rwx4m - Day 4: Atomic Red Team

SOC-mas is approaching! And the town of Warewille started preparations for the grand event.

Glitch, a quiet, talented security SOC-mas engineer, had a hunch that these year's celebrations would be different. With looming threats, he decided to revamp the town's security defences. Glitch began to fortify the town's security defences quietly and meticulously. He started by implementing a protective firewall, patching vulnerabilities, and accessing endpoints to patch for security vulnerabilities. As he worked tirelessly, he left "breadcrumbs," small traces of his activity.

Unaware of Glitch's good intentions, the SOC team spotted anomalies: Logs showing admin access, escalation of privileges, patched systems behaving differently, and security tools triggering alerts. The SOC team misinterpreted the system modifications as a sign of an insider threat or rogue attacker and decided to launch an investigation using the Atomic Red Team framework.

Kesenjangan Deteksi dalam Keamanan Siber (Detection Gaps)

Setiap anggota tim biru (blue team) mungkin memiliki mimpi utopis untuk dapat mendeteksi setiap serangan atau setiap langkah dalam kill chain serangan. Namun, kenyataannya, hampir mustahil untuk mencapai tingkat deteksi sempurna. Semua tim biru menghadapi kenyataan ini: selalu ada celah atau kesenjangan dalam sistem deteksi mereka. Meski demikian, celah ini tidak harus dibiarkan sebesar lubang hitam. Ada banyak langkah yang dapat dilakukan untuk memperkecil kesenjangan tersebut.

Penyebab Kesenjangan Deteksi
Kesenjangan deteksi biasanya terjadi karena dua alasan utama:

Keamanan Siber Adalah Permainan Kucing dan Tikus.
Saat kita meningkatkan kemampuan deteksi, pelaku ancaman dan tim merah (red team) akan selalu mencari cara baru yang lebih cerdas untuk menghindari deteksi. Oleh karena itu, tim biru harus terus mempelajari teknik-teknik baru ini dan memperbarui aturan tanda tangan serta sistem peringatan untuk mendeteksi metode yang baru muncul.
Batas Antara Perilaku Anomali dan Perilaku Normal Sering Kali Tipis.
Misalnya, sebuah perusahaan berbasis di AS mungkin mengharapkan hampir semua aktivitas login berasal dari alamat IP di AS. Namun, suatu hari terdapat aktivitas login dari alamat IP di Eropa. Secara teknis, ini adalah anomali, tetapi bisa saja hal ini terjadi karena CEO perusahaan tersebut sedang melakukan perjalanan bisnis. Dalam kasus ini, perilaku normal dan perilaku mencurigakan dapat saling bertumpang tindih, sehingga sulit untuk membuat aturan deteksi yang akurat tanpa menghasilkan gangguan (false positives).

Untuk menutup kesenjangan ini, tim biru perlu terus menyempurnakan dan meningkatkan aturan deteksi mereka secara berkelanjutan.

Serangan Siber dan Kill Chain (Cyber Attacks and the Kill Chain)

Memahami beberapa konsep dasar Cyber Kill Chain. Semua serangan siber biasanya mengikuti proses standar yang dapat dijelaskan melalui Unified Cyber Kill Chain.

Sebagai tim biru, tujuan utama adalah menghentikan serangan di awal proses kill chain. Misalnya, kita berharap dapat menghentikan pelaku ancaman saat mereka baru memulai tahap reconnaissance. Namun, seperti yang telah disebutkan sebelumnya, hal ini sering kali tidak memungkinkan. Oleh karena itu, tujuan utama bergeser menjadi mendeteksi serangan di setiap tahap kill chain. Dengan cara ini, meskipun ada kesenjangan deteksi pada satu tahap, celah tersebut dapat tertutupi di tahap berikutnya. Target akhirnya adalah memastikan pelaku ancaman dapat terdeteksi sebelum mencapai tahap akhir, yaitu eksekusi tujuan mereka.

