Kamu baru saja tutup semua alert utama dari SIEM. Tim SOC kamu bangga. Tapi ada satu masalah yang gak kamu sadari: attacker sudah pindah ke fase berikutnya. Ini bukan cerita horor. Ini kenyataan yang sering terjadi saat kamu fokus sama IOC lama, tapi lupa sama perilaku baru.
UTA0533 sudah masuk lewat akses awal. Sekarang dia gak pakai malware umum. Dia pakai kode khusus, eksplorasi LDAP pelan-pelan, dan mekanisme persistence yang tidak terdeteksi rule default. Kamu butuh lebih dari sekadar daftar IP buruk.
Kenapa IOC Lama Gak Cukup Lagi
Sebagian besar tim blue masih mengandalkan hash file dan domain yang sudah diketahui. Ini bagus untuk deteksi cepat, tapi UTA0533 sudah beradaptasi. Dia mengubah struktur payload, memakai teknik LDAP enumeration yang terlihat seperti query sah, dan menyimpan persistence di lokasi yang jarang dipantau.
Di sini kamu butuh pendekatan yang berbeda. Bukan hanya “apa yang dia pakai”, tapi “bagaimana dia berperilaku”. Ini yang disebut behavioral detection.
Framework 3-Lapis: IOCs, YARA, dan Sigma
Kita bikin kerangka sederhana tapi kuat. Anggap ini sebagai filter berlapis yang bekerja bersama.
Lapisan pertama, IOCs. Ini tetap penting. Kamu butuh daftar hash, domain, dan pola jaringan yang sudah dikonfirmasi. Tapi jangan berhenti di sini. Gunakan IOCs sebagai titik awal, bukan akhir cerita.
Lapisan kedua, YARA rules. Ini tempat kamu menangkap perilaku custom malware. Bukan hanya string statis, tapi pola yang menunjukkan bahwa kode tertentu sedang berjalan. Contoh: jika malware UTA0533 selalu membuka port tertentu setelah memuat file .dll tertentu, kamu bisa bikin rule yang menangkap kombinasi itu.
Contoh YARA sederhana:
rule post_exploitation_uta0533_custom {
strings:
$a = “LDAP query pattern A”
$b = “persistence registry path B”
condition:
uint16(0) == 0x5A4D and 2 of them
}
Lapisan ketiga, Sigma signatures. Ini yang menangkap aktivitas di level SIEM. Sigma membantu kamu mendeteksi enumerasi LDAP yang terlihat normal, tapi sebenarnya berurutan terlalu cepat atau dari akun yang tidak biasa.
Contoh Sigma untuk LDAP enumeration yang mencurigakan:
title: UTA0533 LDAP Enumeration Pattern
detection:
condition: selection and not filter
selection:
EventID: 4662
ObjectType: “group”
logsource:
product: windows
service: security
Dengan tiga lapisan ini, kamu tidak hanya menunggu alert. Kamu membangun sistem yang mengenali pola, bukan hanya tanda.
Praktik Nyata untuk Threat Hunter
Kamu tidak perlu semua ini dalam satu malam. Mulai dari yang paling berdampak. Periksa log LDAP kamu selama 7 hari terakhir. Cari query yang berulang dari akun yang biasanya tidak aktif. Ini sering menjadi tanda pertama bahwa enumerasi sudah terjadi.
Kemudian, periksa registry dan scheduled tasks. UTA0533 sering menggunakan mekanisme persistence yang terlihat seperti konfigurasi sah, tapi sebenarnya diatur untuk menjalankan payload setelah reboot atau login tertentu.
Jika kamu menggunakan YARA, mulai dengan satu rule untuk perilaku paling mencurigakan. Jangan bikin 50 rule sekaligus. Lebih baik satu yang tepat daripada sepuluh yang penuh false positive.
Untuk Sigma, fokus pada korelasi. Satu event LDAP mungkin tidak mencurigakan. Tapi jika event itu terjadi bersamaan dengan akses registry tertentu dalam 30 detik, itu sinyal yang kuat.
Yang Sering Terlewatkan
Banyak tim blue terlalu fokus pada endpoint dan lupa pada jaringan. UTA0533 menggunakan teknik lateral movement yang tidak selalu memicu alert endpoint. Periksa traffic antara server internal kamu. Cari pola yang tidak biasa dalam waktu akses atau volume data.
Selain itu, jangan abaikan timeline analysis. Jika kamu menemukan malware baru, periksa kapan file itu pertama kali muncul. Bandingkan dengan log akses akun. Ini sering mengungkapkan titik masuk yang sebenarnya.
Bagaimana Ini Membantu Kamu
Dengan pendekatan ini, kamu mengubah cara tim kamu bekerja. Daripada hanya menanggapi alert, kamu mulai memprediksi perilaku. Ini bukan hanya tentang UTA0533. Ini tentang membangun kemampuan deteksi yang bertahan lama, terlepas dari ancaman apa yang datang berikutnya.
Kamu juga mengurangi beban false positive. Ketika kamu fokus pada perilaku, bukan hanya tanda statis, kamu lebih jarang mendapat alert yang tidak relevan. Ini berarti tim kamu bisa fokus pada ancaman yang benar-benar penting.
Kesimpulan
UTA0533 bukan ancaman biasa. Dia menggunakan teknik yang terlihat sah, tapi sebenarnya berbahaya. Untuk mendeteksinya, kamu butuh lebih dari IOC lama. Kamu butuh YARA rules yang menangkap perilaku custom malware, Sigma signatures yang menangkap pola LDAP yang mencurigakan, dan analisis timeline yang menghubungkan semua titik.
Jika kamu belum mulai, pilih satu area. Periksa log LDAP kamu. Atau tulis satu YARA rule. Atau buat satu Sigma correlation. Lakukan satu hal hari ini. Itu sudah lebih baik daripada menunggu perfect system yang tidak pernah datang.
—
FAQ
Apa bedanya IOCs dengan behavioral detection?
IOCs adalah tanda statis seperti hash atau IP. Behavioral detection menangkap cara malware atau attacker berperilaku, bukan hanya apa yang mereka pakai. Ini lebih kuat saat attacker mengubah tanda-tanda statisnya.
Apakah saya perlu semua tiga lapisan ini sekaligus?
Tidak. Mulai dari satu yang paling relevan untuk lingkungan kamu. Jika kamu sering melihat enumerasi LDAP, mulai dengan Sigma. Jika kamu menemukan malware baru, mulai dengan YARA. Tambahkan lapisan lain seiring waktu.
Bagaimana saya tahu jika deteksi saya bekerja?
Uji dengan data historis. Ambil log dari insiden yang sudah dikonfirmasi, lalu periksa apakah rule atau signature kamu akan menangkapnya. Ini cara terbaik untuk memastikan deteksi kamu efektif sebelum mengandalkannya sepenuhnya.
