Malware Analysis Concepts
Kenali klasifikasi malware, perbedaan analisis statis dan dinamis secara konseptual, serta cara kerja aman di lingkungan terisolasi.
Tujuan Pembelajaran
- Mengklasifikasikan malware berdasarkan perilaku dan tujuannya
- Membedakan analisis statis dan dinamis secara konseptual
- Memahami syarat lingkungan sandbox yang terisolasi
- Mengenali indikator kompromi (IOC) dan kegunaannya bagi pembela
01Klasifikasi malware
Malware adalah perangkat lunak yang dirancang untuk merugikan sistem atau pengguna. Klasifikasi membantu analis memperkirakan tujuan dan menentukan respons yang tepat.
- Virus dan worm: menyebar, yang pertama menempel pada file dan yang kedua menyebar sendiri lewat jaringan
- Trojan: tampak sah tetapi membawa fungsi tersembunyi
- Ransomware: mengenkripsi data lalu menuntut tebusan
- Spyware dan infostealer: mengumpulkan informasi pengguna
- Backdoor dan RAT: memberi akses jarak jauh yang tersembunyi
02Analisis statis vs dinamis
Analisis statis memeriksa sampel tanpa menjalankannya: melihat metadata, hash, string yang terbaca, dan struktur file. Hasilnya cepat dan aman, tetapi bisa terhambat oleh teknik penyamaran seperti packing atau obfuscation.
Analisis dinamis mengamati perilaku sampel saat dijalankan di lingkungan terkontrol: perubahan file, registry, proses baru, dan koneksi jaringan. Hasilnya lebih menggambarkan perilaku nyata, tetapi sampel tertentu dapat berperilaku berbeda bila mendeteksi sedang diawasi.
03Lingkungan sandbox terisolasi
Sampel yang dicurigai tidak pernah dianalisis di komputer kerja atau jaringan produksi. Analis memakai mesin virtual khusus tanpa data pribadi, dengan jaringan terpisah atau tersimulasi.
Praktik penting: ambil snapshot sebelum analisis agar mudah dikembalikan, nonaktifkan folder bersama dan clipboard antara host dan guest, serta pastikan tidak ada jalur ke jaringan internal.
04Indikator kompromi (IOC)
IOC adalah jejak yang menandakan sistem mungkin terkompromi, misalnya hash file, nama domain, alamat IP, nama mutex, atau pola kunci registry yang mencurigakan.
Hasil analisis diubah menjadi IOC dan aturan deteksi agar tim lain dapat mencari jejak yang sama di lingkungan mereka. Ingat bahwa IOC cepat usang, sehingga perilaku (TTP) sering lebih tahan lama.
Contoh Praktis (Aman)
Contoh ringkasan laporan analisisLaporan analisis ditulis untuk pembela: fokus pada perilaku yang diamati dan indikator yang bisa dipakai mencari jejak, bukan cara membuat malware.
Klasifikasi : Trojan jenis infostealer (keyakinan: sedang) Metode : Statis (hash, string) lalu dinamis di VM terisolasi Perilaku : Membuat proses anak, mencoba menghubungi domain eksternal IOC : hash SHA-256, domain C2 (contoh), nama mutex Rekomendasi : Blokir domain, cari hash di EDR, ganti kredensial terdampak
Rangkuman
- Klasifikasi malware membantu menentukan tujuan dan respons yang sesuai
- Analisis statis aman dan cepat, analisis dinamis menunjukkan perilaku nyata
- Sampel hanya dianalisis di lingkungan terisolasi dengan snapshot
- IOC dan perilaku (TTP) dipakai pembela untuk mendeteksi ancaman
Mini Quiz
Pilih satu jawaban untuk setiap soal, lalu tekan "Periksa Jawaban".
Apa ciri utama analisis statis?
Mengapa sandbox perlu diisolasi dari jaringan internal?
Manakah yang termasuk contoh IOC?