Dalam jaringan berbasis Windows, komputer biasanya menggunakan DNS (Domain Name System) untuk menerjemahkan nama host menjadi alamat IP. Namun, ketika proses resolusi DNS tidak berhasil, Windows dapat menggunakan mekanisme lain seperti LLMNR (Link-Local Multicast Name Resolution) dan NBT-NS (NetBIOS Name Service).
Fitur tersebut pada awalnya dirancang untuk membantu perangkat menemukan komputer lain di jaringan lokal. Namun, mekanisme fallback tersebut juga dapat menciptakan risiko keamanan apabila digunakan tanpa konfigurasi yang tepat.
Salah satu ancaman yang memanfaatkan kondisi tersebut adalah LLMNR & NBT-NS Poisoning. Dalam serangan ini, penyerang yang berada pada jaringan yang sama dapat memberikan respons resolusi nama palsu sehingga komputer korban mengira bahwa perangkat penyerang merupakan host yang sedang dicari.
Masalahnya tidak berhenti pada resolusi nama. Dalam skenario tertentu, proses tersebut dapat mendorong korban melakukan autentikasi Windows menggunakan NTLM kepada perangkat yang dikendalikan penyerang. Material autentikasi tersebut kemudian dapat dimanfaatkan untuk serangan lanjutan.
Apa Itu LLMNR?
Pengertian LLMNR
LLMNR (Link-Local Multicast Name Resolution) merupakan mekanisme resolusi nama pada jaringan lokal yang memungkinkan perangkat mencari alamat IP suatu host ketika resolusi nama melalui DNS tidak memberikan hasil yang sesuai.
LLMNR menggunakan komunikasi multicast sehingga perangkat lain pada jaringan lokal dapat menerima permintaan resolusi tersebut.
Dari sisi fungsionalitas, mekanisme ini dapat membantu ketika konfigurasi DNS tidak lengkap. Namun, dari perspektif keamanan, perangkat lain pada jaringan juga dapat melihat permintaan tersebut dan berpotensi memberikan respons palsu.
Apa Itu NBT-NS?
Pengertian NetBIOS Name Service
NBT-NS (NetBIOS Name Service) merupakan mekanisme lama yang digunakan Windows untuk membantu melakukan resolusi nama berbasis NetBIOS.
Teknologi ini banyak ditemukan pada lingkungan Windows lama dan jaringan yang masih menggunakan NetBIOS over TCP/IP.
LLMNR & NBT-NS Poisoning adalah teknik serangan yang memanfaatkan permintaan resolusi nama LLMNR atau NBT-NS dengan memberikan respons palsu kepada perangkat korban.
Sederhananya, ketika komputer korban mencari sebuah host tetapi tidak mendapatkan jawaban dari DNS, korban dapat mengirim permintaan melalui LLMNR atau NBT-NS.
Penyerang yang berada pada jaringan yang sama dapat mendeteksi permintaan tersebut dan memberikan respons seolah-olah dirinya adalah host yang dicari.
Jika korban menerima respons tersebut, koneksi berikutnya dapat diarahkan ke mesin penyerang.
Bagaimana Cara Kerja Serangan?
1. Korban Mencari Host
Misalnya pengguna ingin mengakses server dengan nama:
\\FILESERVER\SHARED
Namun, nama tersebut tidak berhasil ditemukan oleh DNS.
2. Windows Menggunakan Mekanisme Fallback
Jika LLMNR atau NBT-NS masih aktif, komputer dapat mengirimkan permintaan resolusi nama melalui mekanisme tersebut.
Permintaan tersebut kemudian dapat terlihat oleh perangkat lain yang berada pada jaringan lokal.
3. Penyerang Memberikan Respons Palsu
Perangkat penyerang dapat memberikan respons yang menyatakan bahwa alamat IP untuk host tersebut adalah alamat IP miliknya.
Pada tahap ini terjadi proses yang dikenal sebagai poisoning, karena informasi resolusi nama yang diterima korban telah dimanipulasi.
4. Korban Menghubungi Penyerang
Korban kemudian mencoba berkomunikasi dengan alamat IP yang diberikan.
Jika layanan pada perangkat tersebut meminta autentikasi Windows, korban dapat mencoba melakukan autentikasi menggunakan kredensial jaringan.
