Peneliti keamanan yang mengidentifikasi diri sebagai S12 telah merilis analisis mendalam mengenai teknik injeksi proses baru pada platform Windows. Teknik ini tidak menggunakan remote thread creation, VirtualAllocEx, atau WriteProcessMemory yang merupakan indikator utama yang dipantau oleh solusi Endpoint Detection and Response (EDR). Sebaliknya, serangan ini menyusupkan payload ke dalam proses GUI yang sah dengan memanipulasi struktur internal KernelCallbackTable, sebuah mekanisme yang terintegrasi erat dengan subsistem User32 dan message loop Windows.
APA YANG TERJADI?
Setiap aplikasi GUI pada Windows bergantung pada message loop untuk menerima dan menangani input pengguna, event sistem, dan callback grafis. KernelCallbackTable adalah array pointer fungsi yang dipelihara oleh User32.dll untuk memetakan jenis-jenis callback ke handler yang tepat. S12 menemukan bahwa dengan memanipulasi entri dalam tabel ini, seorang penyerang dapat mengalihkan eksekusi ke kode arbitrer di dalam konteks proses target tanpa perlu membuat thread baru atau mengalokasikan memori eksternal. Karena modifikasi ini terjadi di dalam ruang alamat proses yang sah dan menggunakan struktur data yang sah, perilaku tersebut sering kali lolos dari heuristik EDR yang mencari anomaly pada API injection tradisional.
DETAIL TEKNIS
Serangan dimulai dengan identifikasi target proses GUI yang berjalan dan memiliki handle terhadap User32.dll. Penyerang kemudian memetakan struktur gSharedInfo yang berada di dalam User32 dan mengandung pointer ke KernelCallbackTable. Dengan memodifikasi entri tertentu dalam array callback, penyerang dapat mengganti handler legitimate dengan alamat payload shellcode yang telah disuntikkan atau bahkan gadget ROP yang dipersiapkan sebelumnya. Ketika proses target selanjutnya memproses message yang memicu callback tersebut, eksekusi akan dialihkan ke kode yang dikontrol penyerang. Teknik ini secara inheren stealthy karena tidak melibatkan pembuatan remote thread, tidak ada NtCreateThreadEx call, dan tidak ada VirtualAllocEx/Write ProcessMemory pattern yang dapat diidentifikasi oleh hook API.
DAMPAK TERHADAP INDONESIA
Banyak organisasi di Indonesia, termasuk bank, rumah sakit, dan badan usaha milik negara, telah menginvestasikan sumber daya dalam implementasi EDR dan XDR untuk memperkuat pertahanan endpoint mereka. Namun, mayoritas solusi yang diimplementasikan berfokus pada signature dan behavioral heuristik yang dikembangkan berdasarkan dataset ancaman Barat, yang mungkin tidak secara proaktif mencakup teknik abuse Windows internals seperti KernelCallbackTable. Akibatnya, serangan yang menggunakan teknik ini memiliki probabilitas tinggi untuk lolos deteksi pada jaringan korporasi Indonesia. Selain itu, ketergantungan pada tenaga kerja keamanan siber yang lebih banyak berorientasi pada certifikasi umum (seperti CEH atau CompTIA Security+) daripada mempunyai keahlian mendalam dalam Windows internals dan reverse engineering, memperlebar celah detection gap. Regulasi UU PDP mensyaratkan perlindungan data pribadi pada endpoint, namun jika EDR tidak mampu mendeteksi proses injection tingkat rendah, maka data sensitif tetap berada dalam risiko compromise.
REKOMENDASI MITIGASI
EDR vendor perlu memperbarui model behavioral mereka untuk mendeteksi modifikasi callback table. Penggunaan kernel-level monitoring melalui Event Tracing for Windows (ETW) dapat membantu mendeteksi anomali pada pemetaan gSharedInfo dan perubahan KernelCallbackTable. Organisasi dapat menerapkan application whitelisting untuk membatasi aplikasi GUI yang tidak dikenal berjalan pada workstation kritis. Isolasi workstation penting melalui network segmentation dapat mengurangi dampak lateral movement pasca-injeksi. Pelatihan analis forensik mengenai Windows internals dan memory forensics sangat disarankan agar tim SOC mampu mengenali jejak serangan yang tidak mengandalkan API call konvensional. Selain itu, hunting proaktif terhadap pattern aneh pada User32.dll mapping dapat mengungkap aktivitas injeksi sebelum terjadi eksfiltrasi data.
Analisa Retasan
EDR evasion techniques telah berevolusi dari simple API hook bypass menuju abuse struktur data legitimate Windows. KernelCallbackTable bukanlah konsep baru; struktur ini merupakan bagian fundamental dari subsistem Win32k sejak Windows NT. Namun, weaponisasinya untuk proses injection menunjukkan pemahaman mendalam terhadap internals yang tidak terdokumentasi. Berbeda dengan CreateRemoteThread yang menghasilkan telemetry segera, modifikasi callback table merupakan perubahan in-process yang menyerupai perilaku runtime legitimate seperti subclassing dan hooking. Oleh karena itu, heuristik EDR yang mengandalkan threshold anomaly pada pemanggilan API injection tradisional akan gagal mengenali teknik ini.
Teknik ini berbagi DNA konseptual dengan SetWindowsHookEx abuse dan subclassing attacks yang teramati pada malware milik FIN7 dan APT41. Namun, teknik-teknik tersebut sering kali memerlukan pembuatan window visible atau DLL injection. Manipulasi KernelCallbackTable lebih stealthy karena beroperasi di bawah abstraction layer yang dipantau oleh sebagian besar sensor EDR. Abuse low-level serupa pernah terlihat pada teknik FudModule rootkit yang memanipulasi callback di ruang kernel. Variabel user-mode ini sama mengkhawatirkannya karena mewarisi legitimasi dari proses induk dan tidak meninggalkan artefak memori eksternal yang mudah dideteksi.
Bagi Indonesia, temuan ini menggarisbawahi arms race antara teknik ofensif dan tooling defensif. Banyak SOC di Indonesia masih dalam tahap maturitas awal dan sangat bergantung pada deteksi berbasis signature atau pemetaan MITRE ATT&CK dasar. Teknik yang berada di luar TTP umum (varian T1055 Process Injection) akan menghasilkan false negative dalam jumlah besar. BNSS perlu mengintegrasikan pelatihan Windows internals advanced ke dalam kurikulus pertahanan siber nasional. Selain itu, pengadaan solusi EDR harus mencakup evaluasi terhadap abuse struktur internal Windows yang diketahui, bukan hanya simulasi malware konvensional. Tanpa pergeseran paradigma detection menuju behavioral analytics tingkat rendah, organisasi Indonesia akan tetap rentan terhadap serangan yang memanfaatkan blind spot pada sensor endpoint.
Sumber: Baca selengkapnya
