Apa Itu Living Off the Land Attack? Kenali Ancaman Siber yang Sulit Dideteksi

Dalam dunia cyber security, serangan tidak selalu dilakukan menggunakan malware atau aplikasi berbahaya yang harus dipasang terlebih dahulu pada perangkat korban. Penyerang juga dapat memanfaatkan berbagai tools, program, script, dan fitur bawaan sistem operasi yang sebenarnya sah dan memang digunakan untuk kebutuhan administrasi.

Teknik tersebut dikenal sebagai Living Off the Land (LotL) atau Living Off the Land Attack. Dengan pendekatan ini, penyerang memanfaatkan kemampuan yang sudah tersedia di dalam lingkungan korban sehingga aktivitas berbahaya dapat terlihat seperti aktivitas administrasi biasa.

CISA bersama sejumlah lembaga keamanan siber internasional menjelaskan bahwa Living Off the Land melibatkan penyalahgunaan tools dan proses native pada sistem, termasuk Living Off the Land Binaries atau LOLBins. Teknik ini dapat digunakan pada berbagai lingkungan, termasuk Windows, Linux, macOS, cloud, hybrid, dan on-premises.

Karena menggunakan komponen yang sudah dipercaya oleh sistem, LotL menjadi tantangan tersendiri bagi tim keamanan. Aktivitas penyerang tidak selalu menghasilkan file malware baru atau indikator kompromi yang mudah dikenali.

Apa Itu Living Off the Land Attack?

Living Off the Land Attack adalah teknik serangan siber yang memanfaatkan tools, utilitas, layanan, atau fitur bawaan sistem yang sudah tersedia di lingkungan target untuk menjalankan aktivitas berbahaya.

Istilah living off the land secara sederhana dapat dianalogikan sebagai seseorang yang bertahan hidup dengan memanfaatkan sumber daya yang sudah tersedia di suatu tempat. Dalam konteks cyber security, “sumber daya” tersebut berupa kemampuan sistem yang sebenarnya dibuat untuk tujuan sah.

Contohnya, administrator mungkin menggunakan PowerShell untuk menjalankan konfigurasi sistem, menggunakan command-line tools untuk melakukan troubleshooting jaringan, atau menggunakan utilitas Windows untuk mengelola file dan layanan. Penyerang dapat memanfaatkan kemampuan yang sama setelah memperoleh akses ke sistem.

Dengan demikian, LotL bukan berarti suatu tools tertentu selalu merupakan malware. Sebaliknya, tools tersebut dapat sepenuhnya legitimate, tetapi penggunaannya dalam konteks, urutan proses, akun, waktu, atau tujuan yang tidak wajar dapat menjadi indikator aktivitas berbahaya.

CISA menyebut bahwa salah satu alasan LotL efektif adalah karena tools tersebut sudah tersedia dan dipercaya di lingkungan korban. Hal ini memungkinkan aktivitas penyerang bercampur dengan aktivitas sistem normal dan berpotensi mengurangi kemungkinan terdeteksi oleh kontrol keamanan dasar.

Mengapa Living Off the Land Berbahaya?

LotL berbahaya karena pendekatan ini mengeksploitasi kepercayaan terhadap tools yang legitimate, bukan sekadar mengandalkan file malware yang mudah dikenali. Pada serangan konvensional, sistem keamanan dapat menggunakan hash file, signature malware, atau indikator file berbahaya untuk membantu melakukan deteksi. Namun, ketika penyerang menggunakan executable atau utilitas yang memang sudah menjadi bagian dari sistem, pendekatan berbasis signature saja menjadi kurang efektif.

Beberapa karakteristik yang membuat LotL sulit dideteksi antara lain:

1. Menggunakan tools yang sudah tersedia di perangkat.
2. Aktivitas dapat menyerupai administrasi sistem yang sah.
3. Tidak selalu membutuhkan malware tambahan.
4. Dapat memanfaatkan akun yang valid.
5. Dapat menghasilkan sedikit indikator kompromi konvensional.
6. Dapat digunakan dalam berbagai tahap serangan.
7. Sulit membedakan aktivitas legitimate dan malicious tanpa konteks.

