Praktikum Forensik Memori

Skenario Kasus: “Operasi Tangkap Tangan Sindikat”

Setelah jejak tersangka pada pertemuan sebelumnya berhasil diinvestigasi , tim agen forensik berhasil menggerebek sebuah safehouse. Tersangka utama berhasil ditangkap saat komputernya masih menyala dan dalam kondisi login.

Sesuai SOP Forensik, mencabut kabel power akan menghilangkan semua bukti krusial di RAM (seperti password, koneksi aktif, dan riwayat terminal). Tim kalian ditugaskan untuk melakukan Live Acquisition dan membedah memori (RAM) dari laptop tersangka! Memori forensik membutuhkan environment khusus. Pastikan tools ini terpasang dan berjalan:

1. DumpIt atau FTK Imager (Untuk menangkap/merekam RAM).
2. Volatility Framework atau versi linux  (untuk versi 3 harus unduh paket symbol resmi terlebih. Petunjuk tambahan untuk volatility3 liat di bagian paling bawah setelah misi5)
3.  Hexed atau  HxD Hex Editor (Untuk Misi 5).

Misi 1: Live Acquisition (Akuisisi Memori)

Sebelum menyentuh barang bukti kasus, kalian harus membuktikan bahwa kalian bisa mengekstrak RAM dengan benar pada mesin kalian sendiri.

1. Jalankan tools DumpIt atau fitur Capture Memory pada FTK Imager di laptop fisik/Virtual Machine kalian atau Dumpit for linux.
2. Simpan file dump memori tersebut (biasanya berekstensi .raw, .mem, atau .dmp).
3. Berapa ukuran file RAM dump yang dihasilkan?

Misi 2: Profiling Sistem Target

Penyidik menyerahkan file pertama hasil rekaman RAM dari laptop tersangka di TKP.

Barang Bukti:
https://drive.google.com/file/d/1ZdxxQ_NiPuvUFjOKnQUlNG6DaStGphxd/view?usp=sharing

Instruksi: Gunakan Volatility untuk analisa file tersebut.

1. Jalankan plugin windows.info (Vol 3).
2. Jalankan plugin pencarian proses aktif seperti pslist atau pstree.
3. Apa Sistem Operasi (OS) yang digunakan tersangka?
4. Laporkan proses apa saja yang sedang berjalan saat memori di-dump! (Process Name beserta PID-nya)

Misi 3: Mengungkap Jejak Terminal

Dari Misi 2, kalian melihat ada proses cmd.exe yang aktif. Tersangka diduga sempat mengetikkan beberapa perintah ke server rahasianya sebelum ditangkap.

Barang Bukti: [Gunakan file dari Misi 2]

Instruksi:

a. Ekstrak seluruh perintah (command) yang diketikkan oleh tersangka!

b. Apa perintah terakhir yang ia eksekusi sebelum agen menggerebek kamarnya?

Misi 4: Ekstraksi Data Kritis (The Cyber Heist)
Agen lapangan menemukan salinan RAM dari laptop rekan tersangka (pelaku kejahatan siber). Diduga ia baru saja melakukan transaksi ilegal.
Barang Bukti: https://drive.google.com/file/d/1Q-WXtXYvgWg2x1kb-lqZPsIGqKPiBcSp/view?usp=sharing  

Instruksi: File RAM menyimpan semua yang tampil di layar (teks murni). Kalian bisa menggunakan Volatility (plugin yarascan/strings) atau secara manual mengekstrak teks dengan perintah strings namafile.raw > string_ram.txt lalu memfilternya dengan grep.
Cari pola (pattern) dari URL, Email, dan Kartu Kredit.

Laporkan bukti kejahatan berikut:
3 Website yang sedang/pernah dikunjungi tersangka!
3 Nomor Kartu Kredit (Credit Card) yang berhasil dicuri!
3 Alamat Email yang digunakan untuk bertransaksi!

Misi 5: Dekripsi Payload Berbahaya (File Signature)

Di dalam laptop tersangka, ditemukan 6 file berekstensi .txt. Namun saat dibuka, isinya hanya karakter aneh. Tersangka sengaja mengubah ekstensinya untuk mengelabui antivirus.

Barang Bukti:

https://drive.google.com/file/d/1ZyExD14962KErEtIiO8qW74fsXqwrXsR/view?usp=sharing

Instruksi:

1. Buka keenam file tersebut menggunakan HxD Hex Editor.
2. Periksa Magic Number (4 hingga 8 byte pertama) di kolom Hex.
3. Cocokkan hex code tersebut dengan File Signature Catalog di internet.
4. Pertanyaan Laporan: Buat tabel berisi: Nama File Awal, Magic Number (Hex), Ekstensi Asli, dan Jenis File (misal: Gambar/Dokumen/Archive).

