Defense Evasion

Bagian Defense Evasion di repository ini adalah daftar rujukan, bukan kode. Seluruh isinya menempati README.md:218-274¹ dan dibagi menjadi sebelas subbagian: In-Memory Evasion, Endpoint Detection and Response (EDR) Evasion, OPSEC, Microsoft ATA & ATP Evasion, PowerShell ScriptBlock Logging Bypass, PowerShell AMSI Bypass, Loading .NET Assemblies AMSI Bypass, AppLocker & Device Guard Bypass, Sysmon Evasion, HoneyTokens Evasion, dan Disabling Security Tools (README.md:218-274¹). Halaman ini memetakan subbagian itu ke lapisan telemetri yang dilewati, lalu menunjuk halaman lain yang memuat sisi deteksinya.

Lapisan deteksi yang dilewati

Setiap subbagian menyasar satu lapisan telemetri. Diagram berikut menumpuk lapisan itu dari yang paling dekat dengan payload di memori proses sampai yang paling jauh, yaitu event log yang diteruskan ke SIEM. Urutan node mengikuti urutan subbagian di README.md:218-274¹.

graph LR
  mem["In-Memory Evasion"] --> edr["EDR: userland API hooking"]
  edr --> amsi["AMSI"]
  amsi --> sbl["ScriptBlock logging"]
  sbl --> ac["AppLocker & Device Guard"]
  ac --> sysmon["Sysmon driver"]
  sysmon --> honey["HoneyToken object"]
  honey --> siem["Event log forwarding ke SIEM"]
  style mem fill:#8b5cf6,color:#fff
  style edr fill:#dc2626,color:#fff
  style amsi fill:#dc2626,color:#fff
  style sbl fill:#dc2626,color:#fff
  style ac fill:#f59e0b,color:#000
  style sysmon fill:#f59e0b,color:#000
  style honey fill:#f59e0b,color:#000
  style siem fill:#336791,color:#fff
%% fig: Tumpukan lapisan deteksi yang dilewati
%% desc: Payload berjalan dari memori proses dan melewati hook EDR, AMSI, ScriptBlock logging, AppLocker, Sysmon, sampai honeytoken sebelum telemetri tiba di SIEM.

Baris terakhir diagram adalah lapisan yang tidak bisa dilewati dari host itu sendiri. Bagian Logging di README justru meminta log PowerShell dan CMD diteruskan ke central log server lewat WEF atau metode lain, dan menyebut SIEM sebagai titik kumpul data log (README.md:529-535²). Penghindaran lokal karena itu hanya menunda, bukan membatalkan, korelasi di sisi pusat.

Bahan rujukan per subbagian

Dua subbagian menonjol karena hanya memuat satu tautan. PowerShell ScriptBlock Logging Bypass bergantung pada satu tulisan saja (README.md:246-247⁷), dan Loading .NET Assemblies Anti-Malware Scan Interface (AMSI) Bypass hanya menautkan satu gist PoC yang menyasar g_amsiContext di clr.dll (README.md:258-259⁹). Keduanya adalah titik masuk paling tipis di bagian ini, sehingga pembaca perlu mencari bahan tambahan sebelum memakainya sebagai acuan teknis.

In-Memory Evasion dan EDR Evasion adalah dua subbagian terpadat. Yang pertama menumpuk tiga rujukan pada memory scanner dan teknik red team BYOL (README.md:220-223³), sedangkan yang kedua mencampur argument spoofing, direct system call, dan unhooking API dalam satu daftar (README.md:225-232⁴). Keduanya berada di lapisan paling kiri diagram di atas.

AMSI dan ScriptBlock logging sebagai dua permukaan bypass

Kelompok AMSI dan ScriptBlock logging adalah satu-satunya bagian yang menyentuh eksekusi script secara langsung. Diagram berikut memisahkan dua permukaan telemetri itu dan jalur bypass yang didokumentasikan untuk masing-masing.

graph TD
  payload["Script PowerShell atau .NET assembly"] --> amsi["AMSI"]
  payload --> sbl["ScriptBlock logging"]
  amsi --> p1["AmsiScanBuffer patching"]
  amsi --> p2["Invisi-Shell"]
  amsi --> p3["g_amsiContext di clr.dll"]
  sbl --> p4["ScriptBlock Logging Bypass"]
  sbl --> log["Event 4103"]
  style payload fill:#8b5cf6,color:#fff
  style amsi fill:#dc2626,color:#fff
  style sbl fill:#dc2626,color:#fff
  style log fill:#336791,color:#fff
  style p1 fill:#f59e0b,color:#000
  style p2 fill:#f59e0b,color:#000
  style p3 fill:#f59e0b,color:#000
  style p4 fill:#f59e0b,color:#000
%% fig: Dua permukaan telemetri script dan jalur bypass-nya
%% desc: AMSI dan ScriptBlock logging diperlakukan sebagai dua lapisan terpisah; tiap lapisan punya teknik bypass sendiri dan ScriptBlock logging berujung pada event 4103.

