Automasi Forensik Memori berbasis Volatility dan YARA untuk Deteksi Ransomware

Abstract

Banyaknya insiden serangan malware yang terjadi saat ini, menuntut adanya proses digital forensik yang cepat dan akurat. Penelitian ini mengusulkan teknik automasi forensik file memori untuk triase proses malware, dengan studi kasus sampel memori yang terinfeksi ransomware WannaCry dan Teslacrypt. Metodologi dimulai dengan akuisisi memori dari sistem yang terinfeksi WannaCry dan Teslacrypt. Volatility 3 digunakan untuk mengekstraksi daftar proses dan mengidentifikasi proses mencurigakan atau anomali berdasarkan indikator seperti hubungan parent-child yang tidak wajar, path eksekusi yang tidak semestinya, serta nama proses yang tidak dikenal. Proses mencurigakan kemudian diekstraksi menggunakan kemampuan file dumping Volatility 3. Hasil dump dipindai dengan YARA rule yang tersedia di publik (open source) untuk mendeteksi pola dan tanda malware yang sudah dikenal. Untuk memperkuat hasil analisis, berkas yang terdeteksi di-hash dan diverifikasi lebih lanjut melalui VirusTotal, sehingga dapat dibandingkan dengan basis data antivirus serta intelijen ancaman publik. Semua proses di atas dikemas dalam sebuah shell skrip yang siap dijalankan. Kontribusi utama penelitian ini adalah proses automasi triase proses malicious dengan menjalankan satu skrip. Hasil pengujian pada sampel file memori yang digunakan, skrip ini dapat mendeteksi proses malware dengan cepat (<10 menit) dengan hasil akurasi rata-rata lebih dari 97%, dan efisiensi triase rata-rata kurang dari 3%.