CISA juga mencatat bahwa kurangnya baseline aktivitas normal dan keterbatasan indikator kompromi konvensional dapat membuat aktivitas LotL lebih sulit dibedakan dari aktivitas sistem yang sah.

Bagaimana Cara Kerja Living Off the Land Attack?

Secara umum, LotL dapat berlangsung setelah penyerang memperoleh akses awal ke lingkungan target. Akses tersebut dapat berasal dari berbagai metode, misalnya eksploitasi kerentanan, phishing, kredensial yang dicuri, atau kompromi perangkat lain. Setelah mendapatkan pijakan, penyerang tidak selalu langsung mengunduh malware tambahan. Mereka dapat terlebih dahulu mencari tahu kemampuan sistem yang tersedia. Misalnya, penyerang dapat memanfaatkan:

• Command shell.
• PowerShell.
• Windows Management Instrumentation atau WMI.
• Task Scheduler.
• Windows services.
• System utilities.
• Network administration tools.
• Script interpreter.
• File transfer utilities.
• Tools administrasi cloud.

Kemudian tools tersebut dapat digunakan untuk melakukan aktivitas seperti discovery, execution, persistence, privilege escalation, lateral movement, collection, atau bahkan exfiltration.

Gambaran Sederhana Alur LotL
Akses awal → Discovery → Memanfaatkan tools bawaan → Menjalankan aktivitas berbahaya → Bergerak di dalam jaringan → Mengakses atau mengambil data

Hal penting yang perlu dipahami adalah bahwa LotL bukan satu jenis malware atau satu program tertentu. LotL merupakan pendekatan atau teknik yang dapat digunakan dalam berbagai tahap intrusi. CISA melaporkan bahwa teknik ini dapat digunakan untuk execution, persistence, lateral movement, discovery, credential access, dan aktivitas lainnya.

Apa Itu LOLBin?

Istilah LOLBin merupakan singkatan dari Living Off the Land Binary. LOLBin merujuk pada binary atau executable yang legitimate dan tersedia di sistem, tetapi dapat disalahgunakan untuk menjalankan aktivitas berbahaya. Contoh yang sering dibahas dalam konteks Windows antara lain:

Daftar tersebut bukan berarti tools tersebut berbahaya. Konteks penggunaannya yang menentukan apakah aktivitas tersebut legitimate atau mencurigakan. MITRE ATT&CK mendokumentasikan sejumlah teknik yang berhubungan dengan penyalahgunaan system binaries. Salah satunya adalah System Binary Proxy Execution (T1218), yaitu ketika penyerang memanfaatkan binary yang dipercaya untuk melakukan proxy terhadap eksekusi konten berbahaya.

Contoh Living Off the Land Attack

1. Penyalahgunaan PowerShell

PowerShell merupakan salah satu contoh paling dikenal dalam pembahasan LotL karena tersedia secara native pada banyak lingkungan Windows dan memiliki kemampuan administrasi yang sangat luas. Administrator dapat menggunakan PowerShell untuk automation, konfigurasi sistem, dan pengelolaan perangkat. Namun, kemampuan yang sama dapat dimanfaatkan oleh attacker untuk menjalankan perintah, melakukan discovery, mengakses sistem lain, atau menjalankan script berbahaya.

Oleh karena itu, memblokir PowerShell secara total bukan selalu solusi yang tepat. Pendekatan yang lebih efektif adalah memahami siapa yang menjalankannya, kapan dijalankan, proses induknya, command yang digunakan, serta aktivitas jaringan yang mengikuti eksekusi tersebut.

2. Penyalahgunaan Windows Management Instrumentation

Windows Management Instrumentation (WMI) merupakan teknologi Windows yang digunakan untuk management dan monitoring sistem. Dalam lingkungan perusahaan, WMI dapat digunakan administrator untuk mengelola perangkat secara remote.

Namun, kemampuan remote management tersebut juga dapat dimanfaatkan attacker untuk menjalankan aktivitas pada endpoint lain setelah memperoleh akses yang diperlukan. Karena WMI memiliki fungsi legitimate, aktivitas yang menggunakan WMI tidak otomatis menunjukkan adanya serangan.