Jalur AmsiScanBuffer patching berasal dari rujukan AMSI Bypass: Patching Technique dan AmsiScanBuffer Bypass - Part 1 (README.md:252-255¹⁴). Jalur Invisi-Shell berasal dari proyek yang menyatakan diri menyembunyikan script PowerShell dan melewati seluruh fitur keamanan PowerShell (README.md:253¹⁵). Jalur g_amsiContext di clr.dll berasal dari PoC untuk .NET assembly (README.md:258-259). Sementara itu ScriptBlock Logging Bypass hanya punya satu sumber (README.md:246-247), dan sisi deteksinya tetap event 4103 Script Block Logging yang terdaftar untuk PowerShell di tabel Detection (README.md:565).

Teknik AMSI tidak berhenti di PowerShell. Daftar yang sama memuat bypass AMSI in-memory lewat VBA untuk Microsoft Office 365 (README.md:254¹⁷), sehingga proteksi script tidak cukup dipasang hanya pada host PowerShell.

Telemetri yang disasar dan padanan deteksinya

Perhatikan baris AMSI: tabel Detection tidak memuat satu pun event ID AMSI, jadi lapisan itu hanya terlihat lewat produk keamanan pihak ketiga, bukan lewat audit Windows bawaan. Rincian event ID dan konfigurasi Sysmon dibahas di Deteksi Berbasis Event ID dan Sysmon, sedangkan pengerasan AppLocker dan patch ada di Defense & Detection: Hardening dan Patch.

Jebakan yang perlu diwaspadai

⚠️ Disabling Security Tools hanya berisi satu tautan, Invoke-Phant0m, yang menyebut dirinya Windows Event Log Killer (README.md:273-274¹³). Mematikan event log menghapus sumber bukti sekaligus memutus jalur forwarding ke SIEM, sehingga langkah ini meninggalkan jejak berupa hilangnya telemetri yang justru dicari oleh tim deteksi.

⚠️ Sisi honeytoken bersifat dua arah. Deploy-Deception dipakai untuk men-deploy objek decoy Active Directory, dan dcept dipakai untuk men-deploy sekaligus mendeteksi pemakaian honeytoken (README.md:452²², README.md:454²³). Teknik Honeypot Buster di README.md:269-271¹² karena itu adalah perlombaan antara penyerang dan pemilik decoy, bukan satu daftar trik yang selesai sekali pakai.

Dua subbagian lain juga perlu dibaca sebagai pasangan. Microsoft ATA & ATP Evasion membahas evading, bypassing, dan disabling ATP serta ATA (README.md:240-244⁶), sementara bagian Logging di README menempatkan Microsoft ATA sebagai sistem User Behavioural Analysis yang direkomendasikan (README.md:535²⁴). Evasi pada satu sisi halaman adalah persyaratan konfigurasi pada sisi halaman lainnya.

Kaitan ke halaman lain

Payload yang sudah melewati lapisan di atas tetap harus memanen kredensial dan bertahan. Untuk itu lihat Credential Dumping dan Persistence. Untuk teknik yang mendahului tahap ini, lihat Privilege Escalation dan Lateral Movement. Strategi pertahanan yang membalik setiap lapisan di diagram pertama ada di Defense & Detection: Hardening dan Patch.

Daftar rujukan seperti In-Memory Evasions Course dan Subverting Sysmon juga berulang di daftar tool pihak ketiga, misalnya ClrGuard untuk instrumentasi CLR, Get-InjectedThread untuk deteksi injeksi thread, dan SilkETW sebagai pembungkus ETW (README.md:460-463²⁵). Sumber daya pengejaran ancaman yang sepadan ada di daftar Resources, termasuk Hunting For In-Memory .NET Attacks dan Hunting for Gargoyle Memory Scanning Evasion (README.md:626-629²⁶).