Lateral Movement, Tunneling, dan Exfiltration

Blok ## Lateral Movement memuat 30 entri README.md:277-306¹. Sub-bagian ### Tunneling memuat 4 entri README.md:308-310², dan ## Exfiltration memuat 4 entri README.md:316-318³. Ketiganya dibaca sebagai satu rantai: host yang sudah dikuasai dipakai untuk masuk ke host berikutnya, jalur jaringan yang terbentuk dipakai sebagai landasan tunnel, lalu tunnel itu menjadi jalan keluar data.

Judul bagian dan header tabelnya ada di README.md:274-275⁴.

Rantai hop dan jalan keluar data

Diagram berikut menyusun ulang ketiga blok menjadi satu alur. Setiap label memakai nama tool yang benar-benar ada di daftar.

graph LR
  subgraph HOPS["Hop antar host"]
    F["Foothold host"] --> CO["Coercion dan relay<br/>Coercer, Responder/MultiRelay, Farmer"]
    F --> EX["Eksekusi remote<br/>SCShell, SharpRDP, goexec"]
    CO --> EX
    EX --> TGT["Host target<br/>PowerUpSQL, mssqlproxy, MalSCCM"]
    TGT --> PIV["Pivot host"]
    EX --> PIV
  end
  subgraph EGR["Jalur egress data"]
    PIV --> TUN["Tunnel<br/>Chisel, frp, ligolo-ng, SockTail"]
    TUN --> EXF["Exfiltration<br/>DNSExfiltrator, VeilTransfer, Egress-Assess"]
    EXF --> ATK["Infrastruktur penyerang"]
  end
  style F fill:#336791,color:#fff
  style TGT fill:#336791,color:#fff
  style PIV fill:#336791,color:#fff
  style CO fill:#f59e0b,color:#000
  style EX fill:#8b5cf6,color:#fff
  style TUN fill:#8b5cf6,color:#fff
  style EXF fill:#dc2626,color:#fff
  style ATK fill:#dc2626,color:#fff
%% fig: Rantai hop dan jalur egress data
%% desc: Host yang sudah dikuasai dipakai untuk coercion, eksekusi remote, dan pivot, lalu tunnel meneruskan data keluar.

Sisi kiri diagram adalah potongan-potongan tool dari blok Lateral Movement: Coercer menggerakkan server Windows agar melakukan autentikasi ke mesin sembarang, SCShell memakai ChangeServiceConfigA untuk menjalankan command, dan mssqlproxy memindahkan sesi lewat SQL Server yang sudah dikuasai. Sisi kanan adalah jalur keluar: tunnel dulu, baru data dikirim.

30 entri pergerakan lateral

Sembilan rentang berikut menutup seluruh blok README.md:277-306¹. Urutan baris dipertahankan supaya mudah dicocokkan dengan README.

Daftar ini mencampur tiga lapis yang berbeda. Ada tool yang membuat material autentikasi baru (Responder/MultiRelay, kerbrute, Invoke-TheHash), tool yang menjalankan command di host lain (SCShell, SharpRDP, goexec), dan tool yang mengubah jalur jaringan (mssqlproxy). Rencana hop yang baik memisahkan ketiga lapis itu, karena jejak deteksinya berbeda.

Tunneling: empat tool

Empat entri tunnel tidak menambah kemampuan eksekusi. Fungsinya memperluas jangkauan jaringan dari pivot host ke segmen yang belum terlihat.

graph LR
  OP["Operator"] --> CH["Chisel<br/>TCP/UDP over HTTP, diamankan lewat SSH"]
  OP --> FR["frp<br/>reverse proxy untuk server di belakang NAT"]
  OP --> LG["ligolo-ng<br/>tunnel lewat TUN interface"]
  OP --> ST["SockTail<br/>SOCKS5 di port 1080 lewat Tailscale"]
  CH --> NET["Jaringan target"]
  FR --> NET
  LG --> NET
  ST --> NET
  style OP fill:#f59e0b,color:#000
  style CH fill:#8b5cf6,color:#fff
  style FR fill:#8b5cf6,color:#fff
  style LG fill:#8b5cf6,color:#fff
  style ST fill:#8b5cf6,color:#fff
  style NET fill:#336791,color:#fff
%% fig: Empat pilihan tunnel menuju jaringan target
%% desc: Setiap tool membuka jalur masuk dengan transport berbeda, dari tunnel HTTP di atas SSH sampai SOCKS5 di atas Tailscale.

Pilihan transport menentukan noise yang dihasilkan. frp dan ligolo-ng membuka jalur masuk, sedangkan SockTail membawa proxy SOCKS5 di port 1080 agar operator tidak perlu menyusun port forward sendiri.

Exfiltration: empat tool

Dua entri bersifat pengujian (Egress-Assess, VeilTransfer), satu memakai covert channel DNS (DNSExfiltrator), dan satu membungkus loot di kanal tepercaya (SharpExfiltrate). Perbedaan ini penting saat menyusun rencana: uji egress lebih dulu, baru pilih kanal yang paling tidak terlihat oleh kontrol egress yang ada.

Jebakan di ketiga blok

⚠️ Sub-bagian ### Tunneling tidak muncul di Table of Contents. Daftar di README.md:8-18²² hanya memuat Lateral Movement dan Exfiltration, sehingga pembaca yang memakai daftar isi akan melewatkan empat tool tunnel.

⚠️ Nama SharpSpray dipakai dua kali dengan URL berbeda: README.md:294²³ menunjuk ke jnqpblc/SharpSpray dan README.md:300²⁴ menunjuk ke iomoath/SharpSpray. Keduanya tool spraying, tetapi bukan proyek yang sama.

⚠️ Baris MalSCCM di README.md:301²⁵ tidak diakhiri pipe penutup seperti baris lain. Tabel tetap tampil, tetapi perbedaan ini menyulitkan penyalinan baris secara otomatis.

⚠️ SharpSploit terdaftar dua kali di README: di Initial Access README.md:77²⁶ dan lagi di blok Lateral Movement. Jangan menghitungnya sebagai dua tool berbeda saat menyusun inventaris.

Kaitan dengan halaman lain

Material yang dipakai untuk hop, seperti hash dan tiket Kerberos, dibahas di Credential Access dan Privilege Escalation. Tunnel dari halaman ini sering dipakai ulang sebagai jalur komunikasi pada Command and Control. Sesi yang ingin dijaga setelah hop masuk ke ranah Persistence. Aturan penulisan tabel seperti di atas ada di Struktur Daftar dan Konvensi Penulisan.