Malware Analysis Fundamentals #04: Alur Kerja Analisis Malware yang Aman dalam 6 Langkah

Pendahuluan

Setelah memahami definisi, tujuan, dan jenis-jenis malware di tiga bagian sebelumnya, sekarang kita masuk ke bagian paling praktis: bagaimana sebenarnya proses analisis malware dijalankan langkah demi langkah?

Alur kerja di bawah ini berlaku baik untuk sampel yang ditemukan saat insiden aktif maupun sampel yang dikumpulkan untuk riset. Prinsip utamanya sama: setiap langkah harus terdokumentasi, dan setiap bukti harus terjaga rantai kepemilikannya (chain of custody).

Prasyarat

• Lingkungan analisis terisolasi (VM dengan snapshot, network tersegmentasi — akan dibahas detail di bagian #07)
• Tool hashing dasar (sha256sum, CyberChef, atau sejenisnya)
• Template dokumentasi untuk mencatat setiap temuan

Jangan pernah menjalankan langkah-langkah di bawah ini pada mesin produksi atau perangkat pribadi. Selalu gunakan lab terisolasi.

Langkah 1: Preserve & Hash

Sebelum melakukan apa pun terhadap sampel, amankan salinan asli yang tidak diubah (biasanya dalam bentuk terenkripsi/ter-zip dengan password agar tidak tereksekusi tidak sengaja), lalu hitung hash kriptografisnya.

sha256sum sample.bin
md5sum sample.bin

Hash ini berfungsi sebagai:

• Identitas unik sampel untuk pencarian di threat intelligence platform (VirusTotal, MalwareBazaar, dsb)
• Bukti integritas bahwa sampel tidak berubah selama proses analisis

Langkah 2: Triage

Triage adalah pemeriksaan cepat untuk menentukan prioritas dan arah analisis lebih lanjut, tanpa perlu masuk terlalu dalam. Pertanyaan yang dijawab di tahap ini:

• Apa tipe file-nya (PE, ELF, dokumen Office, script)?
• Apakah hash-nya sudah dikenal di database publik?
• Seberapa mendesak sampel ini perlu dianalisis lebih dalam?

file sample.bin
exiftool sample.bin

Hasil triage menentukan apakah sampel butuh analisis mendalam segera, atau bisa diantre untuk dianalisis nanti.

Langkah 3: Static Analysis

Static analysis dilakukan tanpa menjalankan sampel — cukup dengan memeriksa strukturnya. Kita akan bahas ini lebih detail di bagian #05, tapi inti dari tahap ini adalah mengumpulkan:

• Strings yang tertanam (URL, path, pesan error)
• Import/export table (fungsi API apa yang dipanggil)
• Indikasi packer atau obfuscation

Langkah 4: Behavioral Analysis

Setelah static analysis memberi gambaran awal, sampel dijalankan di sandbox terisolasi untuk mengamati perilakunya secara langsung: proses apa yang dibuat, file dan registry apa yang diubah, serta lalu lintas jaringan apa yang dihasilkan. Detail tool dan tekniknya dibahas tuntas di bagian #06.

Selalu asumsikan sampel bisa mendeteksi bahwa dirinya sedang dianalisis. Jangan berhenti hanya karena satu kali eksekusi tidak menunjukkan aktivitas mencurigakan (lihat bagian #09 soal evasion).

Langkah 5: Code & Memory Analysis

Untuk sampel yang lebih kompleks atau heavily obfuscated, static dan behavioral analysis saja sering tidak cukup. Tahap ini melibatkan disassembly/decompilation dengan tool seperti Ghidra atau IDA, serta analisis memori forensik dengan Volatility untuk menemukan artefak yang tidak terlihat di disk — misalnya proses yang di-inject atau payload yang hanya ada di RAM.

Langkah 6: Report & Detect

Tahap terakhir mengubah semua temuan menjadi output yang bisa dipakai tim lain:

• Laporan analisis yang mencakup kapabilitas, IOC, dan pemetaan MITRE ATT&CK (lihat bagian #02)
• Rule deteksi (YARA untuk file, Sigma untuk log/event) yang bisa langsung dipasang di tooling keamanan
• Rekomendasi containment dan remediation untuk tim IR

# Contoh kerangka Sigma rule sederhana
title: Suspicious PowerShell Encoded Command
logsource:
  category: process_creation
detection:
  selection:
    CommandLine|contains: '-enc'
  condition: selection
level: high

Dokumentasikan semuanya sepanjang proses, bukan hanya di akhir. Chain of custody yang terputus bisa membuat bukti tidak valid secara hukum jika kasus berlanjut ke ranah legal.

Ringkasan Alur

Preserve & Hash -> Triage -> Static Analysis -> Behavioral Analysis -> Code & Memory Analysis -> Report & Detect

Keenam langkah ini tidak selalu linear sempurna — sering kali analis bolak-balik antara static dan behavioral analysis seiring ditemukannya petunjuk baru. Yang penting, setiap langkah didokumentasikan dan bukti dijaga integritasnya.

Penutup dan Langkah Selanjutnya

Alur kerja ini adalah kerangka kerja inti seri Malware Analysis Fundamentals. Di dua bagian berikutnya (#05 dan #06), kita akan bedah lebih dalam dua tahap paling teknis: static & code analysis, lalu behavioral & memory analysis — lengkap dengan tools yang dipakai profesional di lapangan.