Petunjuk instalasi tambahan untuk volatility v3:

1. Unduh paket symbol resmi dahulu pada tautan berikut: https://downloads.volatilityfoundation.org/volatility3/symbols/windows.zip .
2. Setelah diunduh, JANGAN DIEKSTRAK! Biarkan file tersebut tetap berbentuk .zip.
3. Pindahkan file windows.zip tersebut ke dalam direktori instalasi Volatility 3 Anda, tepatnya di dalam sub-folder symbols.
4. Struktur foldernya harus terlihat seperti ini: volatility3/symbols/windows.zip

Petunjuk Misi 1: Live Acquisition (Merekam RAM)

Langkah-langkah:

1. Unduh dan jalankan program DumpIt.exe (Jalankan sebagai Administrator / Run as Administrator).
2. Akan muncul jendela terminal (Command Prompt) berwarna biru.
3. DumpIt akan bertanya apakah Anda ingin memproses ekstraksi RAM. Tekan tombol y (Yes) dan tekan Enter.
4. Tunggu beberapa menit hingga proses selesai.
5. File image RAM (dengan ekstensi .raw atau .dmp) akan muncul di folder yang sama dengan tempat DumpIt berada. File ini ukurannya akan sama persis dengan jumlah RAM di laptop kalian!

Petunjuk untuk Misi 2: untuk volatility3

Langkah 1: Cek Informasi Windows (windows.info)

python vol.py -f Image_Misi_2.raw windows.info

Langkah 2: Melihat Daftar Proses (windows.pslist / windows.psscan)

python vol.py -f Image_Misi_2.raw windows.pslist

Cari program cmd.exe dan catat PID-nya. Jika ingin melihat struktur pohon, gunakan perintah windows.pstree

Petunjuk Misi 3: Mengungkap Jejak Terminal

Mengekstrak ketikan perintah (Command Line). untuk volatility3:

Langkah 1: Ekstraksi Riwayat Ketikan (windows.cmdline / windows.cmdscan)

Bash

python vol.py -f Image_Misi_2.raw windows.cmdscan

atau untuk melihat argumen saat program dijalankan:

Bash

python vol.py -f Image_Misi_2.raw windows.cmdline

Langkah 2: Ekstraksi Tampilan Layar Terminal

# 1. Pastikan sudah mencatat PID dari cmd.exe (Misal PID-nya 1234)
# 2. Dump memori proses tersebut
python vol.py -f Image_Misi_2.raw windows.memmap --dump --pid 1234

# 3. Hasilnya adalah file dengan nama berakhiran .dmp
# 4. Gunakan strings untuk membacanya 
strings pid.1234.dmp > hasil_cmd.txt

Petunjuk Misi 4: Ekstraksi Data Kritis (The Cyber Heist)

Langkah 1: Konversi RAM menjadi Teks (strings)

strings Image_Misi_4.raw > ram_teks.txt

Langkah 2: Mencari Data Menggunakan grep

Mencari Website:

grep -i “http://” ram_teks.txt

atau

grep -i “www.” ram_teks.txt

Mencari Alamat Email:

grep -i “@gmail.com” ram_teks.txt

Mencari Nomor Kartu Kredit:

grep -E -o “[0-9]{4}-[0-9]{4}-[0-9]{4}-[0-9]{4}” ram_teks.txt

Petunjuk misi5

Langkah-langkah:

1. Buka aplikasi HxD (Hex Editor).
2. Tarik (Drag and Drop) salah satu file barang bukti yang berekstensi .txt ke dalam HxD.
3. Perhatikan kolom Hex (deretan angka dan huruf di sebelah kiri).
4. Lihat 4 hingga 8 byte (pasangan angka/huruf) pertama di baris paling atas. Ini adalah Magic Number a file tersebut.
5. Buka browser internet, cari “List of File Signatures” (misalnya di Wikipedia atau Gary Kessler).
6. Cocokkan byte pertama yang kalian temukan di HxD dengan tabel di internet.
   • Contoh: Jika tertulis FF D8 FF E0, berarti itu adalah file .jpg atau .jpeg.
   • Contoh: Jika tertulis 25 50 44 46, berarti itu adalah file .pdf.
7. Tutup HxD. Rename (Ubah Nama) file barang bukti tersebut dengan mengganti .txt menjadi ekstensi yang benar. Buka file tersebut dan lihat apa isinya!

Buat laporan dan upload ke GCR!

Have Fun!