Malware Analysis Fundamentals #02: Tujuan Utama Analisis Malware, dari Kapabilitas sampai MITRE ATT&CK

Kenapa Kita Perlu Tujuan yang Jelas

Salah satu kesalahan umum analis pemula adalah langsung membuka sampel malware di sandbox tanpa tahu apa yang sebenarnya sedang dicari. Hasilnya: laporan yang panjang tapi tidak actionable, atau sebaliknya, analisis berhenti terlalu dini karena "sudah ketemu satu indikator".

Analisis malware yang baik selalu dipandu oleh tujuan yang jelas. Berikut enam tujuan inti yang perlu jadi checklist mental setiap kali membuka sampel baru.

1. Identifikasi Kapabilitas dan Intent

Pertanyaan pertama: apa yang bisa dilakukan malware ini, dan untuk tujuan apa? Apakah dia mencuri kredensial, mengenkripsi file, membuka backdoor, atau sekadar jadi loader untuk payload tahap berikutnya?

Jangan berhenti di "ini terdeteksi sebagai trojan". Trojan hanyalah metode pengiriman — kapabilitas sebenarnya bisa jauh lebih spesifik dari itu.

2. Ukur Dampak dan Cakupan (Impact & Scope)

Setelah tahu apa yang dilakukan malware, langkah berikutnya adalah mengukur seberapa luas dampaknya:

• Sistem mana saja yang terinfeksi?
• Data apa yang berpotensi diakses atau dieksfiltrasi?
• Apakah ada pergerakan lateral ke sistem lain?

Jawaban ini menentukan skala respons — insiden yang terbatas pada satu workstation sangat berbeda penanganannya dibanding infeksi yang sudah menyebar ke domain controller.

3. Ekstrak IOC dan Indikator Perilaku

IOC (Indicators of Compromise) seperti hash, domain, dan IP memang penting, tapi indikator perilaku (behavioral indicators) sering lebih tahan lama. Penyerang bisa mengganti hash file dalam hitungan menit, tapi pola perilaku — misalnya teknik persistence tertentu atau cara komunikasi C2 — cenderung dipakai berulang di banyak kampanye.

Prioritaskan indikator yang sulit diubah penyerang: pola perilaku dan teknik, bukan cuma artefak statis seperti hash.

4. Ungkap Persistence dan Evasion

Malware modern jarang berhenti setelah eksekusi pertama. Analisis perlu mengungkap:

• Mekanisme persistence apa yang dipakai (registry run key, scheduled task, service, dsb)
• Teknik evasion apa yang digunakan untuk menghindari deteksi (akan dibahas lebih detail di bagian #09 seri ini)

Tanpa memahami ini, remediation hanya akan menghapus gejala sementara — malware bisa kembali aktif setelah reboot.

5. Dukung Deteksi, Containment, dan Respons

Hasil analisis harus bisa langsung dipakai tim lain: SOC butuh signature atau rule deteksi, tim IR butuh langkah containment, dan manajemen butuh ringkasan dampak bisnis. Jika laporan analisis tidak bisa diterjemahkan jadi aksi konkret, nilainya sangat terbatas.

6. Petakan Perilaku ke MITRE ATT&CK

Framework MITRE ATT&CK memberikan bahasa umum untuk mendeskripsikan taktik dan teknik penyerang. Memetakan temuan analisis ke ID teknik ATT&CK (misalnya T1055 untuk process injection) punya beberapa manfaat:

• Memudahkan komunikasi lintas tim dan lintas organisasi
• Memungkinkan perbandingan dengan kampanye lain yang sudah didokumentasikan
• Menjadi dasar untuk membangun detection engineering yang terstruktur

Contoh pemetaan sederhana:
- Initial Access   -> T1566 (Phishing)
- Execution        -> T1059.001 (PowerShell)
- Persistence      -> T1547.001 (Registry Run Keys)
- Defense Evasion  -> T1055 (Process Injection)
- C2               -> T1071.001 (Web Protocols)

Checklist Sebelum Menutup Laporan Analisis

Sebelum sebuah analisis dianggap selesai, pastikan enam pertanyaan ini sudah terjawab:

• [ ] Apa kapabilitas dan tujuan malware ini?
• [ ] Seberapa luas dampak dan cakupannya?
• [ ] IOC dan indikator perilaku apa yang berhasil diekstrak?
• [ ] Bagaimana mekanisme persistence dan evasion-nya?
• [ ] Apakah temuan sudah diterjemahkan jadi rekomendasi deteksi/containment?
• [ ] Sudahkah perilaku dipetakan ke teknik MITRE ATT&CK?

Penutup

Enam tujuan ini bukan checklist kaku yang harus diikuti berurutan — tapi kerangka berpikir yang memastikan analisis malware menghasilkan sesuatu yang benar-benar berguna, bukan sekadar laporan teknis yang panjang.

Di bagian #03, kita akan masuk ke topik yang lebih konkret: mengenal jenis-jenis malware paling umum, dari ransomware sampai rootkit, dan kenapa satu sampel sering menggabungkan beberapa kelas sekaligus.