3. Penyalahgunaan mshta.exe

mshta.exe merupakan Windows utility yang digunakan untuk menjalankan HTML Applications (HTA). MITRE ATT&CK memasukkan penyalahgunaan mshta.exe ke dalam System Binary Proxy Execution: Mshta (T1218.005) karena attacker dapat memanfaatkan utility yang dipercaya tersebut untuk menjalankan konten berbahaya.

4. Penyalahgunaan msiexec.exe

msiexec.exe adalah command-line utility untuk Windows Installer. Karena merupakan komponen legitimate dan dapat ditandatangani Microsoft, binary ini dapat menjadi target penyalahgunaan. MITRE ATT&CK mencatat bahwa attacker dapat menggunakan msiexec.exe untuk melakukan proxy execution terhadap payload tertentu, termasuk MSI yang berada secara lokal maupun dapat diakses melalui jaringan.

5. Penyalahgunaan rundll32.exe

rundll32.exe merupakan Windows utility yang berkaitan dengan pemanggilan fungsi tertentu dari DLL. MITRE ATT&CK memasukkan rundll32.exe sebagai salah satu subteknik dalam System Binary Proxy Execution karena trusted system binary dapat disalahgunakan untuk membantu menjalankan konten berbahaya.

6. Penyalahgunaan Microsoft Management Console

Microsoft Management Console (MMC) digunakan untuk menjalankan berbagai administrative snap-ins. Namun, mmc.exe juga dapat disalahgunakan untuk proxy execution. MITRE ATT&CK mendokumentasikan penyalahgunaan MMC untuk menjalankan file .msc tertentu dan mengaitkannya dengan aktivitas kelompok ancaman yang telah diamati.

Perbedaan LotL dengan Malware Konvensional

Living Off the Land sering dibandingkan dengan malware konvensional karena keduanya dapat digunakan untuk menjalankan aktivitas berbahaya. Namun, pendekatan yang digunakan berbeda.

Perbedaan tersebut bukan berarti LotL selalu fileless. LotL dan fileless attack merupakan konsep yang berbeda. Sebuah serangan dapat menggunakan teknik LotL sekaligus memiliki komponen fileless, tetapi keduanya tidak dapat dianggap sebagai istilah yang sama.

LotL dan Fileless Attack

Kedua istilah ini sering dianggap sama karena memiliki karakteristik yang saling beririsan.

Jadi, LotL lebih menekankan pada sumber daya legitimate yang disalahgunakan, sedangkan fileless attack lebih menekankan pada cara payload atau kode dijalankan tanpa bergantung pada file executable tradisional.

Mengapa LotL Sulit Dideteksi?

Tantangan utama LotL adalah membedakan aktivitas legitimate dengan aktivitas malicious. Misalnya, PowerShell digunakan setiap hari oleh administrator. Jika sistem keamanan membuat alert setiap kali PowerShell dijalankan, jumlah false positive dapat menjadi sangat tinggi.

Sebaliknya, jika PowerShell tidak dipantau dengan baik, attacker dapat memanfaatkan aktivitas tersebut untuk menyamarkan tindakannya. CISA menjelaskan bahwa LOTL dapat berbaur dengan aktivitas sistem dan jaringan normal serta mengurangi efektivitas beberapa kemampuan keamanan endpoint dasar. Beberapa faktor yang membuatnya sulit dideteksi antara lain:

• Tools Sudah Dipercaya Sistem
  Executable yang digunakan merupakan bagian dari sistem atau software yang legitimate. Akibatnya, keberadaan executable tersebut sendiri bukan indikator kompromi.

• Aktivitas Mirip Administrator
  Banyak teknik LotL menyerupai aktivitas administrator, seperti menjalankan command-line utility, melakukan remote management, atau mengakses sistem lain.

• Minim IOC Konvensional
  Serangan yang menggunakan malware baru dapat meninggalkan hash atau file tertentu yang dapat digunakan sebagai indikator kompromi. LotL tidak selalu menghasilkan indikator semacam itu.

• Menggunakan Akun Valid
  Jika attacker telah mendapatkan kredensial yang valid, aktivitasnya dapat terlihat seperti aktivitas pengguna resmi.

• Memanfaatkan Lingkungan yang Kompleks
  Dalam jaringan enterprise, terdapat banyak server, endpoint, automation, administrator, service account, dan aplikasi. Kondisi tersebut dapat meningkatkan noise dan menyulitkan identifikasi aktivitas abnormal.

