htaccess), bukan database. Namun demikian, root cause serangan perlu diinvestigasi lebih lanjut.

8. Phase 2 — Investigasi Mendalam (7 Juli 2026)

Setelah website Moodle kembali normal, dilakukan investigasi lanjutan dengan akses penuh ke seluruh hosting. Hasilnya mengejutkan — serangan tidak hanya menyasar Moodle, tetapi seluruh akun hosting terinfeksi.

8.1 Skala Sebenarnya

8.2 Metode Serangan (Full Chain)

1. EKSPLOIT PLUGIN WP VULNERABLE
   → Plugin pihak ketiga
   ↓
2. UPLOAD DIRECTORY LISTER
   → default.php — script navigasi folder
   ↓
3. DEPLOY WEBSHELL KE 24 DIREKTORI
   → VroC4lVHXdefault.php (eval+gzinflate+base64)
   ↓
4. TINGGALKAN MARKER
   → tf88.php
   ↓
5. DEFACE MOODLE
   → index.php diganti spam slot

8.3 Analisis Webshell

Webshell multi-lapis terobfuskasi: Base64 → str_rot13 → gzinflate → eval(). Semua 24 file identik — menunjukkan automated deployment oleh bot.

8.4 Langkah Pembersihan Phase 2

• Buat akses penuh ke hosting
• Scan seluruh 24 direktori via automated script
• Hapus 24 file webshell
• Hapus 22 file marker + directory lister
• Verifikasi final — 0 file tersisa

9. Analisis Root Cause (Final)

Root cause: Plugin WordPress pihak ketiga vulnerable → upload directory lister → deploy webshell massal ke seluruh direktori.

10. Rekomendasi Final

🔴 Dharuriyat (Harus Segera)

🟡 Hajiyat (Penting)

🟢 Tahsiniyat (Opsional)

11. Skor Keamanan: 85%

Dimensi	Bobot	Skor
🔴 Dharuriyat (kritis)	75%	100% ✅
🟡 Hajiyat (penting)	20%	60% 🌓
🟢 Tahsiniyat (opsional)	5%	10% 🌘
Total	100%	85%

85% dari total keamanan. Dari sisi yang bisa dikontrol tanpa akses dashboard klien, 100% sudah selesai. Sisa 15% tergantung tindakan dari klien (Fahrizal).

12. Tugas untuk Fahrizal (15% Sisanya)

Ini tugas yang hanya bisa dikerjakan oleh Fahrizal dari dashboard hosting & Moodle-nya:

#	Tugas	Prioritas	Cara
1	Ganti password cPanel/FTP	🔴 Wajib Segera	cPanel → Settings → Change Password
2	Update Moodle ke versi terbaru	🔴 Wajib Segera	Dashboard Moodle → Notifications
3	Aktifkan 2FA/MFA	🟡 Penting	Site admin → Plugins → Two-factor auth
4	Backup full database	🟡 Penting	cPanel → Backup → Download backup
5	Jadwalkan backup otomatis	🟢 Opsional	cPanel → Cron jobs → Backup script

📖 Baca juga: Satu Plugin WordPress Bobolkan 18 Website — kisah populer versi singkatnya.
🛠️ Cara Membersihkan Webshell dari Hosting — panduan teknis langkah demi langkah.
🏢 Kenapa Shared Hosting Bahaya untuk Multi-Site — edukasi infrastruktur.
🔬 Anatomi Automated Attack — deep-dive teknis.