Pengantar
LSASS Memory Dumping adalah teknik yang digunakan untuk mengambil informasi dari memori proses Local Security Authority Subsystem Service (LSASS) pada Windows. Teknik ini sering dikaitkan dengan pencurian kredensial karena LSASS dapat menyimpan material autentikasi selama pengguna melakukan login.
MITRE ATT&CK mengklasifikasikan teknik ini sebagai T1003.001 – OS Credential Dumping: LSASS Memory. Informasi yang diperoleh dapat digunakan attacker untuk mendapatkan akses ke akun lain atau melakukan lateral movement.
Apa Itu LSASS?
LSASS (Local Security Authority Subsystem Service) merupakan proses Windows yang berperan dalam autentikasi pengguna dan penerapan kebijakan keamanan.
Ketika pengguna melakukan login, LSASS menangani berbagai informasi yang berkaitan dengan proses autentikasi. Karena itu, memori proses ini menjadi target menarik bagi attacker.
Jika attacker berhasil memperoleh akses yang cukup terhadap LSASS, mereka dapat mencoba mengambil material kredensial yang tersimpan di memori. MITRE menjelaskan bahwa LSASS dapat menyimpan berbagai material kredensial setelah pengguna melakukan login (dikutip dari: MITRE ATT&CK – LSASS Memory).
baca juga : Format String Attack: Mengenal Celah Berbahaya pada Fungsi printf dan Cara Mencegahnya
Apa Itu LSASS Memory Dumping?
LSASS Memory Dumping merupakan proses memperoleh salinan memori lsass.exe untuk kemudian dianalisis guna mencari material autentikasi.
Teknik ini biasanya dilakukan setelah attacker memperoleh hak akses yang cukup pada sistem. Karena itu, LSASS dumping sering menjadi bagian dari tahapan Credential Access setelah sistem berhasil dikompromikan.
Tujuan utamanya bukan sekadar membuat file dump. Attacker biasanya ingin menemukan informasi yang dapat digunakan untuk mendapatkan akses lebih lanjut.
Mengapa LSASS Menjadi Target?
LSASS memiliki peran penting dalam proses autentikasi Windows.
Informasi yang berkaitan dengan:
- akun pengguna,
- sesi login,
- autentikasi Windows,
- NTLM,
- dan tiket autentikasi tertentu
dapat berkaitan dengan proses LSASS.
Microsoft menjelaskan bahwa LSA Protection dirancang untuk mencegah proses yang tidak terlindungi membaca memori LSA dan melakukan code injection. Fitur tersebut juga membantu mencegah process memory dumping (dikutip dari: Microsoft Learn – Configure added LSA protection).
Bagaimana Serangan Ini Terjadi?
Secara umum, serangan dapat dipahami melalui beberapa tahap.
1. Attacker Mendapatkan Akses
Sistem terlebih dahulu harus dikompromikan atau attacker memperoleh hak akses yang memungkinkan interaksi dengan proses sensitif.
2. LSASS Menjadi Target
Attacker kemudian mencoba mengakses memori lsass.exe.
3. Memory Dump Dibuat
Memori LSASS dapat disalin untuk dianalisis lebih lanjut.
4. Credential Material Dicari
Dump kemudian dianalisis untuk mencari material autentikasi yang dapat digunakan untuk akses lanjutan.
MITRE mencatat bahwa aktivitas seperti proses yang membuka akses ke memori LSASS kemudian diikuti pembuatan dump dapat menjadi indikator penting dalam mendeteksi teknik ini.
Apa Dampaknya?
Credential Theft
Dampak utama adalah pencurian material autentikasi dari sistem.
Jika informasi tersebut dapat digunakan untuk autentikasi, attacker mungkin memperoleh akses ke resource lain.
Lateral Movement
Kredensial yang diperoleh dapat digunakan untuk berpindah dari satu sistem ke sistem lainnya.
MITRE mengaitkan OS Credential Dumping dengan aktivitas Lateral Movement karena kredensial yang dicuri dapat digunakan untuk mengakses sistem lain.