Cara Mendeteksi Living Off the Land Attack

Karena tools yang digunakan dapat legitimate, deteksi LotL sebaiknya tidak hanya bergantung pada daftar program berbahaya. Pendekatan yang lebih efektif adalah behavior-based detection.

1. Pantau Process Creation

Security team perlu mengetahui proses apa yang dijalankan, siapa yang menjalankan, proses induknya, serta command-line argument yang digunakan. Misalnya, executable legitimate yang berjalan dalam konteks tidak biasa dapat menjadi sinyal penting. MITRE ATT&CK juga mencantumkan process creation, network connection, dan module load sebagai sumber data yang dapat digunakan untuk mendeteksi proxy execution melalui trusted binaries.

2. Analisis Parent-Child Process

Hubungan antarproses dapat memberikan konteks penting. Contohnya, sebuah system utility yang biasanya dijalankan oleh aplikasi tertentu tiba-tiba dijalankan oleh proses yang tidak lazim dapat menjadi indikasi yang perlu diperiksa.

3. Pantau Command-Line

Nama executable saja sering tidak cukup. Security monitoring sebaiknya memperhatikan command-line argument karena parameter tertentu dapat menunjukkan penggunaan utility dalam konteks yang tidak biasa.

4. Buat Baseline Aktivitas Normal

Organisasi perlu memahami pola aktivitas normal di lingkungannya. Contohnya:

• Administrator mana yang biasa menggunakan PowerShell.
• Server mana yang menjalankan WMI.
• Service apa yang biasanya menggunakan command-line.
• Tools apa yang digunakan pada server tertentu.
• Kapan scheduled task biasanya berjalan.

Dengan baseline tersebut, aktivitas abnormal lebih mudah dikenali.

5. Pantau Aktivitas Jaringan

Aktivitas LotL dapat dikombinasikan dengan koneksi jaringan. Misalnya, sebuah system utility yang jarang melakukan koneksi keluar tiba-tiba berkomunikasi dengan tujuan eksternal yang tidak biasa. Aktivitas tersebut dapat menjadi sinyal untuk investigasi lebih lanjut.

6. Gunakan EDR dan SIEM

Endpoint Detection and Response (EDR) dapat memberikan visibilitas terhadap proses, command-line, koneksi jaringan, dan aktivitas endpoint. Sementara itu, Security Information and Event Management (SIEM) dapat membantu menghubungkan event dari berbagai sumber. Microsoft juga menekankan pentingnya behavioral monitoring, process tree analysis, timeline reconstruction, dan network connection tracking untuk meningkatkan kemampuan deteksi terhadap teknik seperti LotL.

Cara Mencegah Living Off the Land Attack

Tidak semua tools native dapat atau perlu dihapus. Banyak di antaranya merupakan bagian penting dari sistem operasi dan dibutuhkan untuk administrasi. Karena itu, strategi pertahanan sebaiknya berfokus pada mengurangi peluang penyalahgunaan sekaligus meningkatkan visibility.

1. Terapkan Least Privilege

Berikan pengguna hanya hak akses yang benar-benar diperlukan. Dengan membatasi privilege, dampak yang dapat dilakukan attacker setelah mendapatkan akses ke suatu akun juga dapat dikurangi.

2. Gunakan Application Control

Application control dapat digunakan untuk membatasi executable tertentu berdasarkan kebutuhan organisasi. MITRE ATT&CK merekomendasikan penggunaan execution prevention atau application control untuk membatasi binary yang rentan disalahgunakan dan tidak dibutuhkan dalam lingkungan tertentu. Microsoft juga merekomendasikan pembatasan terhadap LOLBins tertentu seperti regsvr32, rundll32, dan mshta apabila tidak diperlukan dalam lingkungan organisasi.

3. Aktifkan Logging yang Memadai

Logging harus mencakup informasi yang relevan seperti:

• Process creation.
• Command-line.
• Authentication.
• Network connection.
• PowerShell activity.
• WMI activity.
• Scheduled task.
• Service creation.
• Privilege changes.

Logging yang memadai membantu security team merekonstruksi aktivitas attacker.