5. Material NTLM Dapat Terpapar
Dalam skenario tertentu, autentikasi tersebut dapat menghasilkan material autentikasi NTLM yang diterima oleh perangkat penyerang.
Material tersebut dapat menjadi target untuk serangan lanjutan, misalnya NTLM relay atau analisis offline terhadap password.
Mengapa Serangan Ini Berbahaya?
Memanfaatkan Fitur yang Sah
LLMNR dan NBT-NS bukan malware. Keduanya merupakan mekanisme jaringan yang memang tersedia pada lingkungan Windows.
Hal tersebut membuat serangan menjadi menarik bagi penyerang karena mereka dapat mengeksploitasi perilaku jaringan yang sudah ada.
Tidak Selalu Membutuhkan Exploit
Penyerang tidak harus mengeksploitasi kerentanan software tertentu untuk memulai poisoning.
Jika penyerang berhasil berada pada segmen jaringan yang sama, mereka dapat memanfaatkan permintaan resolusi nama yang muncul di jaringan.
Dapat Menjadi Awal Credential Attack
Tujuan poisoning biasanya bukan sekadar mengubah alamat IP.
Serangan dapat menjadi langkah awal untuk memperoleh material autentikasi dan kemudian melakukan serangan lanjutan terhadap akun atau sistem lain.
Dapat Mendukung Lateral Movement
Jika kredensial atau material autentikasi berhasil disalahgunakan, penyerang dapat mencoba memperluas akses ke sistem lain dalam jaringan.
Hubungan LLMNR & NBT-NS dengan NTLM
Apa Itu NTLM?
NTLM (New Technology LAN Manager) adalah protokol autentikasi yang digunakan dalam lingkungan Windows.
Dalam beberapa skenario, Windows masih dapat menggunakan NTLM ketika melakukan autentikasi terhadap layanan jaringan.
Inilah yang membuat LLMNR dan NBT-NS Poisoning menjadi lebih berbahaya.
Penyerang berusaha membuat komputer korban menganggap perangkat mereka sebagai server yang sah. Ketika korban kemudian melakukan autentikasi NTLM terhadap perangkat tersebut, material autentikasi dapat masuk ke lingkungan yang dikendalikan penyerang.
Serangan ini dapat menimbulkan beberapa risiko keamanan, antara lain:
Pencurian material autentikasi.
Password cracking secara offline.
NTLM relay.
Credential reuse.
Lateral movement.
Kompromi akun.
Eskalasi akses dalam jaringan.
Besarnya dampak sangat bergantung pada konfigurasi autentikasi, hak akses akun, segmentasi jaringan, serta kontrol keamanan lain yang diterapkan organisasi.
Cara Mendeteksi LLMNR & NBT-NS Poisoning
Pantau Lalu Lintas LLMNR dan NBT-NS
Administrator dapat memonitor traffic jaringan untuk mencari perangkat yang memberikan respons terhadap banyak permintaan resolusi nama.
Perangkat workstation biasa yang secara tidak normal bertindak seperti resolver dapat menjadi indikator yang perlu diperiksa.
Monitor Autentikasi NTLM
Aktivitas NTLM yang tidak biasa juga dapat menjadi indikator penting.
Misalnya, sebuah workstation melakukan autentikasi terhadap perangkat lain yang seharusnya tidak berperan sebagai server.
Gunakan SIEM
Log dari endpoint, domain controller, firewall, dan perangkat jaringan dapat dikumpulkan ke dalam SIEM.
Korelasi beberapa sumber data dapat membantu menemukan pola serangan yang tidak terlihat dari satu log saja.
Perhatikan Perangkat yang Tidak Dikenal
Perangkat baru atau tidak dikenal pada jaringan internal juga perlu diperiksa.
Jika perangkat tersebut menerima banyak permintaan resolusi nama dan berinteraksi dengan workstation pengguna, aktivitasnya perlu dianalisis lebih lanjut.
Cara Mencegah LLMNR & NBT-NS Poisoning
Nonaktifkan LLMNR Jika Tidak Diperlukan
Jika lingkungan organisasi tidak membutuhkan LLMNR, administrator dapat menonaktifkannya menggunakan Group Policy.
Langkah ini menghilangkan salah satu mekanisme yang dapat dimanfaatkan untuk poisoning.
