JVBotelho merilis skewrun, sebuah tool Rust yang dirancang untuk red team melakukan discovery waktu pada infrastruktur Active Directory secara stealthy melalui protokol Kerberos, SMB, NTLM, dan CLDAP.
APA YANG TERJADI?
Skewrun adalah tool open-source yang dikembangkan dalam bahasa Rust untuk membantu operator red team menentukan waktu pada target Active Directory dengan cara yang tidak mencolok. Tool ini menyalahgunakan protokol autentikasi dan discovery yang sudah ada di jaringan Windows untuk mendapatkan informasi timestamp dari domain controller dan host lainnya. Informasi waktu yang akurat sangat penting dalam operasi red team karena banyak protokol security, terutama Kerberos, sangat sensitif terhadap perbedaan waktu antara klien dan server. Dengan mengetahui waktu target, operator dapat menghindari failure autentikasi yang disebabkan oleh time skew dan merencanakan serangan time-bound seperti golden ticket atau pass-the-ticket dengan lebih tepat.
DETAIL TEKNIS
Skewrun mendukung empat protokol utama untuk ekstraksi waktu secara stealthy. Kerberos digunakan melalui AS-REQ tanpa pre-authentication yang meminta TGT, di mana response dari KDC mengandung informasi waktu server. SMB melakukan negosiasi protokol melalui session setup yang mengembalikan timestamp dalam struktur internal NTLM. NTLM authentication challenge-response juga menyertakan data yang dapat digunakan untuk inferensi waktu. CLDAP (Connection-less LDAP) digunakan untuk query RootDSE yang mengembalikan atribut server metadata termasuk currentTime. Tool ini dirancang untuk minimasi noise jaringan: setiap metode menggunakan traffic yang tampak seperti autentikasi atau query legitim, sehingga tidak memicu alert pada IDS atau SIEM yang dikonfigurasi untuk memantau scanning port atau traffic anomali. Implementasi dalam Rust memberikan performa tinggi dan footprint memori rendah, dengan kemampuan untuk di-compile sebagai binary static yang tidak memerlukan runtime dependensi tambahan.
DAMPAK TERHADAP INDONESIA
Adopsi Active Directory di kalangan korporasi Indonesia sangat luas, mulai dari perusahaan multinasional hingga BUMN dan instansi pemerintah. Namun, banyak organisasi masih mengandalkan konfigurasi default untuk time synchronization melalui Windows Time Service tanpa hardening tambahan. Tool seperti skewrun menunjukkan bahwa informasi yang tampaknya tidak berbahaya seperti waktu server dapat dieksploitasi untuk persiapan serangan yang lebih besar. Bagi praktisi offensive security lokal, tool ini memberikan alternatif yang lebih stealthy dibandingkan metode scanning konvensional. Bagi defender, ini menekankan pentingnya memantau traffic autentikasi yang tidak biasa, bahkan ketika tidak ada failed login attempt, karena query timestamp dapat menjadi indikator reconnaissance awal.
REKOMENDASI MITIGASI
Organisasi harus mengkonfigurasi NTP dengan sumber yang tepercaya dan mengaktifkan NTP authentication untuk mencegah manipulasi waktu. Pantau query CLDAP RootDSE dari host yang tidak dikenal atau dari subnet yang tidak biasa melakukan query tersebut. Batasi visibilitas informasi waktu pada response protokol autentikasi jika memungkinkan melalui konfigurasi hardening domain controller. Terapkan network segmentation untuk membatasi akses ke port Kerberos (88), SMB (445), dan LDAP/CLDAP (389) hanya dari host yang memerlukannya. Gunakan behavioral analytics pada SIEM untuk mendeteksi pola query yang tidak biasa meskipun tidak disertai failed authentication. Bagi red team internal, gunakan skewrun sebagai bagian dari reconnaissance awal untuk memahami time landscape target sebelum melakukan serangan Kerberos-based.
Analisa Retasan
Skewrun mengisi gap yang sering terabaikan dalam tradecraft red team: reconnaissance temporal. Waktu sering kali dianggap sebagai parameter konfigurasi yang tidak menarik, namun dalam konteks Active Directory dan Kerberos, waktu adalah security control yang fundamental. Perbedaan waktu lebih dari 5 menit antara klien dan KDC akan menyebabkan seluruh autentikasi Kerberos gagal. Penyerang yang mengetahui waktu target dapat menyesuaikan jam sistem mereka sebelum meluncurkan serangan ticket-based, menghindari detection yang disebabkan oleh repeated authentication failure. Tool ini juga menunjukkan bahwa informasi reconnaissance tidak selalu harus diperoleh melalui scanning port aktif atau vulnerability probing; protokol legitim yang ada di setiap jaringan Windows sudah mengandung metadata yang cukup untuk persiapan serangan.
Dari perspektif teknis, penggunaan Rust untuk tool semacam ini adalah tren yang semakin umum karena Rust menawarkan zero-cost abstractions, memory safety tanpa garbage collector, dan kemampuan menghasilkan binary native yang kecil dan cepat. Dalam konteks red team, binary kecil berarti transfer yang lebih cepat dan footprint yang lebih kecil di disk atau memori. Kemampuan untuk melakukan static linking berarti tool dapat dijalankan di target tanpa menginstal runtime .NET atau dependensi lainnya. Skewrun mencontohkan bagaimana modern red team tooling semakin bergerak ke arah bahasa sistem yang efisien, mengikuti jejak tool seperti Havoc atau Sliver yang juga telah mengadopsi Rust atau Go.
Bagi ekosistem keamanan siber Indonesia, tool semacam ini memiliki dual-use yang signifikan. Bagi red team internal, skewrun meningkatkan kemampuan untuk melakukan assessment yang realistis dengan minimasi noise. Bagi defender, keberadaan tool ini menunjukkan bahwa perimeter defense tradisional tidak cukup; visibility harus mencakup layer protokol dan metadata jaringan, bukan hanya layer aplikasi. Banyak SOC di Indonesia yang masih berfokus pada alert dari firewall atau antivirus, sementara traffic semacam CLDAP query atau SMB negotiation tidak diinspeksi secara mendalam. Peningkatan kemampuan network protocol analysis dan logging pada domain controller harus menjadi prioritas untuk mendeteksi reconnaissance stealthy yang mendahului serangan besar.
Sumber: GitHub – JVBotelho/skewrun
