Lateral Movement

README.md menempatkan Lateral Movement sebagai bagian kelima dalam daftar isi, sesudah Credential Dumping dan sebelum Persistence (README.md:13¹). Bagian itu berisi enam subsection dengan 17 tautan bacaan dan tidak memuat satu pun blok kode: Microsoft SQL Server Database links (2 tautan), Pass The Hash (3), System Center Configuration Manager (SCCM) (2), WSUS (3), Password Spraying (4), dan Automated Lateral Movement (3) (README.md:187-216²). Karena bentuknya daftar rujukan, halaman ini memetakan jalur perpindahan beserta kredensial atau sesi yang dipakai tiap jalur; isi tiap tulisan mengikuti judul tautan yang benar-benar ada di repository.

graph LR
  F["Foothold host"] --> SQL["SQL Server database link"]
  F --> PTH["Pass The Hash"]
  F --> SCCM["SCCM deployment"]
  F --> WSUS["WSUS update"]
  F --> SPRAY["Password Spraying"]
  F --> AUTO["Automated Lateral Movement"]
  SQL --> T1["Linked SQL instance"]
  PTH --> T2["Host yang menerima hash NTLM"]
  SCCM --> T3["SCCM client"]
  WSUS --> T4["Client yang mengambil update"]
  SPRAY --> T5["Akun domain valid"]
  T5 --> AUTO
  AUTO --> T6["Attack path BloodHound"]
  style SQL fill:#336791,color:#fff
  style SPRAY fill:#f59e0b,color:#000
  style WSUS fill:#f59e0b,color:#000
  style AUTO fill:#8b5cf6,color:#fff
  style T6 fill:#8b5cf6,color:#fff
  style T5 fill:#2d7d46,color:#fff
  style PTH fill:#dc2626,color:#fff
%% fig: Enam jalur lateral movement di README
%% desc: Setiap subsection mengubah satu jenis kredensial atau sesi menjadi akses ke host lain, lalu otomasi BloodHound merangkai jalur-jalur itu.

Enam jalur dan bahan yang dipakainya

SQL Server database link

Dua tautan di subsection pertama membahas perantai instance: satu membahas cara memakai database link untuk mendapatkan shell, satu lagi membahas link crawling dengan PowerUpSQL (README.md:188-190³). PowerUpSQL sendiri terdaftar di daftar tools sebagai "A PowerShell Toolkit for Attacking SQL Server" (README.md:375⁹). Jalur dari local admin menjadi sysadmin SQL Server tidak dibahas di sini; bagian itu ada di Privilege Escalation pada subsection Microsoft SQL Server (README.md:165-167¹⁰).

Pass The Hash

Dua dari tiga tautan memakai Mimikatz sebagai alat eksekusi (README.md:192-195⁴), dan Mimikatz memang terdaftar sebagai utilitas yang melakukan pass-the-hash selain mencabut password serta tiket Kerberos (README.md:378¹¹). Ini jalur yang paling bergantung pada nilai hash: tidak ada password plaintext yang diperlukan, dan hash biasanya datang dari halaman Credential Dumping.

⚠️ Judul tautan ketiga, "Pass-the-Hash Is Dead: Long Live LocalAccountTokenFilterPolicy", menandai syarat yang menentukan: hasil pass-the-hash bergantung pada kebijakan LocalAccountTokenFilterPolicy di host tujuan (README.md:195¹²). Verifikasi kebijakan itu sebelum menganggap hash dapat dipakai.

SCCM dan WSUS

Kedua subsection menyerang mekanisme distribusi perangkat lunak, bukan protokol autentikasi. Untuk SCCM, satu tautan membahas kompromi workstation bertarget dan satu menunjuk modul PowerSCCM untuk berinteraksi dengan deployment SCCM (README.md:197-199⁵). Untuk WSUS, tiga tautan membahas weaponization jarak jauh lewat MITM, WSUSpendu, dan pemanfaatan WSUS secara umum (README.md:201-204⁶). Keduanya memberi eksekusi kode di client tanpa perlu kredensial lokal host tersebut.

Password Spraying

Subsection ini mengumpulkan empat tautan: pembahasan tradecraft, serangan ke Exchange dengan MailSniper, tool Spray, dan SprayingToolkit (README.md:206-210⁷). MailSniper dan DomainPasswordSpray juga muncul di daftar tools repository (README.md:382-383¹³). Berbeda dari empat jalur lain, password spraying tidak memindahkan sesi ke host; ia menghasilkan akun domain valid yang kemudian dipakai jalur berikutnya.

Otomasi dari attack path BloodHound

Tiga tautan terakhir mengubah hasil pemetaan BloodHound menjadi eksekusi otomatis: GoFetch menjalankan attack plan yang dihasilkan BloodHound, DeathStar mengotomasi jalan menuju Domain Admin memakai Empire, dan ANGRYPUPPY melakukan otomasi attack path BloodHound di dalam Cobalt Strike (README.md:212-215⁸). BloodHound sendiri terdaftar di daftar tools dengan deskripsi "Six Degrees of Domain Admin" (README.md:367¹⁴).

graph TD
  BH["BloodHound attack path"] --> GF["GoFetch"]
  BH --> DS["DeathStar (Empire)"]
  BH --> AP["ANGRYPUPPY (Cobalt Strike)"]
  GF --> EXEC["Eksekusi rencana serangan"]
  DS --> EXEC
  AP --> EXEC
  style BH fill:#8b5cf6,color:#fff
  style GF fill:#2d7d46,color:#fff
  style DS fill:#2d7d46,color:#fff
  style AP fill:#2d7d46,color:#fff
  style EXEC fill:#f59e0b,color:#000
%% fig: Otomasi attack path BloodHound
%% desc: Satu attack path dari BloodHound dipakai tiga alat berbeda, masing-masing mengeksekusinya lewat framework yang berbeda.

Deteksi dan pengurangan permukaan

Tabel Detection di repository memberi dua baris yang menempel pada halaman ini: baris Lateral Movement memakai 4688, 4689, 4624, dan 4625 (README.md:571¹⁵), sedangkan baris Password Spraying memakai 4625, 4771, dan 4648 (README.md:574¹⁶). Rincian tiap event ID ada di Deteksi Berbasis Event ID dan Sysmon, dan tindakan hardening-nya ada di Defense & Detection: Hardening dan Patch.

Tiga bahan bacaan di bagian Resources secara langsung menyasar topik halaman ini: "Mitigating Pass-the-Hash and Other Credential Theft, version 2" (README.md:598¹⁷), "Detecting Lateral Movement through Tracking Event Logs" (README.md:601¹⁸), dan "Preventing Lateral Movement Using Network Access Groups" (README.md:631¹⁹). Tautan pertama menutup jalur pass the hash, tautan kedua menyediakan sudut pandang log, dan tautan ketiga membatasi perpindahan lewat segmentasi jaringan.

⚠️ Kesalahan yang sering terjadi: menganggap 4624 saja cukup. Baris Lateral Movement memasangkan 4624 dengan 4688 dan 4689, jadi logon yang tampak sah tetap perlu dipasangkan dengan proses yang menyusul (README.md:571¹⁵).