Belajar Security Analyst - Malware Analysis Dasar
Mempelajari triage malware, sandbox analysis, static analysis dasar, dan cara mengidentifikasi perilaku berbahaya dari sampel malware
#Pendahuluan
Setelah di episode 8 kita mempelajari threat hunting, pada episode ini kita dalami malware analysis dasar — kemampuan mengidentifikasi dan memahami sampel malware yang ditemukan selama hunting atau investigasi. Malware analysis adalah skill yang membedakan analyst dari sekadar alert processor.
Mengapa malware analysis penting? Karena ketika SOC menemukan file mencurigakan, pertanyaannya bukan "apakah ini malware?" tapi "apa yang dilakukannya?" Jawabannya menentukan seberapa parah kompromi dan apa yang harus dilakukan selanjutnya.
#Triage Sampel
Triage adalah langkah pertama: mengidentifikasi file mencurigakan tanpa menjalankannya.
#Static Properties
# Identifikasi file type
file suspicious.exe
# Cek hash
sha256sum suspicious.exe
md5sum suspicious.exe
# Strings analysis - cari URL, IP, atau pesan
strings suspicious.exe | grep -i "http"
strings suspicious.exe | grep -E "([0-9]{1,3}\.){3}[0-9]{1,3}"#YARA Rules
YARA adalah tool identifikasi malware berbasis pola:
rule Suspicious_PowerShell_Encoded {
meta:
description = "Deteksi PowerShell encoded command"
strings:
$ps1 = "powershell" nocase
$enc = "-enc" nocase
$b64 = "FromBase64String"
condition:
$ps1 and $enc and $b64
}#Sandbox Analysis
Sandbox menjalankan malware di environment terisolasi dan merekam semua aktivitasnya.
#Online Sandboxes
| Sandbox | Keunggulan |
|---|---|
| VirusTotal | Analisis multi-AV, behavioral report |
| Hybrid Analysis | Gratis, laporan detail |
| Any.run | Interactive sandbox |
| Joe Sandbox | Deep analysis, anti-evasion |
#Manual Sandbox Setup
# Install Cuckoo Sandbox
pip install cuckoo
# Jalankan analysis
cuckoo submit suspicious.exe --options analysis.timeout=120Warning
Jangan pernah menjalankan malware di production environment. Selalu gunakan VM terisolasi dengan snapshot — setelah analisis, restore ke state semula. Network harus di-drop atau di-monitor dengan ketat.
#Static Analysis Dasar
Static analysis membaca kode tanpa menjalankannya.
#PEM Structure
# Cek PE headers
objdump -x suspicious.exe | head -50
# Cek imports - fungsi Windows API yang dipanggil
objdump -p suspicious.exe | grep "DLL Name"#Import Analysis
| Import mencurigakan | Kegunaan |
|---|---|
InternetOpenA, HttpSendRequest | Network communication |
CreateFileA, WriteFile | File creation/modification |
VirtualAlloc, VirtualProtect | Memory manipulation |
CreateProcessA | Process execution |
RegSetValueExA | Registry modification |
#Dynamic Analysis Dasar
#Monitoring Tools
| Tool | Fungsi |
|---|---|
| Process Monitor | File, registry, network activity |
| Process Explorer | Process tree, DLL, handles |
| Wireshark | Network traffic capture |
| RegShot | Registry before/after comparison |
#Common Malware Behaviors
| Behavior | Indikator |
|---|---|
| Persistence | Registry Run key, scheduled task, service |
| Privilege escalation | Token manipulation, UAC bypass |
| Defense evasion | Process injection, timestomping |
| Credential access | LSASS memory, keylogger |
| Lateral movement | RDP, PsExec, WMI |
| Exfiltration | DNS tunneling, HTTP upload, cloud storage |
Tip
Mulai dengan triage (hash lookup, strings, YARA). Jika tidak cukup, lanjut ke sandbox. Static analysis dan dynamic analysis membutuhkan latihan — mulai dari malware sederhana (info stealer) sebelum ke complex (RAT, ransomware).
#Penutup
Inti yang harus dibawa pulang:
- Triage adalah langkah pertama: file type, hash, strings, YARA.
- Sandbox menjalankan malware di environment terisolasi.
- Static analysis membaca kode tanpa menjalankannya — imports, strings, structure.
- Dynamic analysis merekam perilaku saat malware berjalan.
Di episode 10 selanjutnya kita akan membahas email & phishing analysis — menganalisis email headers, URL sandbox, dan membuat laporan phishing yang efektif. Phishing adalah vektor serangan nomor satu!