Mata Kuliah: Digital Forensic for Military Purposes
SKS: 3 SKS
Pertemuan: 13
Topik: Forensik Dark Web dan Investigasi Email
Pengampu: Anindito, S.Kom., S.S., S.H., M.TI., CHFI
Berapa persentase perkiraan konten internet yang termasuk dalam surface web?
A. ~50-60%
B. ~20-30%
C. ~10-15%
D. ~4-5%
E. ~1-2%
Manakah yang BUKAN merupakan bagian dari deep web?
A. Akun email pengguna
B. Database perbankan online
C. Website Wikipedia yang terindeks Google
D. Intranet perusahaan militer
E. Sistem rekam medis rumah sakit
Jaringan Tor awalnya dikembangkan oleh:
A. MIT Computer Science and Artificial Intelligence Laboratory
B. U.S. Naval Research Laboratory
C. DARPA (Defense Advanced Research Projects Agency)
D. NSA (National Security Agency)
E. Electronic Frontier Foundation
Dalam arsitektur Tor, relay yang mengetahui IP asli pengguna adalah:
A. Exit Node
B. Middle Node
C. Guard Node
D. Bridge Node
E. Rendezvous Point
Apa yang membedakan hidden services (.onion) dari website biasa yang diakses melalui Tor?
A. Hidden services menggunakan enkripsi yang lebih kuat
B. Trafik tidak pernah meninggalkan jaringan Tor melalui exit node
C. Hidden services hanya bisa diakses dari negara tertentu
D. Hidden services tidak menggunakan relay sama sekali
E. Trafik hidden services tidak terenkripsi
Artefak forensik mana yang paling menunjukkan bahwa Tor Browser pernah dijalankan di sistem Windows?
A. File cookies di browser Chrome
B. File prefetch TOR.EXE-*.pf di C:\Windows\Prefetch
C. History browser Internet Explorer
D. File temporary di folder %TEMP%
E. Registry key di HKLM\SOFTWARE
Bitcoin bersifat pseudonymous, yang berarti:
A. Semua transaksi benar-benar anonim
B. Transaksi tercatat publik di blockchain tetapi alamat tidak langsung terkait identitas
C. Hanya pemerintah yang bisa melacak transaksi
D. Setiap transaksi memerlukan identitas KYC
E. Bitcoin tidak dapat dilacak sama sekali
Teknik forensik blockchain yang mengelompokkan beberapa alamat Bitcoin milik satu entitas disebut:
A. Transaction Graph Analysis
B. Exchange Identification
C. Cluster Analysis
D. Mixing Detection
E. Heuristic Validation
Cryptocurrency yang menggunakan ring signatures dan stealth addresses untuk menyembunyikan pengirim dan penerima adalah:
A. Bitcoin
B. Ethereum
C. Litecoin
D. Monero
E. Dogecoin
Protokol email yang berfungsi untuk pengiriman email dari klien ke server dan antar server adalah:
A. POP3
B. IMAP
C. SMTP
D. HTTP
E. FTP
Perbedaan utama antara POP3 dan IMAP dari perspektif forensik adalah:
A. POP3 menggunakan enkripsi tetapi IMAP tidak
B. POP3 mengunduh email ke lokal sedangkan IMAP menyimpan di server
C. IMAP lebih cepat dari POP3
D. POP3 hanya mendukung text sedangkan IMAP mendukung attachment
E. Tidak ada perbedaan yang signifikan
Cara yang benar untuk membaca header “Received” dalam email forensics adalah:
A. Dari atas ke bawah
B. Dari bawah ke atas
C. Hanya header pertama yang relevan
D. Hanya header terakhir yang relevan
E. Urutan tidak penting
Field email header manakah yang paling mudah dipalsukan (spoofable)?
A. Received
B. X-Originating-IP
C. From
D. Authentication-Results
E. Message-ID yang dibuat server
Mekanisme autentikasi email yang memverifikasi server pengirim melalui DNS TXT record adalah:
A. DKIM
B. DMARC
C. SPF
D. TLS
E. PGP
DKIM menggunakan teknologi apa untuk memverifikasi integritas email?
A. Sertifikat SSL
B. Hash MD5
C. Tanda tangan digital (public key cryptography)
D. Token berbasis waktu
E. Enkripsi simetris AES
Jika hasil pemeriksaan email menunjukkan “spf=fail; dkim=none; dmarc=fail”, apa kesimpulan yang paling tepat?