Nonaktifkan NetBIOS over TCP/IP
NBT-NS bergantung pada NetBIOS over TCP/IP. Jika teknologi tersebut tidak lagi diperlukan, administrator dapat menonaktifkannya pada perangkat yang relevan.
Organisasi juga sebaiknya mengurangi ketergantungan terhadap NTLM secara bertahap.
Jika kompatibilitas aplikasi memungkinkan, autentikasi berbasis Kerberos lebih diutamakan pada lingkungan Active Directory.
Terapkan SMB Signing
SMB Signing dapat membantu melindungi integritas komunikasi SMB dan menjadi salah satu lapisan pertahanan terhadap serangan relay.
Gunakan Network Segmentation
Segmentasi jaringan dapat membatasi komunikasi antarperangkat.
Jika sebuah endpoint berhasil dikompromikan, segmentasi dapat membantu mengurangi kemampuan penyerang untuk menjangkau seluruh jaringan.
Best Practice untuk Administrator Windows
Untuk mengurangi risiko LLMNR & NBT-NS Poisoning, organisasi dapat menerapkan beberapa langkah berikut:
Inventarisasi penggunaan LLMNR dan NBT-NS.
Nonaktifkan LLMNR jika tidak diperlukan.
Nonaktifkan NetBIOS over TCP/IP jika tidak diperlukan.
Audit penggunaan NTLM.
Prioritaskan Kerberos dalam Active Directory.
Terapkan SMB Signing.
Gunakan network segmentation.
Monitor autentikasi NTLM.
Pantau perangkat baru pada jaringan.
Integrasikan endpoint dan network logs dengan SIEM.
Pendekatan tersebut tidak hanya mengurangi risiko poisoning, tetapi juga membantu memperkuat keamanan autentikasi dan komunikasi internal secara keseluruhan.
LLMNR & NBT-NS dalam Perspektif MITRE ATT&CK
LLMNR/NBT-NS Poisoning juga tercatat dalam MITRE ATT&CK sebagai bagian dari teknik Adversary-in-the-Middle, khususnya sub-teknik T1557.001 – LLMNR/NBT-NS Poisoning and SMB Relay.
Hal ini menunjukkan bahwa teknik tersebut bukan sekadar masalah konfigurasi jaringan, tetapi dapat menjadi bagian dari rangkaian serangan yang lebih luas.
Penyerang dapat menggunakannya untuk mendapatkan akses awal terhadap material autentikasi sebelum melanjutkan ke teknik seperti credential access atau lateral movement.
LLMNR & NBT-NS Poisoning merupakan ancaman keamanan yang memanfaatkan mekanisme resolusi nama pada jaringan Windows. Serangan ini bekerja dengan memberikan respons resolusi nama palsu kepada perangkat korban ketika DNS gagal menemukan host yang diminta.
Risiko terbesar muncul ketika korban kemudian melakukan autentikasi NTLM terhadap perangkat penyerang. Material autentikasi yang diperoleh dapat digunakan untuk berbagai serangan lanjutan, termasuk NTLM relay, password cracking, dan lateral movement.
Pencegahan dapat dilakukan dengan mengurangi permukaan serangan. Administrator dapat menonaktifkan LLMNR dan NetBIOS over TCP/IP jika tidak diperlukan, mengurangi penggunaan NTLM, menerapkan SMB Signing, menggunakan Kerberos, serta melakukan segmentasi jaringan.
Dengan memahami bagaimana LLMNR, NBT-NS, dan NTLM saling berkaitan, administrator dapat menemukan kelemahan yang sering terabaikan pada jaringan Windows dan memperkuat pertahanan terhadap serangan berbasis credential.
Seorang Akademisi, Peneliti dan Praktisi TI, mengajar di beberapa perguruan tinggi, Authorized Training Center dan Lembaga Pengembangan SDM TI. Aktif berbagi di komunitas melalui event webinar & sharing session. aktifitas sehari-hari di isi dengan mengajar, menulis di blog, jurnal, media massa, buku dan juga membuat video tutorial. bidang ilmu yang didalami adalah cybersecurity, system administrator, programming, networking, linux, cloud computing, blockchain, data science, artificial intelligence. visit me at sulkiflysaid.com
