Virus, Worm, dan Trojan

Malware (perangkat lunak berbahaya) adalah perangkat lunak apa pun yang dirancang untuk mengganggu, merusak, memperoleh Access tanpa izin, atau melakukan Exfiltration data dari sistem. Istilah ini mencakup banyak kategori berbeda yang memiliki perbedaan dalam cara penyebarannya, tindakan yang dilakukan, dan teknik Detection yang dihindarinya. Security+ menguji kemampuan Anda untuk membedakan jenis Malware berdasarkan mekanisme penyebaran (cara penyebarannya), payload (kerusakan atau tindakan yang dilakukan), dan mekanisme persistensi (cara bertahan setelah boot ulang). Tiga kategori dasar adalah Virus, Worm, dan Trojan.

Virus adalah Malware yang menempelkan dirinya pada file host yang sah dan memerlukan tindakan manusia (menjalankan file yang terinfeksi) untuk menyebar. Ketika file yang terinfeksi dijalankan, Virus bereplikasi dengan menyisipkan kodenya ke dalam executable, dokumen, atau sektor boot lainnya. Jenis Virus mencakup file infectors (menempel pada file .exe), macro viruses (disematkan dalam dokumen Office dan berjalan ketika Macro dijalankan), boot sector viruses (menginfeksi MBR dan dimuat sebelum OS), serta polymorphic viruses (mengubah tanda tangan kodenya pada setiap infeksi untuk menghindari Detection berbasis tanda tangan).

Worm adalah Malware yang bereplikasi sendiri dan menyebar secara mandiri melalui Network tanpa memerlukan file host atau tindakan manusia. Worm mengeksploitasi kerentanan Network atau kredensial yang lemah untuk menyalin dirinya ke sistem lain. Worm SQL Slammer pada 2003 menginfeksi 75.000 sistem dalam 10 menit menggunakan satu paket UDP. Ransomware WannaCry pada 2017 menyebar sebagai Worm melalui Exploits EternalBlue yang menargetkan SMBv1. Worm menyebabkan kerusakan besar melalui kepadatan Network dan pengiriman payload dalam skala besar. Penerapan patch dan segmentasi Network merupakan pertahanan utama.

Trojan horse (atau Trojan) adalah Malware yang disamarkan sebagai perangkat lunak yang sah. Berbeda dari Virus dan Worm, Trojan tidak bereplikasi sendiri — Trojan mengandalkan pengguna untuk memasangnya karena pengguna mengira Trojan adalah sesuatu yang bermanfaat: game gratis, aplikasi bajakan, utilitas yang berguna, antivirus palsu, atau pembaruan perangkat lunak. Setelah terpasang, Trojan menjalankan payload berbahayanya, yang dapat mencakup pemasangan Backdoor, berfungsi sebagai RAT (Remote Access Trojan), merekam penekanan tombol, atau mengunduh Malware tambahan. Trojan sering digunakan untuk memperoleh akses awal sebelum menerapkan payload yang lebih merusak.

Ujian Security+ sering menguji perbedaan di antara ketiga kategori ini. Pembeda utamanya: Virus memerlukan file host dan tindakan manusia untuk menyebar; Virus menginfeksi file yang sah. Worm bersifat mandiri dan menyebar sendiri — Worm menyebar secara otomatis melalui Network tanpa menempel pada file lain atau memerlukan interaksi pengguna. Trojan tidak bereplikasi sendiri dan mengandalkan penipuan — pengguna harus diperdaya agar memasangnya. Suatu Malware dapat menggabungkan beberapa karakteristik (Worm yang menjatuhkan payload Trojan), jadi fokuskan klasifikasi pada mekanisme penyebaran yang dominan.

Banyak Trojan dan Worm membangun komunikasi dengan Command-and-Control (C2) server — Server jarak jauh yang digunakan Attacker untuk memberikan instruksi kepada Host yang terinfeksi. Sejumlah besar Host yang terhubung ke C2 membentuk botnet. Botnet digunakan untuk Attack DDoS, kampanye spam, penambangan mata uang kripto, dan pencurian kredensial. Komunikasi C2 dapat menggunakan HTTP/HTTPS agar menyatu dengan lalu lintas web normal, tunneling DNS untuk bersembunyi dalam kueri DNS, atau protokol peer-to-peer yang tidak memiliki Server pusat untuk dimatikan. Mendeteksi lalu lintas C2 memerlukan monitoring DNS, log proksi, dan analisis aliran Network untuk menemukan pola Beaconing yang tidak lazim.