A. Email tersebut aman dan terverifikasi
B. Server penerima mengalami gangguan teknis
C. Ada indikasi kuat bahwa email tersebut di-spoofed
D. Email dikirim dari mobile device
E. Pengirim menggunakan VPN
Jenis serangan phishing yang secara spesifik menargetkan pimpinan/eksekutif tingkat tinggi disebut:
A. Spear phishing
B. Whaling
C. Clone phishing
D. Vishing
E. Smishing
URL “kemenhan.go.id.malicious.xyz” menggunakan teknik phishing yang disebut:
A. Typosquatting
B. Homograph attack
C. Subdomain abuse
D. URL shortening
E. Path manipulation
Format file email yang merupakan Personal Storage Table milik Microsoft Outlook adalah:
A. .eml
B. .mbox
C. .pst
D. .dbx
E. .msg
Langkah pertama yang harus dilakukan saat menerima laporan email phishing dalam investigasi forensik adalah:
A. Mengklik tautan untuk melihat tujuannya
B. Memforward email ke atasan
C. Menyimpan/preservasi email asli (.eml/.msg)
D. Menghapus email segera
E. Membalas email pengirim untuk konfirmasi
Jelaskan perbedaan antara surface web, deep web, dan dark web! Berikan masing-masing dua contoh!
Jelaskan fungsi tiga jenis relay dalam jaringan Tor: Guard Node, Middle Node, dan Exit Node!
Apa yang dimaksud dengan onion routing? Mengapa disebut “onion” (bawang)?
Sebutkan lima artefak forensik yang menunjukkan penggunaan Tor Browser pada sistem Windows!
Jelaskan mengapa Bitcoin disebut pseudonymous dan bukan anonymous! Bagaimana investigator dapat melacak transaksi Bitcoin?
Bandingkan kemampuan forensik pada Bitcoin dan Monero! Mengapa Monero lebih sulit dilacak?
Jelaskan lima langkah metodologi OSINT (DEFINE, DISCOVER, ANALYZE, VALIDATE, REPORT) dalam konteks investigasi dark web!
Jelaskan alur lengkap pengiriman email dari pengirim ke penerima, termasuk komponen MUA, MSA, MTA, dan MDA!
Jelaskan perbedaan SPF, DKIM, dan DMARC! Apa yang diverifikasi oleh masing-masing mekanisme?
Bagaimana cara membaca header “Received” dalam email untuk menentukan IP pengirim asli? Berikan contoh!
Sebutkan dan jelaskan lima jenis serangan phishing beserta target masing-masing!
Jelaskan langkah-langkah investigasi phishing email secara lengkap, dari preservasi hingga dokumentasi!
Bagaimana cara mendeteksi bahwa sebuah email telah di-spoofed? Sebutkan minimal lima indikator yang perlu diperiksa!
Jelaskan lokasi artefak email pada berbagai klien (Outlook, Thunderbird, Windows Mail) dan format file masing-masing! Bagaimana tools forensik seperti Autopsy dapat membantu analisis?
Jelaskan pertimbangan legal dan etika dalam melakukan investigasi dark web untuk keperluan militer Indonesia! Sebutkan regulasi yang relevan!
Latar Belakang:
Tim Cyber Threat Intelligence TNI mendeteksi posting di sebuah dark web marketplace yang mengiklankan penjualan database personel militer Indonesia. Data yang ditawarkan meliputi nama, NRP, pangkat, unit penugasan, dan alamat rumah dari sekitar 5.000 personel aktif. Penjual menggunakan username “gh0st_id” dan meminta pembayaran dalam Monero (XMR).
Informasi Awal:
Pertanyaan:
Latar Belakang:
Beberapa perwira menengah di Kodam Jaya menerima email yang mengaku dari Sekretariat Jenderal Kementerian Pertahanan. Email tersebut menginformasikan tentang “undangan rapat koordinasi pertahanan nasional” dan melampirkan file “Undangan_Rakor_Kemenhan_2026.pdf.exe”. Dua dari lima penerima mengklik lampiran tersebut.
