Ancaman Windows dan Linux: Analisis Malware di Sandbox

Sandbox malware memainkan peran penting dalam keamanan siber dengan menyediakan lingkungan terkendali untuk menganalisis file dan URL mencurigakan dengan aman. Mari kita lihat lebih dekat aplikasi spesifik dari sandbox untuk sistem Windows dan Linux untuk melihat seberapa serbagunanya mereka dalam mendeteksi serta memberikan pemahaman yang lebih baik tentang ancaman malware dan phishing.

Malware Windows dan Linux Semakin Meningkat

Dari trojan klasik dan ransomware hingga jaringan botnet yang luas, rootkit tersembunyi, dan cryptojacking yang menguras sumber daya, dunia malware Windows dan Linux sangat beragam dan kompleks. Tren ini tidak menunjukkan tanda-tanda melambat, dengan IBM melaporkan peningkatan malware Linux yang mengejutkan sebesar 40% hanya pada tahun 2020.

Menavigasi lanskap yang terus berkembang ini membutuhkan seperangkat alat yang kuat yang memungkinkan para profesional keamanan untuk memperoleh wawasan berharga tentang ancaman dengan cepat dan efisien. Artikel ini mengeksplorasi bagaimana sandbox malware dapat menjadi salah satu alat tersebut, membantu mereka menyelidiki skenario malware umum di Windows dan Linux serta menyederhanakan pekerjaan mereka.

Apa itu Sandbox Analisis Malware Interaktif?

Kotak pasir malware interaktif adalah lingkungan yang dikendalikan oleh analis di mana kode yang mencurigakan dapat dibedah, dimanipulasi, dan diamati dalam mesin virtual yang dikontrol.

Tidak seperti sandbox otomatis, analis memiliki kendali mendalam, menyesuaikan pengaturan, mensimulasikan kondisi jaringan, dan menjalankan tugas dengan konfigurasi berbeda untuk mengungkap perilaku malware yang sulit ditemukan.

Pendekatan praktis ini memungkinkan mereka untuk mengekstrak Indikator Kompromi (IOC) yang berharga yang mungkin terlewat oleh analisis otomatis.

ANY.RUN adalah salah satu contoh sandbox analisis malware interaktif, yang tersedia sejak 2016.

Melihat Konfigurasi Malware Windows ZLoader Baru

Zloader diluncurkan di ANY.RUN

ZLoader, sebuah trojan perbankan yang terkenal, baru-baru ini muncul kembali dengan dua versi baru (2.1.6.0 dan 2.1.7.0) setelah penutupan besar pada tahun 2022. Selain taktik penghindaran baru, seperti kode sampah dan obfuscation string, versi-versi ini memiliki konfigurasi yang dienkripsi dan algoritma generasi domain yang diperbarui yang menambahkan lapisan kompleksitas ekstra bagi para analis ketika mencoba mengekstrak informasi yang berguna dari sampel yang ada.

Konfigurasi ZLoader

Namun, berkat sandbox malware, proses dekripsi konfigurasi Zloader dapat dipangkas menjadi hanya beberapa detik. Cukup dengan menjalankan sampel ZLoader di dalam sandbox, analis dapat mengekstrak informasi penting seperti server C2 langsung dari konfigurasi malware tersebut.

Mendeteksi Botnet Mirai yang Menargetkan Linux dengan Aturan Suricata

Botnet Mirai dijalankan di ANY.RUN

Mirai adalah botnet terkenal yang memanfaatkan kelemahan keamanan pada berbagai protokol. Botnet ini menggunakan daftar kredensial default umum untuk memindai dan menginfeksi perangkat yang rentan.

Dalam contoh ini, sandbox memperlihatkan aktivitas botnet Mirai.

Aturan Suricata yang digunakan untuk mendeteksi Mirai

Karena aktivitas ini berbasis jaringan, kita dapat menyelidiki aturan Suricata mana yang dipicu dan melihatnya di tab Aturan.

