Pengantar

Dalam dunia keamanan siber, banyak orang menganggap bahwa menjaga kerahasiaan password sudah cukup untuk melindungi akun dan sistem. Namun, pada kenyataannya terdapat teknik serangan yang memungkinkan penyerang memperoleh akses ke sistem tanpa perlu mengetahui password dalam bentuk asli. Salah satu teknik tersebut adalah Pass-the-Hash (PtH) Attack.

Pass-the-Hash merupakan metode serangan yang memanfaatkan hash password hasil autentikasi untuk mengakses sistem lain yang menggunakan mekanisme autentikasi berbasis hash, terutama pada lingkungan Microsoft Windows Active Directory. Teknik ini telah lama menjadi salah satu ancaman serius karena memungkinkan penyerang melakukan lateral movement, yaitu berpindah dari satu komputer ke komputer lain di dalam jaringan organisasi setelah berhasil mengompromikan satu perangkat.

Bagi administrator sistem, praktisi keamanan siber, maupun tim incident response, memahami cara kerja Pass-the-Hash menjadi langkah penting untuk membangun pertahanan yang lebih efektif terhadap serangan berbasis kredensial.

Apa Itu Pass-the-Hash Attack?

Pengertian Pass-the-Hash

Pass-the-Hash (PtH) Attack adalah teknik serangan di mana pelaku menggunakan hash password yang berhasil dicuri untuk melakukan autentikasi ke sistem lain tanpa harus mengetahui password asli pengguna.

Dalam kondisi normal, password pengguna akan diubah menjadi hash menggunakan algoritma tertentu. Pada serangan PtH, penyerang tidak berusaha memecahkan (crack) hash tersebut, melainkan langsung menggunakan hash sebagai kredensial autentikasi apabila protokol atau sistem masih mengizinkannya.

Menurut MITRE ATT&CK, Pass-the-Hash merupakan teknik yang digunakan penyerang untuk melakukan autentikasi menggunakan hash NTLM yang telah diperoleh dari sistem korban, sehingga memungkinkan pergerakan lateral tanpa memerlukan password dalam bentuk asli (dikutip dari: https://attack.mitre.org/techniques/T1550/002/).

baca juga : Kernel Panic vs BSOD: Memahami Perbedaan Error Fatal pada Linux dan Windows

Bagaimana Cara Kerja Pass-the-Hash Attack?

Secara umum, serangan Pass-the-Hash berlangsung melalui beberapa tahapan berikut:

  1. Penyerang berhasil mengompromikan sebuah komputer.
  2. Hash password pengguna diekstrak dari memori atau database kredensial.
  3. Hash tersebut disimpan oleh penyerang.
  4. Penyerang menggunakan hash untuk melakukan autentikasi ke komputer lain.
  5. Sistem menerima autentikasi apabila masih menggunakan mekanisme yang mendukung hash tersebut.

Karena password tidak pernah didekripsi, proses serangan dapat berlangsung lebih cepat dibandingkan upaya password cracking.

Mengapa Pass-the-Hash Bisa Terjadi?

Serangan ini umumnya terjadi karena beberapa faktor berikut:

  • Penggunaan autentikasi berbasis NTLM.
  • Hash password tersimpan di memori sistem.
  • Hak akses administrator yang terlalu luas.
  • Kurangnya segmentasi jaringan.
  • Komputer yang telah terinfeksi malware.

Semakin banyak perangkat yang menyimpan hash kredensial, semakin besar pula peluang penyerang melakukan lateral movement.

Dari Mana Penyerang Mendapatkan Hash Password?

Hash dapat diperoleh melalui berbagai metode, antara lain:

Dumping Memory

Penyerang mengambil hash dari memori proses seperti LSASS (Local Security Authority Subsystem Service) pada Windows.

Credential Dumping

Berbagai alat forensik ofensif mampu mengekstrak hash dari sistem yang telah berhasil dikompromikan.

Malware

Trojan dan malware tertentu dirancang khusus untuk mencuri hash autentikasi dari perangkat korban.

Hak Akses Administrator

Apabila penyerang memperoleh hak administrator, peluang mendapatkan hash password menjadi jauh lebih besar.

Dampak Pass-the-Hash Attack

Pass-the-Hash dapat memberikan dampak yang sangat serius terhadap keamanan organisasi.

Beberapa dampaknya meliputi:

  • Lateral movement antar komputer.
  • Pengambilalihan akun administrator.
  • Akses ilegal ke server penting.
  • Pencurian data sensitif.
  • Penyebaran ransomware.
  • Kompromi Active Directory.

Dalam banyak insiden keamanan, Pass-the-Hash digunakan sebagai langkah lanjutan setelah penyerang berhasil memperoleh akses awal ke jaringan.

Perbedaan Pass-the-Hash dan Password Cracking

Walaupun sama-sama berkaitan dengan hash password, kedua teknik ini memiliki tujuan yang berbeda.