Header Email (Sampel):
From: sekjen@kemenhan.go.id
Return-Path: <admin@kemenhan-portal.xyz>
Received: from smtp.kemenhan-portal.xyz (198.51.100.75)
by mail.kodam-jaya.mil.id; Mon, 17 Feb 2026 09:15:22 +0700
Message-ID: <abc123@kemenhan-portal.xyz>
X-Originating-IP: [198.51.100.75]
Authentication-Results: mail.kodam-jaya.mil.id;
spf=fail (sender IP is 198.51.100.75);
dkim=none;
dmarc=fail (p=REJECT)
Subject: [URGENT] Undangan Rakor Pertahanan Nasional 2026
X-Mailer: PHPMailer 6.8.0
Pertanyaan:
| No | Jawaban | Penjelasan |
|---|---|---|
| 1 | D | Surface web hanya ~4-5% dari total konten internet |
| 2 | C | Wikipedia terindeks oleh mesin pencari sehingga termasuk surface web |
| 3 | B | Tor dikembangkan oleh U.S. Naval Research Laboratory pada pertengahan 1990-an |
| 4 | C | Guard node adalah relay pertama yang menerima koneksi langsung dari pengguna |
| 5 | B | Pada hidden services, komunikasi berlangsung sepenuhnya dalam jaringan Tor tanpa melalui exit node |
| 6 | B | File prefetch merupakan artefak Windows yang mencatat eksekusi program |
| 7 | B | Pseudonymous berarti transaksi publik tetapi alamat tidak langsung terkait identitas real |
| 8 | C | Cluster analysis mengelompokkan alamat Bitcoin yang kemungkinan milik satu entitas |
| 9 | D | Monero menggunakan ring signatures, stealth addresses, dan RingCT |
| 10 | C | SMTP (Simple Mail Transfer Protocol) digunakan untuk pengiriman email |
| 11 | B | POP3 mengunduh ke lokal (bukti di device), IMAP menyimpan di server (bukti di server + cache) |
| 12 | B | Header Received dibaca dari bawah ke atas untuk menelusuri jalur dari asal ke tujuan |
| 13 | C | Field “From” dapat diatur bebas oleh pengirim sehingga paling mudah dipalsukan |
| 14 | C | SPF (Sender Policy Framework) memverifikasi server pengirim melalui DNS TXT record |
| 15 | C | DKIM menggunakan public key cryptography untuk tanda tangan digital pada email |
| 16 | C | Ketiga mekanisme gagal menunjukkan email tidak berasal dari domain yang diklaim |
| 17 | B | Whaling secara spesifik menargetkan pimpinan tingkat tinggi (C-suite/eksekutif) |
| 18 | C | Subdomain abuse menempatkan domain asli sebagai subdomain dari domain penyerang |
| 19 | C | .pst (Personal Storage Table) adalah format database email Outlook |
| 20 | C | Preservasi email asli adalah langkah pertama untuk menjaga integritas bukti |
Perbedaan tiga lapisan web:
| Aspek | Surface Web | Deep Web | Dark Web |
|---|---|---|---|
| Proporsi | ~4-5% | ~90-95% | <1% |
| Akses | Browser biasa | Login/autentikasi | Software khusus (Tor) |
| Indeksasi | Terindeks mesin pencari | Tidak terindeks | Tidak terindeks |
| Contoh 1 | Google, Wikipedia | Email (Gmail) | Marketplace .onion |
| Contoh 2 | Situs berita publik | Internet banking | SecureDrop |
Tiga jenis relay Tor:
Guard Node — Relay pertama yang menerima koneksi dari pengguna. Mengetahui IP asli pengguna tetapi tidak mengetahui tujuan akhir maupun konten.
Middle Node — Relay tengah yang meneruskan trafik. Tidak mengetahui IP pengguna, tujuan akhir, maupun konten. Hanya mengetahui guard node sebelumnya dan exit node berikutnya.
Exit Node — Relay terakhir yang menghubungkan ke internet terbuka. Mengetahui tujuan akhir dan konten (jika non-HTTPS), tetapi tidak mengetahui IP asli pengguna.
Onion routing adalah teknik komunikasi anonim di mana data dienkripsi dalam beberapa lapisan sebelum dikirim melalui serangkaian relay. Disebut “onion” karena setiap relay hanya membuka (mendekripsi) satu lapisan enkripsi, seperti mengupas kulit bawang lapis demi lapis. Guard node membuka lapisan pertama, middle node membuka lapisan kedua, dan exit node membuka lapisan terakhir untuk mengakses data asli.
Lima artefak forensik Tor pada Windows:
%USERPROFILE%\Desktop\Tor Browser\C:\Windows\Prefetch\TOR.EXE-*.pf dan FIREFOX.EXE-*.pfNTUSER.DAT\...\UserAssist (encoded ROT13)torproject.org atau domain terkaitBitcoin pseudonymous: Bitcoin disebut pseudonymous karena semua transaksi tercatat secara publik dan permanen di blockchain, tetapi alamat wallet tidak langsung terkait dengan identitas dunia nyata. Berbeda dengan anonymous (seperti Monero), di mana detail transaksi tersembunyi.
Teknik pelacakan:
Perbandingan forensik Bitcoin vs Monero:
| Aspek | Bitcoin | Monero |
|---|---|---|
| Ledger | Transparan — semua transaksi publik | Opaque — detail transaksi tersembunyi |
| Pengirim | Alamat terlihat | Tersembunyi (stealth addresses) |
| Jumlah | Terlihat | Tersembunyi (RingCT) |
| Tracing | Dapat dilacak dengan cluster analysis | Sangat sulit karena ring signatures |
Monero lebih sulit dilacak karena menggunakan: (1) ring signatures yang mencampur transaksi pengguna dengan decoy, (2) stealth addresses yang menghasilkan alamat sekali pakai, dan (3) RingCT yang menyembunyikan jumlah transaksi.