Antivirus tradisional mengandalkan Detection berbasis tanda tangan — membandingkan file dengan basis data tanda tangan Malware yang diketahui (hash atau pola kode). Tanda tangan bekerja cepat, tetapi Fails menghadapi Malware baru atau yang telah dimodifikasi. Behavioral Detection (yang digunakan oleh platform EDR) memantau perilaku program secara real time: membuat proses turunan, mengubah key registri, menyisipkan kode ke proses lain, atau menghubungi IP yang diketahui berbahaya. Heuristic analysis menganalisis kode secara statis untuk mencari pola seperti Malware tanpa memerlukan kecocokan tanda tangan yang tepat. Sandboxing menjalankan file yang mencurigakan dalam lingkungan terisolasi untuk mengamati perilakunya dengan aman.

multipartite virus menggunakan beberapa vektor infeksi secara bersamaan — misalnya menginfeksi file executable sekaligus sektor boot. Hal ini membuat penghapusan menyeluruh menjadi lebih sulit karena pembersihan pada satu vektor saja akan membiarkan vektor lainnya tetap aktif untuk menginfeksi ulang. Macro viruses menginfeksi file dokumen dengan menyematkan Macro VBA (Visual Basic for Applications) berbahaya dalam dokumen Microsoft Office. Ketika dokumen dibuka dan Macro diaktifkan, Virus berjalan. Macro viruses mudah menyebar melalui lampiran email. Pertahanan utama adalah menonaktifkan Macro secara default dan hanya mengizinkan Macro yang ditandatangani secara digital dari penerbit tepercaya.

Mencegah penyebaran Malware memerlukan pertahanan berlapis. Untuk Virus: nonaktifkan eksekusi Macro, pindai semua transfer file (gateway email, proksi web, pemindaian USB), dan perbarui perlindungan endpoint secara berkala. Untuk Worm: segera terapkan patch (sebagian besar Exploits Worm menargetkan CVE yang telah diketahui), nonaktifkan protokol Network yang tidak diperlukan (nonaktifkan SMBv1), segmentasikan Network untuk membatasi jangkauan lateral, dan terapkan autentikasi kuat pada semua layanan yang terhubung ke Network. Untuk Trojan: terapkan allowlisting aplikasi, edukasi pengguna agar tidak memasang perangkat lunak yang tidak sah, dan Verify hash perangkat lunak sebelum pemasangan. Pertahanan berlapis mendeteksi hal-hal yang terlewatkan oleh setiap kontrol individual.

Drive-by downloads terjadi ketika kunjungan ke situs web berbahaya atau yang telah disusupi secara diam-diam memasang Malware tanpa tindakan pengguna selain memuat halaman. Attacker mengeksploitasi kerentanan browser atau plugin (Flash, Java, dan pembaca PDF versi lama) untuk menjalankan kode berbahaya. Watering hole attacks menyusupi situs web sah yang sering dikunjungi oleh populasi target, lalu menanamkan kode Drive-by download untuk menginfeksi pengunjung. Alih-alih langsung mengejar target, Attacker “meracuni watering hole” dan menunggu korban datang. Pertahanan mencakup memperbarui browser dan plugin, menggunakan click-to-play untuk plugin, serta menerapkan proksi web yang memblokir situs berbahaya yang telah diketahui.

Ketika Malware terdeteksi, respons mengikuti siklus IR NIST. Containment: segera isolasi Host yang terinfeksi (lepaskan dari Network atau terapkan aturan firewall berbasis Host) untuk menghentikan penyebaran. Eradikasi: melakukan reimaging lebih aman daripada mencoba membersihkan infeksi serius; pembersihan dapat meninggalkan risiko mekanisme Persistence tetap bertahan. Preservasi bukti: ambil image Memory dan image Disk sebelum melakukan reimaging jika diperlukan forensik. Pemulihan: pulihkan dari cadangan yang bersih, Verify integritas, dan lakukan monitoring ketat untuk mencari tanda-tanda infeksi ulang. Dokumentasikan indikator kompromi (IoCs) untuk meningkatkan Detection di masa mendatang.

Dalam pelajaran ini Anda mempelajari bahwa: Virus menempel pada file host dan memerlukan tindakan pengguna untuk menyebar, menggunakan teknik seperti polimorfisme untuk menghindari Detection berbasis tanda tangan, Worm menyebar sendiri melalui Network tanpa tindakan pengguna dengan mengeksploitasi kerentanan sehingga menyebabkan infeksi berskala besar secara cepat, dan Trojan disamarkan sebagai perangkat lunak yang sah untuk memperdaya pengguna agar memasangnya, sering kali dengan membangun Backdoor dan komunikasi C2. Selanjutnya kita akan membahas Ransomware dan cryptolocker secara mendetail.