Setelah di episode #4 saya mengenal jenis-jenis malware dari sudut pandang pengguna, dan di episode #20 belajar membaca bekas jejak serangan di log, kali ini saya ingin naik satu level: bagaimana kalau kita pegang langsung file mencurigainnya? Inilah catatan belajar saya tentang malware analysis pemula — dua jalur utamanya (statis dan dinamis), tool gratis yang bisa dipakai, dan batas yang tidak boleh saya langgar sebagai orang yang sedang belajar.
Prinsip yang saya bawa sejak awal: analisis malware adalah pekerjaan defensif. Tujuannya memahami cara kerja supaya bisa mendeteksi dan mencegah — bukan untuk membuat varian baru. Saya juga mengingatkan diri sendiri soal batasan hukum: menganalisis file yang memang disediakan untuk latihan atau milik sendiri itu legal; menguji file ke sistem orang lain tanpa izin tertulis melanggar UU ITE. Dengan dua pegangan itu, saya mulai dari yang paling aman.
Analisis statis: memeriksa tanpa menjalankan
Analisis statis berarti membaca file tanpa mengeksekusinya. Ini jalur yang saya pilih pertama karena paling aman — tidak ada risiko sandbox bocor atau lab saya yang terinfeksi. Langkah pertama yang saya pelajari sangat sederhana: kenali file itu apa.
file sampel.bin sha256sum sampel.bin strings -n 8 sampel.bin | less
Perintah file memberi tahu tipe format aslinya (PE Windows, ELF Linux, PDF, atau malah hanya file zip yang diganti nama). sha256sum menghasilkan sidik jari digital file — hash inilah yang saya cari di VirusTotal atau Hybrid Analysis untuk melihat apakah komunitas sudah mengenalnya. Sementara strings memancing baris teks yang terkandung di dalam binary: URL, nama registry, pesan error, kadang justru konfigurasi command-and-control yang tertinggal. Ini yang paling sering memberi saya petunjuk pertama sebagai pemula.
Analisis dinamis: jalankan di dalam kandang
Analisis dinamis berarti menjalankan malware untuk melihat apa yang benar-benar dilakukannya: proses apa yang dibuat, registry apa yang diubah, koneksi apa yang dibuka. Risikonya jelas — makanya ini harus di sandbox, mesin virtual terisolasi yang siap dibuang setelahnya. Saya mencatat tiga aturan untuk lab saya sendiri: snapshot dulu sebelum eksekusi, network bisa diset agar trafik keluar tidak benar-benar keluar, dan tidak pernah menyalin file dari dalam sandbox ke mesin utama.
Untuk pengamatan, saya biasanya membuka Process Explorer dan Process Monitor di Windows (keduanya bagian dari Sysinternals, gratis), atau ps, strace, dan tcpdump di Linux. Yang saya cari: proses yang menempel pada proses lain (injection), pembuatan file aneh di folder startup, dan percobaan koneksi ke alamat yang tidak wajar. Sandbox online seperti ANY.RUN atau Joe Sandbox juga memungkinkan saya mengamati perilaku tanpa repot menyiapkan VM sendiri — sangat membantu di awal belajar, dengan catatan jangan pernah unggah sampel yang identitasnya sensitif.
Workflow pemula yang saya pakai
Rangkaian yang akhirnya menjadi kebiasaan saya:
- Hash dulu: cek SHA-256 di VirusTotal — kalau sudah dikenal, laporan komunitas biasanya langsung menjelaskan semuanya.
file+strings: identifikasi format dan petunjuk teks.- Baru putuskan: perlu sandbox dinamis, atau cukup sampai di sini?
Satu hal yang menyeimbangkan ekspektasi saya: malware modern sering ter-obfuscate atau sengaja mendeteksi lingkungan virtual lalu berhenti berperilaku. Karena itu hasil analisis pemula tidak pernah mutlak — dan di sinilah hasil kerja saya diakhiri dengan dokumentasi: catat observasi, bandingkan dengan indikator kompromi (IOC) yang sudah terpublikasi, lalu terjemahkan menjadi deteksi (aturan antivirus, YARA rule, atau sekadar log alert) di sistem sungguhan. Analisis tanpa tindak lanjut pertahanan hanyalah hobi berbahaya.
Untuk latihan yang legal, saya menemukan EICAR test file — string standar yang memang dibuat untuk menguji antivirus, bukan malware sungguhan — sebagai tempat aman mempraktikkan alur di atas sampai pipeline deteksi saya terbukti bekerja.
Sumber
- VirusTotal — cek hash & analisis file
- Hybrid Analysis — sandbox analisis gratis
- ANY.RUN — sandbox interaktif
- Sysinternals Suite — Process Explorer & Procmon
- EICAR test file — EICAR test file
- REMnux — distro Linux untuk analisis malware
Komentar Terbaru