MITRE ATT&CK Framework

Salah satu kerangka kerja populer untuk memahami berbagai teknik dan taktik yang digunakan pelaku ancaman dalam kill chain adalah MITRE ATT&CK Framework. Kerangka kerja ini berisi kumpulan taktik, teknik, dan prosedur (TTP) yang telah digunakan oleh pelaku ancaman dunia nyata.

MITRE ATT&CK menyediakan alat navigasi yang memungkinkan kita untuk mengeksplorasi TTP tersebut. Namun, kerangka ini umumnya membahas TTP dalam konteks teoritis. Meskipun kita mengetahui adanya kesenjangan deteksi untuk TTP tertentu, sering kali kita tidak tahu bagaimana cara mengujinya atau menutup kesenjangan tersebut.

Di sinilah Atomics hadir untuk membantu!

MITRE ATT&CK

Atomic Red

Atomic Red Team adalah pustaka/library yang berisi kumpulan test case yang dirancang oleh tim merah (red team) dan telah dipetakan ke dalam kerangka kerja MITRE ATT&CK. Pustaka ini menyediakan test case sederhana yang dapat digunakan oleh tim biru (blue team) untuk mengidentifikasi kesenjangan deteksi dan membantu memperkecilnya.

Keunggulan pustaka ini adalah mendukung otomatisasi, sehingga teknik-teknik yang ada dapat dijalankan secara otomatis. Namun, tim biru juga memiliki opsi untuk mengeksekusi test case ini secara manual sesuai kebutuhan. Dengan menggunakan Atomic Red Team, tim biru dapat melakukan pengujian terhadap sistem mereka, memastikan deteksi yang lebih baik, dan meningkatkan keamanan secara proaktif berdasarkan teknik ancaman yang nyata.

Challenge

Saat Glitch terus mempersiapkan SOC-mas dan memperkuat keamanan Wareville, ia memutuskan untuk melakukan simulasi serangan yang meniru serangan ransomware di seluruh lingkungan. Namun, ia tidak yakin metrik deteksi yang tepat untuk diterapkan dalam pengujian ini dan meminta bantuan Anda. Tugas Anda adalah mengidentifikasi atomic test yang tepat untuk dijalankan dengan memanfaatkan command and scripting interpreter, melakukan pengujian tersebut, dan mengekstraksi artefak berharga yang dapat digunakan untuk menyusun aturan deteksi.

T1059 - Command and Scripting Interpreter
Teknik ini merupakan bagian dari kategori Execution dalam kerangka kerja MITRE ATT&CK. T1059 mengacu pada penggunaan interpreter perintah dan skrip untuk mengeksekusi perintah atau skrip yang dapat digunakan oleh aktor ancaman untuk melakukan berbagai aktivitas jahat. Interpreter ini memungkinkan pelaku serangan untuk menjalankan perintah di sistem target, mengotomatisasi tugas, atau mengunduh dan menjalankan malware. Beberapa interpreter yang sering digunakan meliputi:

Command Prompt (cmd.exe)
PowerShell
Bash
Python
JavaScript

Contoh Serangan T1059:

Menjalankan perintah untuk mencuri kredensial pengguna.
Menggunakan PowerShell untuk mengunduh dan mengeksekusi payload berbahaya.

Mitigasi T1059:

Membatasi penggunaan interpreter tertentu pada sistem kritis.
Menerapkan pemantauan ketat pada eksekusi perintah dan skrip.
Menggunakan solusi deteksi berbasis perilaku seperti EDR untuk mendeteksi aktivitas mencurigakan.

T1059.003 - Windows Command Shell
Subteknik ini merujuk pada penggunaan Command Shell di Windows (cmd.exe) untuk mengeksekusi perintah pada sistem target. Cmd.exe adalah salah satu alat yang sering digunakan oleh pelaku ancaman karena tersedia secara default di semua sistem Windows.

