Analisis Komputer Terinfeksi Malware Cridex (Memory Forensik)
Dalam forensik digital, malware yang berjalan di memori sering kali jauh lebih berbahaya daripada yang tersimpan di hard disk.
Pada studi kasus ini, kita menganalisis sebuah komputer Windows XP yang telah terinfeksi malware Cridex. Malware ini berjalan secara diam-diam (stealth) dan melakukan komunikasi ke Command and Control (CnC) server untuk mengirim dan menerima data.
Karena aktivitas malware terjadi di RAM, maka pendekatan yang digunakan adalah Memory Forensics menggunakan Volatility Framework.
🐧 Lingkungan dan Persiapan Analisis
Sistem Operasi Analisis
Kali Linux
Tools Forensik
Volatility Framework
Sampel Kasus
File memory dump:
cridex.vmemLokasi file:
/home/ec2-user/training/section3/case2/
Jika file belum tersedia, dapat diunduh dari:
http://files.sempersecurus.org/dumps/cridex_memdump.zip
1️⃣ Mengakses Folder Kasus
Langkah pertama adalah masuk ke direktori tempat file memory dump disimpan dan memastikan file tersedia.
cd
cd training/section3/case2/
ls -all
📌 Tujuan:
Memastikan file cridex.vmem siap untuk dianalisis.
2️⃣ Identifikasi Profil Sistem Operasi (imageinfo)
Dalam analisis memori, imageinfo adalah perintah pertama yang wajib dijalankan.
volatility -f cridex.vmem imageinfo
Hasil
Volatility merekomendasikan profil:
WinXPSP2x86WinXPSP3x86
📌 Profil yang digunakan:
WinXPSP2x86
Profil ini akan digunakan pada seluruh analisis berikutnya.
3️⃣ Analisis Proses yang Berjalan (pstree)
Untuk melihat aplikasi apa saja yang berjalan saat memory dump diambil, gunakan:
volatility --profile=WinXPSP2x86 -f cridex.vmem pstree
Temuan Penting
Proses mencurigakan:
reader_sl.exe (PID 1640)Parent process:
explorer.exe (PID 1484)
📌 Analisis:reader_sl.exe dijalankan oleh explorer.exe, menandakan malware aktif di level user dan menyamar sebagai aplikasi normal.
4️⃣ Deteksi Proses Tersembunyi (psxview)
Malware sering menyembunyikan dirinya dari daftar proses normal.
volatility --profile=WinXPSP2x86 -f cridex.vmem psxview
📌 Indikator Malware:
Jika suatu proses tidak muncul di pslist tetapi muncul di psscan, maka proses tersebut sangat mungkin merupakan malware.
5️⃣ Analisis Koneksi Jaringan Malware (connscan)
Malware umumnya berkomunikasi dengan server CnC.
volatility --profile=WinXPSP2x86 -f cridex.vmem connscan
Hasil
Ditemukan koneksi ke:
41.168.5.140:8080125.19.103.198:8080
PID yang terlibat:
1484 (explorer.exe)
📌 Kesimpulan:
Malware menggunakan proses explorer.exe untuk menyamarkan koneksi jaringan.
6️⃣ Analisis Socket Jaringan (sockets)
Untuk melihat status koneksi yang sedang aktif:
volatility --profile=WinXPSP2x86 -f cridex.vmem sockets
📌 Temuan:
explorer.exemenunggu koneksi TCPMenerima koneksi dari IP mana saja
Indikasi backdoor aktif
7️⃣ Analisis Command Line Aplikasi (cmdline)
Untuk mengetahui lokasi dan parameter eksekusi malware:
volatility --profile=WinXPSP2x86 -f cridex.vmem cmdline
Hasil
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
📌 Analisis:
Lokasi terlihat sah
Tidak menggunakan parameter
Malware menyamar sebagai Adobe Reader
8️⃣ Ekstraksi Binary Malware dari Memory (procdump)
Binary malware dapat diekstrak langsung dari RAM.
volatility --profile=WinXPSP2x86 -f cridex.vmem procdump -p 1640 --dump-dir .
📌 Output:
executable.1640.exe
File ini dapat dianalisis lebih lanjut menggunakan teknik static atau reverse engineering.
9️⃣ Dump Memory Area Malware (memdump)
Untuk fokus hanya pada memori yang digunakan malware:
volatility --profile=WinXPSP2x86 -f cridex.vmem memdump -p 1640 --dump-dir .
📌 File hasil:
1640.dmp
🔟 Analisis String Komunikasi CnC
Karena malware melakukan koneksi ke internet, kita cari artefak komunikasi.
Mencari IP CnC
strings 1640.dmp | grep -Fi "41.168.5.140" -C 5
📌 Ditemukan URL:
http://41.168.5.140/zb/v_01_a/in/
➡️ Malware menggunakan HTTP POST untuk mengirim data.
1️⃣1️⃣ Menemukan CnC Tambahan
strings 1640.dmp | grep -Fi "zb/v_01_a/in/" -C 5
📌 Temuan:
IP tambahan:
188.40.0.138:8080
📌 Kesimpulan:
Malware Cridex memiliki lebih dari satu Command and Control server.
🧩 Kesimpulan Akhir
Dari analisis memory forensik ini dapat disimpulkan bahwa:
✅ Malware Cridex berjalan secara stealth di RAM
✅ Menyamar sebagai aplikasi Adobe Reader
✅ Menyembunyikan proses dari daftar normal
✅ Menggunakan explorer.exe untuk komunikasi
✅ Berkomunikasi melalui HTTP
✅ Memiliki beberapa server CnC
Memory forensics terbukti sangat efektif untuk mendeteksi malware yang tidak terlihat di hard disk.
💻 Ringkasan Perintah Penting
| Tahapan | Perintah |
|---|---|
| Cek File | ls -all |
| Identifikasi OS | volatility imageinfo |
| Analisis Proses | pstree |
| Proses Tersembunyi | psxview |
| Koneksi Jaringan | connscan |
| Socket Aktif | sockets |
| Command Line | cmdline |
| Dump Binary | procdump |
| Dump Memori | memdump |
| Cari CnC | strings + grep |
“Malware boleh bersembunyi di memori,
tetapi forensik digital selalu meninggalkan jejak.”
Komentar
Posting Komentar