Analisis Dinamis

Analisis dinamis menjalankan perangkat lunak berbahaya di lingkungan terkendali dan mengamati perilakunya: berkas yang dibuat, perubahan registri, proses yang dimulai, dan lalu lintas jaringan.

Analisis ini mengungkap tindakan sampel yang sebenarnya, termasuk perilaku yang tersembunyi dari analisis statis akibat pemaketan.

Jalankan perangkat lunak berbahaya hanya di sandbox yang terisolasi: mesin virtual dengan snapshot bersih yang dapat Anda kembalikan.

Gunakan jaringan khusus host atau jaringan palsu agar perangkat lunak berbahaya tidak dapat menjangkau internet atau sistem nyata Anda. Jangan pernah menganalisisnya di mesin yang terhubung ke jaringan produksi.

Sebelum meledakkan sampel, buat snapshot VM yang bersih. Setelah analisis selesai, kembalikan VM ke snapshot tersebut untuk menghapus semua perubahan yang dibuat perangkat lunak berbahaya.

Dengan demikian, Anda dapat menjalankan sampel berulang kali dari keadaan awal yang sama.

Procmon (Process Monitor) merekam aktivitas berkas, registri, dan proses secara waktu nyata. Penyaringan berdasarkan nama proses sampel menunjukkan dengan tepat apa saja yang disentuhnya.

Hal ini mengungkap berkas yang dijatuhkan, kunci registri yang dibuat, dan mekanisme persistensi.

Process Explorer dan Process Hacker menampilkan proses yang sedang berjalan, hubungan induk-anak, dan thread yang disuntikkan.

Perangkat lunak berbahaya sering memulai proses anak atau menyuntikkan diri ke proses sah seperti explorer.exe untuk bersembunyi.

Gunakan Wireshark untuk menangkap lalu lintas dan INetSim atau FakeNet-NG untuk menyimulasikan layanan internet. Perangkat lunak berbahaya mengira telah terhubung ke servernya, sementara Anda dapat mencatat permintaan tersebut dengan aman.

Hal ini mengungkap domain kendali-perintah, sinyal, dan upaya eksfiltrasi.

Dari analisis dinamis, Anda mengumpulkan Indikator Kompromi (IOC):

• Nilai hash berkas dan nama berkas yang dijatuhkan.
• Kunci registri untuk persistensi.
• Domain C2 dan alamat IP.
• Nama mutex.

IOC membantu pihak pertahanan mendeteksi dan memblokir ancaman.

Amati cara perangkat lunak berbahaya bertahan setelah mulai ulang. Metode umum meliputi:

• Kunci Run di registri.
• Tugas terjadwal.
• Layanan.
• Entri folder Startup.

Lokasi persistensi merupakan IOC bernilai tinggi dan sasaran penghapusan.

Perangkat lunak berbahaya yang canggih dapat mendeteksi sandbox dan menolak untuk berjalan. Perangkat lunak ini mungkin memeriksa artefak VM, waktu aktif yang singkat, jumlah inti CPU yang sedikit, atau keberadaan debugger.

Beberapa perangkat lunak menunda eksekusi atau memerlukan interaksi pengguna. Mengenali trik pengelakan ini merupakan bagian dari analisis dinamis.

Alat seperti Cuckoo Sandbox dan layanan daring (Any.Run, Hybrid Analysis) mengotomatiskan peledakan sampel dan menghasilkan laporan perilaku.

Alat-alat tersebut mempercepat triase, tetapi analisis manual yang cermat tetap dapat menemukan hal-hal yang terlewat oleh otomatisasi, terutama pada sampel yang melakukan pengelakan.

Analisis statis dan dinamis saling melengkapi. Analisis statis mengungkap kemampuan dan memberikan petunjuk; analisis dinamis mengonfirmasi apa yang benar-benar dijalankan.

Analis biasanya bergantian menggunakan keduanya: string yang ditemukan secara statis membantu menentukan hal yang perlu diamati secara dinamis, sedangkan perilaku yang diamati mengarahkan kembali ke kode yang perlu dibaca di disassembler.

Ingat kembali langkah keselamatan utama sebelum meledakkan perangkat lunak berbahaya.

Sekarang Anda memahami analisis dinamis perangkat lunak berbahaya:

• Jalankan sampel di VM terisolasi dengan snapshot bersih dan jaringan yang disimulasikan.
• Pantau dengan Procmon, Process Explorer, dan Wireshark + INetSim.
• Kumpulkan IOC dan identifikasi mekanisme persistensi.
• Amati trik pengelakan anti-analisis.

Selanjutnya Anda akan membaca kode itu sendiri melalui disassembly.