4. Gunakan EDR

EDR dapat membantu memonitor aktivitas endpoint secara behavioral, bukan hanya mencari signature malware. Pendekatan ini penting karena executable yang digunakan attacker mungkin merupakan executable legitimate. Microsoft mencatat bahwa EDR dengan behavioral monitoring dapat membantu mendeteksi pola aktivitas yang berkaitan dengan LotL dan teknik lanjutan lainnya.

5. Terapkan Network Segmentation

Segmentasi jaringan dapat membatasi kemampuan attacker untuk bergerak secara lateral. Jika satu endpoint berhasil dikompromikan, segmentasi yang baik dapat membantu mencegah akses langsung ke seluruh server atau jaringan internal.

6. Perketat Penggunaan Akun Administrator

Akun administrator memiliki kemampuan tinggi dan menjadi target menarik bagi attacker. Gunakan privileged account secara terkontrol, hindari penggunaan akun administrator untuk aktivitas sehari-hari, dan monitor aktivitas privileged account secara lebih ketat.

7. Lakukan Threat Hunting

Threat hunting secara proaktif dapat membantu menemukan pola LotL yang belum menghasilkan alert otomatis. Tim keamanan dapat mencari:

• Penggunaan system utility yang tidak biasa.
• Parent-child process yang mencurigakan.
• Command-line abnormal.
• Remote execution yang tidak umum.
• Aktivitas PowerShell yang tidak sesuai baseline.
• Koneksi keluar dari utility yang biasanya tidak berkomunikasi dengan internet.
• Penggunaan akun administratif di luar jam atau pola normal.

Peran MITRE ATT&CK dalam Memahami LotL

MITRE ATT&CK merupakan salah satu framework yang berguna untuk memahami teknik yang digunakan attacker. LotL tidak berdiri sebagai satu teknik tunggal dalam MITRE ATT&CK. Aktivitas LotL dapat berhubungan dengan berbagai teknik dan subteknik bergantung pada tools serta tujuan yang digunakan attacker.

Salah satu yang paling relevan adalah T1218 – System Binary Proxy Execution. Teknik tersebut mencakup berbagai subteknik seperti Mshta, Msiexec, Regsvr32, Rundll32, MMC, dan lainnya. Hal ini penting karena organisasi sebaiknya tidak hanya membuat daftar “tools berbahaya”, tetapi memahami bagaimana tools tersebut digunakan dalam rangkaian aktivitas serangan.

Contoh Skenario Living Off the Land

Bayangkan sebuah perusahaan memiliki server Windows yang digunakan untuk aplikasi internal. Seorang attacker berhasil memperoleh akses melalui kredensial yang telah dicuri. Alih-alih langsung memasang malware, attacker memanfaatkan tools yang telah tersedia di server.

Pertama, attacker melakukan discovery untuk memahami konfigurasi sistem dan akun yang tersedia. Setelah mengetahui lingkungan target, attacker menggunakan tools administrasi native untuk melakukan aktivitas lanjutan.

Selanjutnya, attacker mencoba mengakses sistem lain menggunakan kredensial yang tersedia. Setelah mendapatkan akses ke server tambahan, attacker kembali memanfaatkan tools yang ada untuk mencari data penting.

Pada tahap tertentu, data dikumpulkan dan dipindahkan menggunakan mekanisme yang tersedia di lingkungan tersebut.

Bagi security team yang hanya mencari file malware, aktivitas tersebut dapat terlihat normal. Namun, jika dianalisis berdasarkan urutan proses, akun, command-line, koneksi jaringan, dan hubungan antarendpoint, pola tersebut dapat menunjukkan adanya intrusi. Inilah inti tantangan Living Off the Land: setiap aktivitas secara individual mungkin terlihat legitimate, tetapi rangkaian aktivitasnya dapat menjadi malicious.

Dampak Living Off the Land Attack bagi Organisasi

Serangan LotL dapat menimbulkan berbagai dampak, terutama jika attacker berhasil mempertahankan akses dalam waktu lama.

Dalam sejumlah kasus yang diamati lembaga keamanan, threat actor menggunakan LotL untuk mempertahankan akses dalam lingkungan korban dalam jangka panjang. CISA bahkan melaporkan penggunaan teknik ini oleh aktor yang menargetkan organisasi infrastruktur kritis.