Aspek Pass-the-Hash Password Cracking
Menggunakan Password Asli Tidak Ya
Membutuhkan Crack Hash Tidak Ya
Target Autentikasi Menemukan password
Kecepatan Relatif cepat Bergantung pada kompleksitas password
Fokus Menggunakan hash secara langsung Mengubah hash menjadi password

Pass-the-Hash tidak berusaha mengetahui isi password, melainkan memanfaatkan hash sebagai pengganti password.

Sistem yang Rentan terhadap Pass-the-Hash

Serangan ini paling sering ditemukan pada lingkungan yang masih menggunakan:

  • Microsoft Windows.
  • Active Directory.
  • NTLM Authentication.
  • SMB.
  • Remote Desktop Protocol (RDP).
  • Windows File Sharing.

Sistem modern yang telah beralih ke mekanisme autentikasi yang lebih aman umumnya memiliki perlindungan tambahan terhadap teknik ini.

baca juga : Alternate Data Streams (ADS): Fitur Tersembunyi NTFS yang Sering Dimanfaatkan Penyerang Siber

Cara Mencegah Pass-the-Hash Attack

Gunakan Kerberos Sebagai Pengganti NTLM

Apabila memungkinkan, gunakan autentikasi berbasis Kerberos karena memiliki mekanisme keamanan yang lebih baik dibandingkan NTLM.

Terapkan Multi-Factor Authentication (MFA)

MFA dapat mengurangi risiko penyalahgunaan kredensial yang telah dicuri.

Batasi Hak Administrator

Hindari penggunaan akun administrator untuk aktivitas sehari-hari dan terapkan prinsip least privilege.

Aktifkan Credential Guard

Windows menyediakan fitur Credential Guard yang membantu melindungi kredensial dari proses pencurian di memori.

Perbarui Sistem Secara Berkala

Pembaruan keamanan membantu menutup celah yang dapat dimanfaatkan untuk memperoleh hash password.

Best Practice Mengurangi Risiko Pass-the-Hash

Gunakan Segmentasi Jaringan

Pisahkan server penting dari jaringan pengguna umum agar pergerakan lateral menjadi lebih sulit.

Pantau Aktivitas Login

Monitoring terhadap autentikasi yang tidak biasa dapat membantu mendeteksi penyalahgunaan hash sejak dini.

Terapkan Endpoint Detection and Response (EDR)

Solusi EDR mampu mendeteksi aktivitas seperti credential dumping, akses ke proses LSASS, maupun indikasi lateral movement.

Nonaktifkan NTLM Jika Tidak Diperlukan

Banyak organisasi mulai mengurangi ketergantungan pada NTLM dan beralih ke metode autentikasi yang lebih modern.

Edukasi Administrator

Administrator perlu memahami bahwa hash password juga merupakan aset sensitif yang harus dilindungi, bukan hanya password dalam bentuk asli.

Menurut Microsoft Learn, organisasi disarankan untuk mengurangi penggunaan NTLM, menerapkan Credential Guard, serta menggunakan autentikasi modern seperti Kerberos guna meminimalkan risiko serangan berbasis kredensial, termasuk Pass-the-Hash (dikutip dari: https://learn.microsoft.com/en-us/windows/security/identity-protection/credential-guard/).

Mengapa Pass-the-Hash Masih Menjadi Ancaman?

Walaupun teknologi keamanan terus berkembang, Pass-the-Hash masih menjadi ancaman karena banyak organisasi masih menjalankan sistem lama (legacy system) yang bergantung pada NTLM. Selain itu, konfigurasi yang kurang tepat, hak akses administrator yang berlebihan, dan lemahnya pengelolaan kredensial memberikan peluang bagi penyerang untuk memanfaatkan teknik ini.

Oleh karena itu, perlindungan terhadap hash password harus menjadi bagian dari strategi keamanan identitas (Identity Security) yang menyeluruh.

baca juga : HTTP Parameter Pollution (HPP): Celah Tersembunyi yang Dapat Mengubah Logika Aplikasi Web

Kesimpulan

Pass-the-Hash Attack merupakan teknik serangan yang memungkinkan pelaku menggunakan hash password untuk melakukan autentikasi tanpa mengetahui password asli pengguna. Teknik ini banyak ditemukan pada lingkungan Windows yang masih menggunakan NTLM dan sering dimanfaatkan untuk melakukan lateral movement setelah penyerang berhasil memperoleh akses awal ke jaringan.

Dengan menerapkan autentikasi modern seperti Kerberos, mengaktifkan Credential Guard, membatasi hak akses administrator, menggunakan Multi-Factor Authentication, serta melakukan monitoring terhadap aktivitas login yang mencurigakan, organisasi dapat secara signifikan mengurangi risiko keberhasilan serangan Pass-the-Hash dan meningkatkan keamanan infrastruktur TI secara keseluruhan.

Related Posts: