Malware Tanpa File dan Teknik Living-in-Memory

Perangkat lunak berbahaya tanpa berkas dieksekusi sepenuhnya di memori tanpa menulis file yang dapat dieksekusi ke penyimpanan. Perangkat ini memanfaatkan alat OS yang sah, lingkungan interpretasi (PowerShell, WScript), dan injeksi dalam memori untuk beroperasi sambil meninggalkan artefak forensik seminimal mungkin, sehingga sulit dideteksi oleh AV tradisional dan pemindaian berbasis berkas.

PowerShell memungkinkan pola unduh-dan-jalankan: IEX (Invoke-Expression) mengunduh dan menjalankan skrip langsung dari internet tanpa menyentuh penyimpanan. Teknik penyamaran (penggantian karakter, base64, dan penggabungan teks) melewati deteksi berbasis tanda tangan terhadap konten skrip berbahaya.

LOLBins adalah biner Windows yang sah dan dapat dipersenjatai: certutil.exe (mengunduh file), mshta.exe (menjalankan skrip HTA), regsvr32.exe (menjalankan objek COM jarak jauh), wmic.exe (menjalankan perintah), dan PowerShell (serta banyak lagi). Biner tersebut sudah terpasang, ditandatangani, dan sering kali masuk daftar izin.

Injeksi klasik: VirtualAllocEx → WriteProcessMemory → CreateRemoteThread. Pengosongan proses: jalankan proses sah dalam keadaan ditangguhkan, batalkan pemetaan kodenya, lalu ganti dengan kode berbahaya. Injeksi DLL melalui SetWindowsHookEx atau AppInit_DLLs. Semua teknik tersebut menjalankan kode berbahaya di dalam proses tepercaya.

Injeksi DLL reflektif memuat DLL dari memori tanpa menggunakan pemuat Windows atau menyentuh penyimpanan. DLL tersebut memiliki pemuat mininya sendiri yang menyelesaikan impor dan menyesuaikan alamatnya sendiri. Meterpreter menggunakan pemuatan reflektif, sehingga tidak meninggalkan file DLL di penyimpanan.

Pengosongan proses membuat proses sah (svchost.exe) dalam keadaan ditangguhkan, membatalkan pemetaan executable aslinya dari memori, memetakan executable berbahaya ke ruang alamat yang sama, lalu melanjutkan eksekusi. Proses tersebut tampak sah di pengelola tugas, tetapi menjalankan kode berbahaya.

Antarmuka Pemindaian Antiperangkat Lunak Berbahaya milik Microsoft (AMSI) mencegat skrip PowerShell untuk pemindaian AV. Penyerang melewati AMSI dengan menambal AmsiScanBuffer() di memori agar selalu mengembalikan hasil bersih, atau dengan menyamarkan skrip di bawah ambang deteksi AMSI. Penambalan AMSI itu sendiri dapat dideteksi oleh EDR.

Perangkat lunak berbahaya tanpa berkas dideteksi melalui perilakunya, bukan keberadaan berkas: PowerShell yang membuat koneksi jaringan, proses anak aplikasi Office yang tidak terduga, wilayah memori dengan izin eksekusi tetapi tanpa berkas pendukung (malfind), dan argumen baris perintah LOLBin yang berisi konten tersandi.

Pelacakan Peristiwa Windows (ETW) menyediakan telemetri yang kaya untuk platform EDR: Pencatatan Blok Skrip menangkap PowerShell yang telah didekodekan, Pencatatan Modul merekam DLL yang dimuat, pembuatan proses beserta baris perintah lengkap, dan peristiwa koneksi jaringan. Penyedia ETW sulit dinonaktifkan oleh perangkat lunak berbahaya tanpa memicu peringatan.

malfind pada Volatility mengidentifikasi wilayah memori yang dapat dieksekusi dan mencurigakan. Teks dalam memori proses dapat mengungkap URL C2 atau skrip tertanam. Pengosongan proses menghapus pemetaan citra proses asli — hal ini dapat dideteksi dengan membandingkan peta memori proses dengan program asli yang dapat dieksekusi di penyimpanan.

Aktifkan Pencatatan Blok Skrip PowerShell (ID Peristiwa 4104) dan Pencatatan Modul untuk menangkap semua konten skrip yang telah didekodekan. Mode Bahasa Terbatas PowerShell membatasi operasi berbahaya. Daftar izin aplikasi WDAC mencegah kombinasi LOLBin yang tidak disetujui menjalankan skrip berbahaya.

Perangkat lunak berbahaya tanpa berkas menyalahgunakan PowerShell, LOLBin, dan injeksi proses untuk dieksekusi sepenuhnya di memori. Perlindungan terhadapnya memerlukan Pencatatan Blok Skrip, analitik perilaku dari platform EDR, penerapan AMSI, daftar izin aplikasi, dan alat forensik memori seperti Volatility untuk mengidentifikasi kode yang diinjeksi.