Menganalisis Rantai Eksekusi Malware Berbasis Windows Remcos

Remcos adalah trojan akses jarak jauh lain yang digunakan untuk mendapatkan akses dan kendali yang tidak sah atas komputer yang terinfeksi. Baru-baru ini, trojan ini telah didistribusikan oleh para penyerang sebagai bagian dari kampanye steganografi, memanfaatkan gambar untuk distribusi malware.

Remcos dianalisis di ANY.RUN

Saat menganalisis salah satu sampel tersebut di sandbox, kita dapat melihat bagaimana rantai infeksi Remcos dimulai dari dokumen .xls sederhana yang, setelah dibuka, memicu penyebaran Dbatloader, yang akhirnya menanamkan Remcos di sistem.

Perubahan registri Remcos

Sandbox ini juga memberikan pandangan mendalam tentang setiap proses yang diluncurkan selama eksekusi, termasuk perubahan registri yang terkait dengannya.

IOC Remcos

Sandbox juga menampilkan jendela dengan indikator kompromi (IOC) yang dapat dikumpulkan dan digunakan oleh analis.

Membongkar Penambang Linux

Penambang adalah program jahat yang tujuannya memanfaatkan sumber daya sistem yang terinfeksi untuk menambang cryptocurrency dan berpotensi melakukan aktivitas berbahaya lainnya.

Indikator beban CPU dan RAM di ANY.RUN

Dengan mengunggah sampel penambang ke sandbox, sifat berbahayanya menjadi jelas.

Penggunaan CPU meningkat hampir segera setelah diluncurkan, menunjukkan aktivitas pemrosesan yang intens, sementara program ini juga membutuhkan RAM yang cukup besar, yang lebih jauh menunjukkan operasi yang membutuhkan sumber daya tinggi.

Koneksi penambang Linux

Penambang menghasilkan hampir 300.000 permintaan DNS ke berbagai nama domain dalam waktu kurang dari 4 menit, yang menunjukkan adanya komunikasi jaringan yang luas.

Pengamatan ini, yang dikumpulkan dalam lingkungan terkendali dari sandbox malware, menggambarkan dengan jelas niat jahat sang penambang.

Melihat Aturan Suricata untuk Malware Windows Gh0st RAT

Aturan Suricata yang digunakan untuk deteksi Gh0st RAT

Trojan akses jarak jauh yang banyak digunakan, Gh0st RAT, telah digunakan oleh penyerang dalam berbagai serangan terhadap organisasi di seluruh dunia. Mengingat saluran distribusi utama malware ini adalah email phishing, memastikan langkah-langkah yang tepat untuk mencegah pembukaan lampiran secara tidak sengaja sangat penting.

Dengan menganalisis file yang mencurigakan dalam sandbox, analis dapat langsung mengenali malware seperti Gh0st RAT dan memperoleh akses ke informasi penting tentangnya. Misalnya, sebuah sandbox dapat menampilkan aturan Suricata yang terpicu selama eksekusi sampel Gh0st RAT, memungkinkan pengguna menyalin dan kemudian menerapkannya ke infrastruktur keamanan mereka sendiri untuk perlindungan yang lebih baik, misalnya, dengan memperbarui sistem firewall/IDS mereka.

Packet Gh0st

Selain itu, sandbox menyediakan peluang untuk analisis forensik terhadap paket yang ditangkap guna menyelidiki aktivitas malware.

Coba ANY.RUN secara gratis

ANY.RUN adalah sandbox analisis malware interaktif yang menawarkan kemampuan luas untuk menganalisis malware dan ancaman phishing. Pengguna, bahkan yang menggunakan paket gratis, dapat menikmati unggahan tanpa batas dan mempelajari secara mendalam setiap aktivitas berbahaya, serta mengumpulkan informasi ancaman yang penting.

Cobalah ANY.RUN. Daftar layanan ini menggunakan email bisnis Anda.