Pernahkah kamu merasa aneh? Sistem masih “bersih” sesuai scanner, tapi ada aktivitas mencurigakan di log. Ini klasik: penyerang sudah masuk via UTA0533 atau teknik serupa, tapi mereka justru **menggunakan teknik lama** yang dianggap “sudah usang”.
Ini bukan kebetulan. Ini taktik sengaja.
Penyerang jahat tahu bahwa banyak tim deteksi hanya fokus pada IOC baru. Mereka sengaja menggunakan teknik seperti:
– **LDAP enumeration** dengan tools standar Windows (dsquery, net user)
– **Persistence** via registry run keys atau scheduled task biasa
– **Lateral movement** dengan SMB atau PsExec yang sudah ada di環境
Karena mereka tahu: **IOC lama = kurang dipantau**.
Kali ini, kita akan membahas bagaimana mendeteksi trik-trik post-exploit UTA0533 menggunakan YARA rules dan Sigma signatures yang sebenarnya efektif – bukan hanya men-copy dari GitHub tapi yang **benar-benar bisa dipakai di lapangan**.
Ini bukan tutorial dasar. Ini panduan untuk detection engineer yang sudah capek menangkap false positive dan ingin hasil yang nyata.
## LDAP Enumeration: Bukan Hanya “net user”
Ketika attacker sudah dapat akses sebagai user domain (biasanya via password spraying atau kerberoasting), langkah selamanya seringnya enumeration AD. Tapi jangan salah: mereka **tidak** menggunakan tools seperti BloodHound yang langsung menyoroti diri.
Alih-alih, mereka menggunakan:
“`
dsquery user -limit 0
dsquery * -filter “(objectCategory=person)” -attr sAMAccountName
net user /domain
“`
Yang membuat ini sulit terdeteksi? Ini semua adalah **command native Windows** yang sehari-hari digunakan admin.
Di sinilah deteksi berbasis perilaku yang diperlukan:
### Sigma Rule untuk Deteksi Anomalis LDAP Query
“`yaml
title: Unusual LDAP Query Volume dari Workstation
id: 99999999-1111-2222-3333-444444444444
status: experimental
description: Mendeteksi jumlah LDAP query yang tidak normal dari single host yang mungkin menunjukkan enumerasi AD
logsource:
product: windows
category: process_creation
product: windows
detection:
selection:
Image:
– ‘*\dsquery.exe'
– ‘*\net1.exe'
– ‘*\net.exe'
CommandLine|contains: ‘-filter'
condition: selection and (COUNT(*) by Computer, Image > 10 within 5m)
falsepositives:
– Admin scripts yang benar-benar butuh mass enumerasi
level: high
“`
### YARA Rule untuk Deteksi Script Enumerasi yang Disimpan
Kadang attacker menyimpan hasil enumerasi ke file untuk dianalisis offline. Inilah yang bisa kita tangkap:
“`yara
rule AD_Enumeration_Script_UTA0533 {
meta:
description = “Mendeteksi script enumerasi AD yang disimpan oleh attacker”
author = “Detection Engineering Team”
reference = “UTA0533 Post-Exploitation Techniques”
date = “2024-01-15”
threat_actor = “UTA0533”
strings:
$dsquery = “dsquery” nocase
$net_user = “net user” nocase
$domain = “/domain” nocase
$output_redirect = “>>” nocase
$temp_path = “%TEMP%” nocase
condition:
(all of ($dsquery, $net_user, $domain) and $output_redirect) or
(all of ($dsquery, $net_user) and $temp_path)
}
“`
## Persistence: Yang Tampak Biasa Tapi Tidak Harus Dianggap Biasa
Setelah enumeration, attacker perlu memastikan kembali masuk. Tapi mereka **tidak** menggunakan web shell atau backdoor yang kompleks. Mereka menggunakan teknik yang **sepertinya normal**:
– Registry Run Key: `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`
– Scheduled Task dengan nama yang netral: `OneDriveSyncTask`, `WindowsUpdateChecker`
– WMI Event Subscription yang terlihat seperti monitoring biasa
Di sini, timing dan konteks adalah yang penting, bukan hanya artefaknya.
### Sigma Rule untuk Deteksi Persistence Mencurigakan
“`yaml
title: Suspicious Scheduled Task Creation dari User Biasa
id: 88888888-7777-6666-5555-444433332222
status: test
description: Mendeteksi pembuatan scheduled task oleh non-admin user di jam sibuk
logsource:
product: windows
service: security
detection:
selection:
EventID: 4698 # Task creation
TokenElevationType: TokenElevationTypeLimited # Bukan admin
NewProcessName:
– ‘*\schtasks.exe'
– ‘*\svchost.exe' # bisa disibukan
filter:
TaskName:
– ‘*OneDrive*' # zabar nama umum
– ‘*Update*'
– ‘*System*'
StartTime: '08:00-18:00′ # jam kerja normal
condition: selection and not filter
falsepositives:
– Pengguna yang benar-benar membuat task pribadi untuk produktivitas
level: medium
“`
### YARA untuk Deteksi Persistence via Registry
“`yara
rule Suspicious_RunKey_Persistence {
meta:
description = “Mendeteksi penambahan nilai di Run key yang mencurigakan”
reference = “MITRE T1547.001”
strings:
$run_key = “HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run” nocase
$suspicious_paths = /\%TEMP\%\\[a-zA-Z0-9]{8,}\.(exe|dll|bat|cmd|ps1)/ nocase
$random_name = /[a-zA-Z0-9]{10,}_[0-9]{4}\.(exe|dll)/ nocase
condition:
$run_key at 0 and (
any of ($suspicious_paths) or
any of ($random_name)
)
}
“`
## Lateral Movement: Menggunakan Alat yang Sudah Ada di Sistem
Ini adalah bagian yang paling jahat: mereka **tidak** membawa alat eksternal. Semua yang diperlukan sudah ada di sistem Windows korban.
