Malware Analysis Fundamentals #08: Bukti Digital yang Wajib Dikumpulkan Saat Analisis Malware

Kenapa Checklist Bukti Itu Penting

Di tengah analisis yang panjang dan teknis, sangat mudah lupa mendokumentasikan artefak yang sebenarnya krusial. Bagian ini adalah checklist referensi cepat: dua belas jenis bukti digital yang idealnya selalu dikumpulkan dari setiap sesi analisis malware, apa pun tools yang dipakai.

Checklist ini dibagi jadi tiga kelompok: identitas sampel, indikator jaringan, dan indikator sistem/host.

Kelompok 1: Identitas Sampel

SHA-256 Hashes

Hash kriptografis (idealnya SHA-256, bukan MD5 yang sudah rentan collision) adalah identitas unik sampel. Selalu catat hash dari setiap file yang terlibat — sampel awal, payload yang di-drop, dan file konfigurasi tambahan.

File Paths

Path lengkap tempat malware menyimpan dirinya dan file terkait (misalnya %APPDATA%\Roaming\update.exe) sering jadi pola yang konsisten antar varian dari kampanye yang sama.

Kelompok 2: Indikator Jaringan

Domains dan URLs

Domain dan URL yang dihubungi malware — baik untuk C2, eksfiltrasi data, maupun mengunduh payload tambahan. Catat juga URL path lengkap, bukan cuma domain, karena pola path sering unik per kampanye.

IP Addresses

IP tujuan komunikasi jaringan. Perlu diingat, IP jauh lebih mudah berganti dibanding domain, jadi jangan terlalu mengandalkan IP sebagai satu-satunya indikator jangka panjang.

Certificates

Jika malware menggunakan HTTPS untuk komunikasi C2, sertifikat TLS yang dipakai (terutama jika self-signed atau dari certificate authority yang tidak umum) bisa jadi indikator yang berguna untuk deteksi jaringan.

Network Patterns

Pola trafik seperti interval beacon, ukuran paket yang konsisten, atau User-Agent HTTP yang khas sering lebih tahan lama sebagai indikator dibanding domain atau IP individual.

Kelompok 3: Indikator Sistem dan Host

Registry Keys

Key registry yang dibuat atau dimodifikasi, terutama yang berkaitan dengan persistence (Run keys, services) atau konfigurasi malware itu sendiri.

Mutexes

Banyak malware membuat mutex dengan nama unik untuk mencegah dirinya berjalan dua kali di sistem yang sama. Nama mutex ini sering konsisten antar varian dan jadi indikator yang sangat berguna.

Services dan Scheduled Tasks

Nama service atau scheduled task yang didaftarkan untuk persistence — perhatikan nama yang menyamar sebagai proses sistem legit.

Process Trees

Pola parent-child process yang tidak wajar (misalnya aplikasi Office yang men-spawn PowerShell) adalah salah satu indikator behavioral paling kuat karena sulit diubah penyerang tanpa mengubah cara kerja malware secara fundamental.

Mengubah Bukti Jadi Deteksi: YARA dan Sigma

Mengumpulkan bukti hanya bernilai penuh jika diubah jadi mekanisme deteksi yang bisa dipakai berulang:

• YARA — untuk deteksi berbasis file (pattern byte, string, struktur PE)
• Sigma — untuk deteksi berbasis log dan event (registry, process creation, network)

# Contoh kerangka Sigma rule berbasis mutex
title: Known Malware Mutex Detected
logsource:
  category: process_creation
detection:
  selection:
    EventData|contains: 'Global\\SpecificMutexName123'
  condition: selection
level: critical

Template Ringkas Dokumentasi Bukti

Gunakan format sederhana ini agar konsisten antar analis dan mudah diimpor ke platform threat intelligence:

Sample: sample.exe
SHA-256: <hash>
File Path: %APPDATA%\Roaming\update.exe
Mutex: Global\SpecificMutexName123
C2 Domain: update-service[.]example
C2 IP: 203.0.113.[redacted]
Registry Persistence: HKCU\...\Run\UpdateService
Process Tree: winword.exe -> powershell.exe -> update.exe
MITRE ATT&CK: T1566, T1059.001, T1547.001

Checklist Cepat

• [ ] SHA-256 hash semua file terkait
• [ ] File paths tempat malware menyimpan diri
• [ ] Domain dan URL C2/eksfiltrasi
• [ ] IP address tujuan
• [ ] Sertifikat TLS (jika relevan)
• [ ] Pola trafik jaringan
• [ ] Registry keys yang dibuat/diubah
• [ ] Nama mutex
• [ ] Services/scheduled tasks baru
• [ ] Process tree yang tidak wajar
• [ ] Rule YARA/Sigma yang sudah ditulis

Penutup

Konsistensi dalam mengumpulkan bukti membuat hasil analisis jauh lebih bernilai — bukan hanya untuk insiden yang sedang ditangani, tapi juga sebagai referensi untuk mendeteksi kampanye serupa di masa depan.

Bagian terakhir seri ini, #09, akan membahas sisi yang sering diremehkan: teknik evasion yang sengaja dirancang untuk membuat semua proses pengumpulan bukti di atas jadi lebih sulit.