APT, Zero-day attack, dan fileless malware

APT (Advanced Persistent Threat)

APT (Advanced Persistent Threat) adalah jenis serangan siber yang dilakukan secara terencana, persisten, dan canggih, biasanya oleh kelompok yang memiliki sumber daya besar seperti negara atau organisasi kriminal tingkat tinggi.

Ciri-ciri APT Attack:

1. Advanced (Canggih)
   • Menggunakan teknik eksploitasi kompleks seperti zero-day exploits, custom malware, dan evasion techniques.
   • Penyerang sering memanfaatkan teknik yang tidak umum agar sulit dideteksi.
2. Persistent (Berkelanjutan)
   • Target spesifik, misalnya perusahaan, pemerintahan, atau individu penting.
   • Jika satu metode gagal, penyerang akan mencoba metode lain sampai berhasil.
3. Threat (Ancaman Nyata)
   • Tidak seperti serangan biasa (misalnya phishing massal), APT dirancang untuk bertahan lama di dalam sistem target tanpa terdeteksi.
   • Bisa bertujuan spionase, sabotase, atau pencurian data sensitif.

Kenapa IoC (Indicators of Compromise) Tidak Efektif untuk APT?

• Penyerang sering mengubah malware, alamat IP, dan domain agar tidak mudah dikenali.
• Setiap serangan bisa menggunakan kode baru atau infrastruktur baru, sehingga deteksi berbasis tanda tangan (signature-based detection) sering gagal.

Masalah dengan Istilah “APT”

• Tidak ada definisi baku*tentang seberapa “canggih” suatu ancaman harus dianggap sebagai APT.
• Media dan organisasi sering melebih-lebihkan agar terlihat serius, padahal serangan tersebut mungkin tidak sekompleks yang diklaim.
• Banyak serangan yang tidak benar-benar APT tetapi tetap disebut APT karena berhasil menembus sistem korban.

Zero-Day Attack

Zero-day attack adalah serangan yang memanfaatkan zero-day exploit, yaitu eksploitasi terhadap kerentanan (vulnerability) yang belum diketahui oleh publik atau vendor software.

Kenapa Disebut “Zero-Day”?

• Zero-day merujuk pada hari pertama (day zero) ketika sebuah celah keamanan ditemukan dan mulai dieksploitasi, sebelum ada patch atau solusi dari vendor.
• Karena belum ada perbaikan resmi, pengguna tidak memiliki cara langsung untuk melindungi sistem mereka.

Bagaimana Zero-Day Attack Bekerja?

1. Penyerang menemukan atau mendapatkan zero-day exploit untuk suatu perangkat lunak atau sistem.
2. Eksploitasi digunakan untuk menyerang target, misalnya untuk gaining initial access atau privilege escalation.
3. Vendor belum menyadari celah ini, sehingga tidak ada patch atau update yang bisa digunakan korban untuk melindungi diri.
4. Setelah diketahui oleh vendor, mereka akan mengembangkan patch dan merilis pembaruan keamanan.

Dampak Zero-Day Attack

• Sangat berbahaya, karena tidak ada solusi instan untuk menghentikannya.
• Biasanya digunakan dalam APT (Advanced Persistent Threat) oleh aktor negara atau kelompok elite hacker.
• Organisasi besar, pemerintahan, dan infrastruktur kritikal adalah target utama.

Bagaimana Cara Mengurangi Risiko Zero-Day?

• Menggunakan pendekatan keamanan berbasis perilaku (behavior-based detection) untuk mendeteksi aktivitas mencurigakan.
• Menggunakan mitigasi sementara seperti membatasi fitur yang rentan.
• Menjalankan sistem dengan prinsip least privilege untuk mengurangi dampak eksploitasi.
• Menjaga sistem selalu diperbarui agar segera menerima patch saat tersedia

Fileless Malware

Fileless malware adalah jenis malware yang tidak menyimpan dirinya sebagai file di sistem korban, melainkan langsung dieksekusi dalam memori (RAM) atau menggunakan komponen bawaan sistem seperti PowerShell, WMI (Windows Management Instrumentation), atau registry Windows

Kenapa Fileless Malware Berbahaya?

1. Sulit dideteksi
   • Tidak meninggalkan jejak berupa file yang bisa dianalisis oleh antivirus tradisional.
   • Malware berbasis file biasanya dideteksi melalui signature, tetapi fileless malware sering kali mengandalkan script inline atau perintah shell.
2. Menggunakan komponen bawaan sistem
   • Fileless malware sering dieksekusi melalui PowerShell, WMI, atau registry Windows, sehingga terlihat seperti aktivitas sistem normal.
   • Contoh: Poweliks, yang menyimpan perintah berbahaya di dalam registry Windows dan berjalan secara otomatis.
3. Persistensi yang kuat
   • Bisa bertahan dalam sistem tanpa meninggalkan jejak fisik, misalnya dengan menyimpan payload dalam registry atau menjalankan script melalui proses sistem.

Bagaimana Fileless Malware Bekerja?

1. Eksploitasi
   • Penyerang memanfaatkan macro di dokumen Office, exploit browser, atau phishing untuk mengeksekusi kode awal.
2. Injection ke Proses Sistem
   • Kode berbahaya disuntikkan ke dalam proses sah seperti explorer.exe atau powershell.exe.
3. Eksekusi di Memori
   • Malware tidak menulis file ke disk, tetapi langsung berjalan dari memori.
4. Persistensi
   • Bisa menggunakan registry Windows atau task scheduler untuk tetap aktif setelah reboot.

Cara Mitigasi Fileless Malware

• Gunakan Endpoint Detection and Response (EDR) yang mampu mendeteksi aktivitas abnormal di memori.
• Monitor aktivitas PowerShell dan WMI dengan kebijakan keamanan yang ketat.
• Disable Macro jika tidak diperlukan untuk mencegah eksekusi kode berbahaya dari dokumen Office.
• Gunakan whitelist aplikasi (Application Control) untuk membatasi eksekusi script tidak sah.

Enterprise Matrix

https://attack.mitre.org/matrices/enterprise/