Contoh Aktivitas T1059.003:

Menggunakan cmd.exe untuk mengubah konfigurasi sistem, seperti menambahkan akun pengguna berbahaya.
Menjalankan perintah untuk menghapus log kejadian guna menghapus jejak.
Menyalurkan perintah untuk mengunduh file berbahaya melalui alat bawaan seperti certutil atau bitsadmin.

Mitigasi T1059.003:

Membatasi akses cmd.exe hanya untuk pengguna yang memerlukannya.
Mengaktifkan log PowerShell dan cmd untuk mendeteksi aktivitas mencurigakan.
Memantau perintah yang dieksekusi melalui cmd.exe dan menetapkan aturan deteksi pada alat SIEM.

Now, Lets Fire up Powershell !!

Command ini menunjukkan detail tentang semua tes yang terkait dengan T1059.003.

Pada Tes Number 4, Melakukan simulasi Blackbyte Ransomware Print Bombing dan eksekutor nya menggunakan Powershell.

Pengujian ini mensimulasikan teknik serangan print bombing dari ransomware BlackByte. Serangan ini membuka file yang berisi pesan ransomware menggunakan WordPad sebanyak 75 kali, kemudian mencetak kontennya. Teknik ini adalah bagian dari perilaku yang menyerupai aktivitas ransomware.

Perintah ini melakukan eksekusi terhadap tes number 4 yang telah dijelaskan sebelumnya. Ketika dieksekusi, kita akan diminta untuk memberi nama file tersebut dalam format pdf.

Langkah selanjutnya adalah mencari entri log yang menunjukkan jejak serangan yang disimulasikan tersebut. Untuk tujuan ini, digunakan Windows Event Logs.

Komputer ini juga sudah memiliki Sysmon yang terpasang. System Monitor (Sysmon) memberikan informasi yang sangat rinci tentang aktivitas sistem, seperti:

Process Creation: Informasi tentang proses yang dibuat, termasuk nama, ID proses, dan argumen yang digunakan.
Network Connections: Detail tentang koneksi jaringan yang dilakukan oleh sistem, seperti alamat IP sumber/tujuan dan port.
File Creation Time: Perubahan pada waktu pembuatan file, yang bisa berguna untuk mendeteksi aktivitas terkait malware atau serangan lainnya.

Dengan menggunakan data ini, kita dapat menganalisis aktivitas yang terjadi selama simulasi dan mencocokkannya dengan pola yang dihasilkan dari serangan yang disimulasikan untuk membuat aturan deteksi yang lebih baik.

Membuka event viewer dan menuju ke path "Applications and Services => Microsoft => Windows => Sysmon => Operational".

Command: "powershell.exe" & {cmd /c \""for /l %%x in (1,1,1) do start wordpad.exe /p C:\Tools\AtomicRedTeam\atomics\T1059.003\src\Wareville_Ransomware.txt\"" | Out-null}

Perintah ini menggunakan PowerShell untuk menjalankan Command Prompt (cmd) yang kemudian menjalankan perintah loop (for /l) untuk membuka WordPad (wordpad.exe) dan mencetak (parameter /p) file teks "Wareville_Ransomware.txt" dari direktori yang ditentukan (C:\Tools\AtomicRedTeam\atomics\T1059.003\src). Loop ini hanya dijalankan sekali (1,1,1). Output dari perintah ini diabaikan dengan menggunakan Out-Null. Perintah ini dieksekusi dengan direktori kerja saat ini di folder temp pengguna (C:\Users\ADMINI~1\AppData\Local\Temp\) dan dijalankan oleh pengguna "Administrator" di domain "ATOMIC".

Jika menuju ke path "C:\Tools\AtomicRedTeam\atomics\T1059.003\src". Terdapat file teks tersebut dan memiliki isi flag untuk jawaban tantangan kali ini.

Jika ke direktori "C:\Users\Administrator\Desktop", terdapat file yang diprint dalam format pdf saat pertama kali dieksekusi tes number 4 yang berisi sama dengan isi dari file teks "Wareville_Ransomware.txt".

Demikian Tantangan kali ini. ^_^

Google Sites

Report abuse