Apakah Semua Penggunaan Tools Bawaan Merupakan Serangan?

Tidak. Penggunaan tools bawaan sistem seperti PowerShell, WMI, rundll32.exe, msiexec.exe, maupun berbagai utilitas administrasi lainnya tidak otomatis berarti terjadi serangan siber. Tools tersebut memang dirancang untuk menjalankan fungsi legitimate, seperti administrasi sistem, otomatisasi pekerjaan, konfigurasi perangkat, hingga troubleshooting. Dalam konteks Living Off the Land Attack (LotL), yang menjadi perhatian adalah bagaimana dan dalam kondisi apa tools tersebut digunakan.

Aktivitas dapat menjadi lebih mencurigakan ketika tools bawaan sistem dijalankan oleh pengguna yang tidak seharusnya, pada waktu yang tidak biasa, menggunakan parent process yang tidak lazim, atau disertai command-line yang mencurigakan. Kecurigaan juga semakin tinggi apabila aktivitas tersebut diikuti komunikasi ke tujuan jaringan yang tidak biasa atau muncul bersamaan dengan proses discovery, credential access, privilege escalation, maupun aktivitas lain yang berkaitan dengan intrusi. Oleh karena itu, penggunaan tools legitimate perlu dianalisis berdasarkan konteks dan perilakunya, bukan hanya berdasarkan nama program yang digunakan.

Pendekatan “block everything” juga tidak selalu menjadi solusi yang tepat karena banyak tools bawaan dibutuhkan untuk operasional dan administrasi sistem sehari-hari. Strategi yang lebih efektif adalah membangun baseline aktivitas normal, menerapkan prinsip least privilege, mengaktifkan logging, serta menggunakan monitoring berbasis perilaku. Dengan memahami pola penggunaan yang normal, tim keamanan dapat lebih mudah membedakan aktivitas legitimate dari aktivitas yang berpotensi menjadi Living Off the Land Attack.

Praktik Terbaik Menghadapi LotL

Untuk meningkatkan perlindungan terhadap Living Off the Land Attack, organisasi dapat menerapkan beberapa praktik berikut:

Pendekatan keamanan yang efektif sebaiknya tidak bergantung pada satu lapisan perlindungan saja. Preventive control, monitoring, detection, threat hunting, dan incident response perlu berjalan secara berlapis.

Kesimpulan

Living Off the Land Attack (LotL) adalah teknik serangan siber yang memanfaatkan tools, binary, script, layanan, atau fitur legitimate yang sudah tersedia di lingkungan target untuk melakukan aktivitas berbahaya. Karena menggunakan komponen yang telah dipercaya dan umum digunakan, LotL dapat menyamarkan aktivitas attacker sebagai aktivitas administrasi normal.

Salah satu contoh yang berkaitan erat dengan konsep ini adalah penyalahgunaan LOLBin (Living Off the Land Binary). Pada lingkungan Windows, berbagai system binary dapat disalahgunakan untuk melakukan execution atau aktivitas lain tanpa harus selalu membawa executable malware baru. MITRE ATT&CK mendokumentasikan sejumlah teknik terkait, termasuk System Binary Proxy Execution (T1218).

Tantangan utama dalam menghadapi LotL bukan sekadar mengetahui tools mana yang dapat disalahgunakan, tetapi memahami konteks dan perilaku di balik penggunaannya. Oleh karena itu, organisasi perlu mengombinasikan least privilege, application control, logging, EDR, SIEM, network segmentation, behavioral detection, dan threat hunting.

Dengan pendekatan tersebut, aktivitas yang terlihat normal secara individual dapat dianalisis sebagai bagian dari rangkaian serangan yang lebih besar.

Bagi Anda yang ingin memperdalam pembahasan mengenai cyber security, server, jaringan, cloud computing, dan teknologi informasi, berbagai artikel teknis lainnya dapat ditemukan melalui blog Hosteko. Untuk kebutuhan website dan infrastruktur online, pemilihan layanan hosting yang sesuai juga menjadi bagian penting dalam membangun lingkungan digital yang aman, stabil, dan dapat diandalkan.