Teknik Infeksi, Packer, dan Auto-Start Malware

Back to IF4033 Keamanan Siber

Teknik Infeksi, Packer, dan Auto-Start Malware

Questions/Cues

• Bagaimana virus menyisipkan dirinya ke executable (overwriting, prepending, appending, cavity)?
• Apa fungsi packer?
• Bagaimana malware memastikan dirinya berjalan kembali setelah reboot?
• Apa itu macro virus dan document-based malware?

Reference Points

• IF4033 Malware (Slides 10-20)

Teknik Penyisipan ke Executable

Teknik	Cara	Ciri
Overwriting	Menimpa isi executable dengan malware	Program asli rusak, mudah disadari
Prepending	Malware ditaruh di depan executable	Malware jalan dulu lalu program asli
Appending	Malware ditaruh di belakang, header diubah untuk lompat	Ukuran file bertambah
Cavity	Mengisi celah kosong (padding) di dalam file	Ukuran file tidak berubah
Multi-cavity	Memecah malware ke beberapa celah	Sulit dideteksi berdasarkan ukuran

flowchart LR
    subgraph Prepend
        P1["Malware"] --> P2["Host asli"]
    end
    subgraph Append
        A1["Host asli"] --> A2["Malware"]
    end

Packer

Packer melindungi dan mengaburkan kode berbahaya, menyembunyikan maksud sebenarnya dari file. Fungsi: compress, encrypt, randomize (polymorphism), teknik anti-debug (int/fake jmp), add-junk, anti-VM, dan virtualization. Payload asli dibongkar (unpack) hanya saat runtime.

Auto-Start

Windows: folder Startup, win.ini (run=/load=), system.ini (shell=), wininit, config.sys, mengaitkan ekstensi dikenal (.doc) dengan malware, Registry Run key (HKCU\...\CurrentVersion\Run), Task Scheduler, atau menjadi service.

Unix: init.d, /etc/rc.local, .login/.xsession, dan crontab.

Macro dan Document-Based Malware

Macro virus memakai script engine bawaan aplikasi; callback seperti AutoExec(), AutoClose(), AutoOpen(), AutoNew() pada Word dijalankan otomatis. Target: dokumen MS Office, OpenOffice, Acrobat (PDF).

Summary

Virus menyisipkan diri dengan overwriting, prepending, appending, cavity, atau multi-cavity, lalu memakai packer (compress, encrypt, polymorph, anti-debug, anti-VM) untuk menghindari deteksi. Persistensi dicapai lewat mekanisme auto-start (Registry Run, Task Scheduler, service di Windows; init.d, rc.local, cron di Unix). Macro virus memanfaatkan callback otomatis dokumen Office/PDF.

Additional Information

Persistensi Modern dan Deteksi

Alat seperti Sysinternals Autoruns (Windows) dan systemctl list-unit-files/crontab -l (Linux) membantu mengaudit titik persistensi. Pada kontainer, persistensi berupa CronJob/DaemonSet baru (lihat Analisis Malware Aman, Perilaku, dan Deteksi). Microsoft kini memblokir macro dari Internet secara default.

Proyek Eksplorasi Mandiri

1. Pada VM Windows terisolasi, bandingkan snapshot Autoruns sebelum dan sesudah memasang aplikasi, lalu identifikasi entri persistensi baru.

Bacaan Lanjutan

• MITRE ATT&CK TA0003 Persistence.
• Szor, P. The Art of Computer Virus Research and Defense.