Analisis Malware Aman, Perilaku, dan Deteksi

Back to IF4033 Keamanan Siber

Analisis Malware Aman, Perilaku, dan Deteksi

Questions/Cues

• Apa yang dijatuhkan penyerang pada kasus cloud-native ini?
• Perilaku apa yang dicari pada lingkungan container?
• Apa aturan analisis malware yang aman?
• Apa beda analisis statis dan dinamis?
• Bagaimana mengubah hasil analisis menjadi deteksi (YARA)?

Reference Points

• IF4033 Cloud Malware Forensics Practices (Slides 14-21)

Apa yang Dijatuhkan

Pada kasus ini: dropper yang mengambil cryptominer dan backdoor. Siklus hidupnya sama dengan malware lain: delivery, execution, persistence, evasion, C2, objective.

Perilaku yang Dicari

Perilaku	Indikator di lingkungan container
Execution	Shell dijalankan di container; curl/wget ke host tak dikenal
Persistence	CronJob atau DaemonSet baru; skrip startup dimodifikasi
Evasion	Binary diganti nama, log dihapus, process masquerading
C2 dan impact	Beaconing teratur, koneksi ke mining pool, CPU tinggi berkelanjutan

Petakan temuan ke MITRE ATT&CK (termasuk matriks Containers).

Aturan Analisis yang Aman

1. VM terisolasi dengan jaringan host-only.
2. Snapshot sebelum tiap eksekusi, revert sesudahnya.
3. Tanpa shared folder atau clipboard.
4. Sampel disimpan terarsip dan berpassword.
5. Jangan pernah di mesin produksi atau pribadi.

Statis lalu Dinamis

Statis (tanpa menjalankan sampel): sha256sum sample.bin (identifikasi, cari di threat intel), file sample.bin (tipe file sebenarnya), strings -n 8 sample.bin | less (URL, perintah, path).

Dinamis (menjalankan di sandbox): Process Monitor, strace, Wireshark, FakeNet-NG, dan sandbox online/lokal (CAPE, ANY.RUN).

Dari Analisis ke Deteksi

flowchart LR
    A["Analisis<br/>statis & dinamis"] --> I["IOC & perilaku"] --> R["Aturan deteksi<br/>YARA / Sigma"] --> T["Uji pada file bersih<br/>(hindari false positive)"] --> D["Deploy"]

Contoh aturan YARA edukatif:

rule Miner_Dropper_Example
{
  meta: description = "Teaching example"
  strings:
    $a = "stratum+tcp://" ascii
    $b = "xmrig" nocase
    $c = "/tmp/." ascii
  condition: 2 of them
}

IOC kedaluwarsa cepat; deteksi berbasis perilaku bertahan lebih lama. Selalu uji aturan terhadap file bersih untuk menghindari false positive.

Summary

Dropper yang menurunkan cryptominer dan backdoor mengikuti siklus malware biasa. Indikatornya di container: shell dan curl/wget, CronJob/DaemonSet baru, binary dan log yang dimanipulasi, beaconing, dan koneksi mining pool. Analisis harus dilakukan di lab terisolasi (VM host-only, snapshot, sampel terarsip), dimulai statis (hash, file, strings) lalu dinamis (Procmon, strace, Wireshark, sandbox), dan hasilnya diubah menjadi aturan YARA/Sigma yang berbasis perilaku dan diuji terhadap false positive.

Additional Information

Alat Pendukung

FLARE-VM (Windows) dan REMnux (Linux) adalah distribusi analisis siap pakai; Ghidra dan IDA untuk reverse engineering; Sigma untuk aturan log generik; Falco untuk deteksi runtime pada Kubernetes. Pola persistensi klasik: Teknik Infeksi, Packer, dan Auto-Start Malware.

Proyek Eksplorasi Mandiri

1. Di FLARE-VM atau REMnux, analisis sampel EICAR atau lab Malware-Traffic-Analysis.net, ekstrak lima IOC, dan tulis satu aturan YARA yang diuji terhadap file bersih.

Bacaan Lanjutan

• Sikorski & Honig. Practical Malware Analysis.
• MITRE ATT&CK Containers Matrix.