Teknik yang dipakai:
– **SMB** untuk copy file ke admin share (`\\TARGET\ADMIN$\`)
– **PsExec** (jika ada) atau **WMIC** untuk eksekusi remote
– **PowerShell Remot
– **DCOM** untuk teknik yang lebih stealth
Yang membuat ini sulit terdeteksi adalah karena ini adalah **administrative tools yang sah**.
### Sigma Rule untuk Deteksi Lateral Movement Mencurigakan
“`yaml
title: Potential Lateral Movement via Admin Share Access
id: 77777777-6666-5555-4444-333322221111
status: test
description: Mendeteksi akses ke admin share yang mungkin menunjukkan movimentasi lateral
logsource:
product: windows
service: sysmon
detection:
selection:
EventID: 11 # FileCreate (Sysmon)
TargetFilename:
– ‘*\\ADMIN$\\*'
– ‘*\\C$\\*'
– ‘*\\IPC$*'
Image:
– ‘*\explorer.exe'
– ‘*\svchost.exe'
– ‘*\services.exe'
condition: selection
falsepositives:
– Operasi normal sistem yang mengakses admin share
level: high
“`
### YARA untuk Deteksi Payload yang Disembunyikan di File Normal
Attacker bisa menyisipkan kode malicious ke dalam file yang terlihat biasa:
“`yara
rule Suspicious_Payload_In_Legitimate_File {
meta:
description = “Mendeteksi shellcode atau payload yang disisipkan ke file sistem”
reference = “MITRE T1027.003
strings:
$shellcode1 = { FC E8 82 00 00 00 60 89 E5 31 C0 64 8B 50 30 }
$shellcode2 = { 60 8B FC 8B 45 3C 8B 54 05 78 03 E5 56 8B 5A 20 }
$powershell_enc = /-[Ee][Nn][Cc][Oo][Dd][Ee]\\s+[A-Za-z0-9+\/]{100,}/
condition:
uint16(0) == 0x5A4D and // MZ header
(
any of ($shellcode*) or
$powershell_enc
)
}
“`
## Korelasi: Kunci Deteksi yang Efektif
Di sini banyak tim gagal. Mereka hanya fokus pada **satu** sinal. Deteksi yang baik membutuhkan **korelasi** antara beberapa tindakan.
### Contoh Scenario Attacks UTA0533:
1. **T+0**: Initial access via phishing exploit
2. **T+2 jam**: LDAP enumeration dari workstation terinfeksi
3. **T+4 jam**: Pembuatan scheduled task di user profile
4. **T+6 jam**: Akses ke admin share SMB dari host yang sama
5. **T+8 jam**: Eksekusi payload via PsExec/WMI
Jika kita hanya lihat satu tindakan, bisa jadi false positive. Tapi jika kita lihat **urutan ini dalam waktu singkat dari satu host**, itu adalah indikasi kuat compromise.
### Contoh Korelasi Sederhana di SIEM (Pseudocode):
“`
WHEN (
LDAP query count > 10 from same host IN 5min
AND
ANDULE created by non-admin user IN SAME host
AND
SMB access to admin$ share FROM SAME host
) WITHIN 15 MINUTES
THEN: GENERATE HIGH SEVERITY ALERT – POTENTIAL UTA0533 POST-EXPLOIT
“`
## Implementasi Praktis: Dari Teori ke Lapangan
### 1. Mulai dari yang Sederhana
Jangan langsung buat kompleks. Mulai dengan:
– Sigma rule dasar untuk setiap teknik
– YARA rule untuk file yang dicurigai
– Korelasi sederhana (2-3 eventi)
### 2. Tuning Berdasar Lingkungan
Setiap organisasi berbeda. Apa yang mencurigakan di perusahaan A mungkin normal di perusahaan B.
– Jalankan rule dalam mode “monitor” dulu
– Kunjungi false positive dan adjust
– Baru kemudian naikkan ke “alert”
### 3. Dokumentasi dan Share
Catat:
– Apa yang Anda deteksi
– Berapa false positive yang Anda terima
– Bagaimana Anda menyesuaikan threshold
Ini akan sangat berharga untuk tim lain dan untuk audit.
## Kesimpulan: Deteksi Tidak Perlu Kompleks, Tapi Harus Tepat
UTA0533 dan aktor serupa tidak selalu menggunakan zero-day atau malware sophisticated. Mereka sering kali:
– Menggunakan **living-off-the-land binaries (LOLBAS)**
– Mengandalkan **kemalqasan manusia** (admin yang tidak monitor properly)
– Bekerja dalam **jam kerja normal** untuk tidak mencurigakan
Kunci deteksi bukanlah memiliki alat termahal atau signature terbaru, tetapi:
1. **Memahami normal** di lingkungan Anda
2. **Mencari anomali** dalam konteks bisnis
3. **Mengkorelasikan** events yang seolah-olah tidak berhubungan
Mulai kecil. Fokus pada satu teknik dulu (misalnya: LDAP enumeration). Bangun dari sana.
Deteksi yang baik bukan tentang menemukan semua ancaman. Ini tentang menemukan yang **benar-benar penting** sebelum mereka mengacau bisnis Anda.
—
### CTA: Mulai Deteksi yang Lebih Cerdas Hari Ini
Jika kamu siap untuk mulai membangun detection engineering yang benar-benar efektif, mulai dengan satu teknik dari di atas. Uji di lingkungan lab masing-masing, lalu rollout ke produksi.
Jangan lupa untuk membagikan temuanmu di komunitas security – karena pertahanan yang baik adalah kerja sama.
**Selamat berburu ancaman!**