Account Compromise
Jika material autentikasi bernilai tinggi berhasil diperoleh, akun pengguna atau akun administratif dapat ikut terancam.
Risikonya menjadi lebih besar jika akun tersebut memiliki hak akses luas.
Cara Mendeteksi LSASS Memory Dumping
Deteksi sebaiknya tidak hanya mencari keberadaan file dump.
Perhatikan Akses ke lsass.exe
Aktivitas tidak biasa dari proses yang mencoba membuka LSASS dengan hak akses tinggi dapat menjadi indikator.
MITRE menyediakan strategi deteksi yang menghubungkan process access, pembuatan file dump, dan aktivitas lanjutan untuk mengidentifikasi credential dumping dari LSASS (dikutip dari: MITRE ATT&CK – Detection Strategy DET0363).
baca juga : DNS-over-QUIC (DoQ): Teknologi DNS Encrypted yang Lebih Cepat dan Privat
Gunakan Sysmon atau EDR
Security monitoring dapat membantu mencatat proses yang mengakses LSASS.
Beberapa data yang dapat dipantau meliputi:
- proses yang mengakses
lsass.exe, - parent-child process,
- command line,
- pembuatan file dump,
- lokasi file dump,
- dan aktivitas setelah akses LSASS.
Korelasi beberapa indikator biasanya lebih efektif daripada hanya mencari satu event.
Cara Mencegah LSASS Memory Dumping
Aktifkan LSA Protection
LSA Protection membantu mencegah proses tidak tepercaya mengakses atau melakukan injeksi ke LSASS.
Microsoft menjelaskan bahwa fitur ini membantu melindungi kredensial dengan memblokir code injection yang tidak tepercaya dan mencegah process memory dumping (dikutip dari: Microsoft Learn – Configure added LSA protection).
Gunakan Credential Guard
Windows Defender Credential Guard menggunakan Virtualization-Based Security (VBS) untuk mengisolasi informasi kredensial tertentu.
Microsoft menjelaskan bahwa Credential Guard membantu melindungi kredensial dengan mengisolasi secret dalam lingkungan yang tidak dapat diakses oleh bagian lain dari sistem operasi.
Batasi Hak Administrator
Semakin sedikit akun yang memiliki hak administratif, semakin kecil peluang attacker mendapatkan akses untuk melakukan credential dumping.
Terapkan prinsip least privilege dan gunakan akun administrator hanya ketika diperlukan.
Gunakan EDR
EDR dapat membantu mendeteksi perilaku mencurigakan seperti proses tidak biasa yang mencoba mengakses LSASS.
Monitoring juga perlu mencakup aktivitas sebelum dan sesudah akses tersebut.
LSASS Memory Dumping dalam MITRE ATT&CK
Dalam MITRE ATT&CK, LSASS Memory memiliki ID T1003.001 dan berada di bawah teknik OS Credential Dumping.
Teknik ini termasuk dalam taktik Credential Access. MITRE juga mendokumentasikan penggunaan teknik tersebut oleh berbagai kelompok ancaman, sehingga LSASS dumping bukan hanya konsep teoritis, tetapi merupakan teknik yang digunakan dalam operasi nyata.
baca juga : MQTT Protocol Security: Cara Mengamankan Komunikasi IoT dari Ancaman Siber
Kesimpulan
LSASS Memory Dumping merupakan teknik credential dumping yang menargetkan memori proses lsass.exe pada Windows.
Jika berhasil, attacker dapat memperoleh material autentikasi yang berpotensi digunakan untuk credential theft, account compromise, dan lateral movement.
Organisasi dapat mengurangi risikonya dengan menerapkan LSA Protection, Credential Guard, least privilege, EDR, serta monitoring terhadap akses mencurigakan ke LSASS.
Karena LSASS merupakan komponen penting dalam keamanan Windows, aktivitas yang tidak biasa terhadap proses tersebut sebaiknya dianggap sebagai indikator yang perlu segera diperiksa.
