Malware Analysis Fundamentals #03: Mengenal Jenis-Jenis Malware, dari Ransomware sampai Rootkit

Pendahuluan

Di bagian #01, kita sudah bahas malware berdasarkan cara kerjanya (file-based, fileless, memory-resident, script-based). Sekarang saatnya melihat dari sudut yang lebih familiar: klasifikasi berdasarkan tujuan dan perilaku utamanya. Klasifikasi ini yang biasanya muncul di laporan threat intelligence dan hasil deteksi antivirus.

Penting untuk diingat sejak awal: klasifikasi ini tidak saling eksklusif. Satu sampel malware modern sangat mungkin punya kapabilitas dari beberapa kelas sekaligus.

Ransomware

Ransomware mengenkripsi file korban lalu meminta tebusan (biasanya dalam cryptocurrency) untuk kunci dekripsi. Varian modern sering menambahkan taktik "double extortion" — mengancam akan membocorkan data curian jika tebusan tidak dibayar, bahkan jika korban punya backup yang bisa dipulihkan sendiri.

Infostealer

Infostealer dirancang khusus untuk mencuri informasi sensitif: kredensial browser, cookie sesi, dompet cryptocurrency, dan data autofill. Sampel seperti ini biasanya bekerja cepat dan diam-diam, lalu mengirim data curian ke server penyerang sebelum korban sadar ada yang salah.

RAT (Remote Access Trojan) / Backdoor

RAT memberi penyerang kendali jarak jauh penuh atas sistem korban — mirip tool remote access legit, tapi dipasang tanpa izin dan disembunyikan dari pengguna. Backdoor punya tujuan serupa: menyediakan jalur masuk tersembunyi yang bisa dipakai kapan saja, sering kali bertahan lama tanpa terdeteksi (persistent access).

Worm

Ciri khas worm adalah kemampuannya menyebar sendiri ke sistem lain tanpa perlu interaksi manusia, biasanya dengan mengeksploitasi kerentanan jaringan. Karena sifat self-propagating ini, worm bisa menyebar sangat cepat lintas jaringan dalam hitungan jam.

Trojan

Trojan menyamar sebagai software yang tampak sah untuk menipu korban agar menjalankannya sendiri. Berbeda dengan worm, trojan tidak menyebar sendiri — ia bergantung pada rekayasa sosial (social engineering) agar korban mau mengeksekusinya.

Bot / Loader

Bot menghubungkan sistem korban ke jaringan botnet yang dikendalikan penyerang, sering dipakai untuk serangan DDoS terdistribusi atau spam massal. Loader punya peran lebih spesifik: tugas utamanya hanya mengunduh dan menjalankan payload tahap berikutnya, sering kali payload yang berbeda-beda tergantung target.

Spyware

Spyware memantau aktivitas korban secara diam-diam — keystroke, tangkapan layar, riwayat browsing — lalu mengirim hasil pemantauan itu ke penyerang. Berbeda dari infostealer yang mencuri data sekali jalan, spyware biasanya beroperasi terus-menerus dalam jangka waktu lama.

Rootkit

Rootkit beroperasi di level yang sangat dalam pada sistem (kernel atau bahkan firmware) untuk menyembunyikan keberadaan malware lain dari tools deteksi standar. Karena posisinya yang privileged, rootkit termasuk kategori paling sulit dideteksi dan dibersihkan — sering kali membutuhkan analisis memori forensik khusus untuk menemukannya.

Satu Sampel, Banyak Kelas

Dalam praktiknya, garis antar kategori ini makin kabur. Contoh yang umum ditemui:

• Loader yang menjatuhkan infostealer, yang kemudian juga memasang backdoor untuk akses jangka panjang
• Ransomware modern yang sebelum mengenkripsi, terlebih dulu bertindak sebagai infostealer untuk mencuri data (double extortion)
• RAT yang dilengkapi kemampuan rootkit untuk menyembunyikan dirinya dari task manager

Jangan terjebak pada satu label klasifikasi saat triage awal. Pertanyaan yang lebih berguna adalah: "kapabilitas apa saja yang ada di sampel ini?" — bukan "sampel ini termasuk kategori apa?"

Kenapa Klasifikasi Ini Tetap Berguna

Meski batasannya kabur, klasifikasi ini tetap punya nilai praktis:

• Membantu komunikasi cepat antar analis ("ini kelihatannya infostealer berbasis .NET")
• Memberi ekspektasi awal soal artefak apa yang perlu dicari
• Memudahkan triase prioritas (ransomware yang sedang aktif mengenkripsi butuh respons jauh lebih cepat dibanding spyware yang sudah lama diam)

Penutup

Sembilan kelas malware ini — ransomware, infostealer, RAT/backdoor, worm, trojan, bot/loader, spyware, dan rootkit — adalah kosakata dasar yang akan terus muncul sepanjang seri ini. Di bagian #04, kita masuk ke bagian yang lebih praktis: alur kerja analisis malware yang aman, dari preservasi sampel sampai pelaporan.