TrustMeBro adalah toolkit manipulasi signature Authenticode yang dirancang untuk operasi Red Team dan riset keamanan. Dikembangkan oleh KriyosArcane, proyek ini mencakup signature stealing, metadata cloning, SIP hijacking pada 19 tipe file, bypass WinVerifyTrust FinalPolicy, penyematan payload PKCS#7, implant pada permukaan eksekusi SIP, hingga Smart App Control Bypass pada Windows 11. Tersedia dalam dua implementasi: Python lintas platform dan C++ native Windows.
APA YANG TERJADI?
Toolkit ini menggabungkan berbagai teknik yang sebelumnya tersebar di beberapa proyek terpisah. Signature stealing memungkinkan pencurian tanda tangan dan metadata dari PE donor, sementara metadata cloning meniru atribut binary untuk menghindari deteksi. SIP hijacking membajak Subject Interface Package Windows untuk menipu proses verifikasi tanda tangan, dan FinalPolicy bypass membuat semua file lolos pemeriksaan signature secara sistemik.
Salah satu fitur paling menonjol adalah Smart App Control Bypass khusus Windows 11. TrustMeBro mengarahkan fungsi CryptSIPDllVerifyIndirectData milik SIP SAC ke ntdll!DbgUiContinue, sehingga verifikasi SAC mengembalikan sukses untuk semua file. Hasil pengujian menunjukkan bahwa EXE tanpa tanda tangan dapat berjalan tanpa peringatan Smart App Control, sementara UI pengaturan SAC tetap menampilkan status aktif.
DETAIL TEKNIS
Toolkit menyediakan perintah utama seperti steal untuk mencuri signature dan metadata dari PE donor, hijack untuk memasang persistence SIP atau FinalPolicy, embed untuk menyematkan payload ke dalam signature PKCS#7 PE yang sudah ditandatangani tanpa merusak validitas signature, dan extract untuk mengambil kembali payload yang disematkan. Fitur sip-exec memasang DLL payload pada permukaan eksekusi SIP yang akan dimuat oleh proses berikutnya yang memanggil WinVerifyTrust.
SIPExec memungkinkan lateral movement melalui hijack FinalPolicy WinVerifyTrust: payload DLL dipentaskan di target, trust provider di-hijack melalui WMI, lalu pemicu WMI memuat DLL dan memberikan shell melalui named pipe di dalam proses wmiprvse.exe tanpa membuat proses baru. Teknik ini dipetakan ke MITRE T1553.003 (SIP and Trust Provider Hijacking), T1047 (WMI), dan T1021.002 (SMB). Fitur lain termasuk FormatGhost untuk persistence via handler CryptDllFormatObject yang dipicu saat certutil -dump dijalankan, serta delapan Beacon Object Files untuk Cobalt Strike dan Adaptix yang dirilis terpisah di repositori TrustMeBOF.
DAMPAK TERHADAP INDONESIA
Kehadiran TrustMeBro menyoroti kesenjangan antara mekanisme kepercayaan Windows dan kenyataan operasional di lapangan. Bagi tim Red Team Indonesia yang melakukan authorized security testing, toolkit ini menawarkan kemampuan untuk menguji efektivitas kontrol keamanan Windows — termasuk Smart App Control, AppLocker, dan kebijakan tanda tangan — terhadap teknik manipulasi signature modern. Namun, aksesibilitas tool semacam ini juga berarti bahwa aktor ancaman lokal dapat memanfaatkannya untuk menyebarkan payload yang lolos verifikasi tanda tangan, meningkatkan risiko serangan terhadap organisasi yang sangat bergantung pada mekanisme kepercayaan berbasis signature tanpa monitoring tambahan.
REKOMENDASI MITIGASI
Organisasi di Indonesia perlu memahami bahwa Smart App Control dan verifikasi signature bukanlah pertahanan yang berdiri sendiri. Deteksi berbasis YARA dan Sigma yang disediakan TrustMeBro — seperti aturan untuk SIP hijack loader dengan DbgUiContinue dan modifikasi registry SIP provider — dapat diadopsi oleh tim Blue Team untuk mendeteksi aktivitas serupa. Monitoring perubahan registry trust provider, pembatasan akses administratif, penerapan application control seperti AppLocker atau WDAC, serta pembagian log WinVerifyTrust dan WMI menjadi langkah penting. Tim keamanan juga harus membekali analis dengan kemampuan memeriksa ukuran WIN_CERTIFICATE yang tidak wajar pada PE, yang menjadi indikator penyematan payload SigStash.
Analisa Retasan
Root cause yang dieksploitasi TrustMeBro adalah asumsi fundamental Windows bahwa keberadaan tanda tangan kriptografis yang valid berbanding lurus dengan kepercayaan terhadap suatu binary. Dengan membajak SIP dan trust provider di level registry, toolkit ini menunjukkan bahwa rantai verifikasi — dari CryptSIPDllVerifyIndirectData hingga WinVerifyTrust FinalPolicy — memiliki titik intervensi yang dapat dimanipulasi tanpa memecahkan kriptografi sama sekali. Pendekatan ini jauh lebih praktis daripada memalsukan sertifikat, karena menyerang infrastruktur kepercayaan itu sendiri.
Cross-reference dengan penelitian Matt Graeber tentang SIP dan Trust Provider hijacking, SignatureKid oleh David Lee, SigFlip oleh med0x2e (CVE-2013-3900), dan MetaTwin oleh ThreatExpress menunjukkan bahwa TrustMeBro adalah konsolidasi dari jalur penelitian yang matang. Yang baru adalah integrasi dan otomasi: satu toolkit yang mencakup 19 tipe SIP, bypass Smart App Control Windows 11 yang direverse dari wintrust.dll via Ghidra, dan kemampuan lateral movement fileless melalui WMI. Ini mencerminkan tren umum di ekosistem red team di mana alat yang sebelumnya terpisah dilebur menjadi platform terpadu dengan dukungan BOF untuk Cobalt Strike.
Bagi Indonesia, implikasi terbesar adalah kebutuhan untuk menggeser paradigma deteksi dari kepercayaan pada verifikasi signature menuju pengamatan perilaku. EDR dan XDR yang hanya mengandalkan reputasi file akan gagal mendeteksi payload yang lolos verifikasi tanda tangan. Organisasi sektor keuangan, pemerintahan, dan industri kritis yang menjadi target utama operasi red team dan serangan nyata perlu mengadopsi lapisan deteksi behavioral, memantau modifikasi registry trust provider sebagai indikator kompromi tingkat tinggi, dan melakukan uji penetrasi rutin menggunakan teknik serupa untuk menemukan celah sebelum aktor jahat melakukannya.
Sumber: GitHub — KriyosArcane/TrustMeBro