Metodologi OSINT untuk investigasi dark web:
Alur pengiriman email:
Setiap MTA yang memproses email menambahkan header “Received” ke email.
Perbedaan SPF, DKIM, dan DMARC:
| Mekanisme | Fungsi | Yang Diverifikasi |
|---|---|---|
| SPF | Memverifikasi server pengirim melalui DNS TXT record | Apakah IP server pengirim terotorisasi oleh domain |
| DKIM | Memverifikasi integritas email dengan tanda tangan digital | Apakah konten email tidak dimodifikasi dan berasal dari domain yang diklaim |
| DMARC | Kebijakan gabungan SPF+DKIM | Instruksi ke server penerima jika email gagal autentikasi (none/quarantine/reject) |
Ketiganya bekerja bersama sebagai defense-in-depth untuk melawan email spoofing.
Membaca header Received: Header Received dibaca dari bawah ke atas. Header paling bawah ditambahkan oleh server pertama yang menerima email (terdekat ke pengirim), sedangkan header paling atas ditambahkan oleh server terakhir (terdekat ke penerima).
Contoh:
Received: from mail.kodam.mil.id (10.20.30.1)
by inbox.lantamal.mil.id; 14:22:30 +0700 ← [3] Terakhir
Received: from webmail.kodam.mil.id (10.20.30.5)
by mail.kodam.mil.id; 14:22:25 +0700 ← [2] Tengah
Received: from [172.16.50.100]
by webmail.kodam.mil.id; 14:22:20 +0700 ← [1] ASAL
IP pengirim asli: 172.16.50.100 (dari header Received paling bawah).
Lima jenis serangan phishing:
Langkah investigasi phishing email:
Cara mendeteksi email spoofed (5+ indikator):
Lokasi artefak email pada berbagai klien:
| Client | Format | Lokasi |
|---|---|---|
| Outlook (POP) | .pst | %USERPROFILE%\Documents\Outlook Files\ |
| Outlook (Exchange) | .ost | %LOCALAPPDATA%\Microsoft\Outlook\ |
| Thunderbird | Mbox | %APPDATA%\Thunderbird\Profiles\ |
| Windows Mail | .eml | %LOCALAPPDATA%\Comms\Unistore\data\ |
Peran Autopsy: Autopsy dapat menganalisis file .pst dan .mbox langsung dari forensic image tanpa perlu menginstal email client. Autopsy memiliki Email Parser module yang mengekstrak email, attachment, metadata, dan memungkinkan pencarian keyword serta timeline analysis pada seluruh koleksi email.
Pertimbangan legal dan etika investigasi dark web militer:
Regulasi yang relevan:
Pertimbangan etika:
Jawaban 1 — Langkah OSINT (20 poin):
Jawaban 2 — Monero vs Bitcoin (15 poin):
Monero mempersulit investigasi karena: (1) ring signatures mencampur transaksi dengan decoy sehingga pengirim asli tidak bisa diidentifikasi, (2) stealth addresses menghasilkan alamat sekali pakai untuk setiap transaksi, (3) RingCT menyembunyikan jumlah transaksi.
Teknik forensik yang masih mungkin:
Jawaban 3 — Verifikasi tanpa membeli (15 poin):
Jawaban 4 — Aspek legal dan etika (10 poin):
Jawaban 5 — Langkah mitigasi (10 poin):
Jawaban 1 — Analisis header (20 poin):
Lima indikator email spoofed/phishing:
sekjen@kemenhan.go.id, tetapi Return-Path menunjukkan admin@kemenhan-portal.xyz (domain berbeda).kemenhan-portal.xyz bukan domain resmi Kemenhan (kemenhan.go.id). Ini adalah domain pihak ketiga yang dibuat menyerupai domain resmi.kemenhan.go.id.@kemenhan-portal.xyz bukan domain resmi Kemenhan.Jawaban 2 — Double extension (10 poin):
File “Undangan_Rakor_Kemenhan_2026.pdf.exe” menggunakan teknik double extension. Windows secara default menyembunyikan ekstensi file, sehingga pengguna hanya melihat “.pdf” dan mengira file adalah dokumen PDF, padahal file sebenarnya adalah executable (.exe) yang kemungkinan berisi malware. Teknik social engineering yang digunakan: (1) menggunakan topik relevan (undangan rapat), (2) mengklaim berasal dari institusi berwenang (Kemenhan), dan (3) menambahkan kata “URGENT” untuk menciptakan urgensi.
Jawaban 3 — Incident response (20 poin):
kemenhan-portal.xyz dan IP 198.51.100.75 di firewall.Jawaban 4 — Forensik workstation (15 poin):
Jawaban 5 — Pencegahan (5 poin):
This repository is licensed under the Creative Commons Attribution 4.0 International (CC BY 4.0).
Commercial use is permitted, provided attribution is given to the author.
© 2026 Anindito