Tag: Security

Buat yang lagi belajar analisa malware ada tutorial bagus dari Paul. Dia pake tools Flare-VM dari mandiant, radare2 sama idapro. Dia bagi tutorialnya dalam beberapa tulisan. Bagian pertama tentang dasar analisa malware, dia jelasin tentang analisa statik dan ngasih contoh analisa sebuah keylogger, bisa dilihat disini:

https://artik.blue/malware1

Tulisan kedua dia ngasih contoh analisa maldocs (malware yang disisipin di dokumen office). Biasanya maldoc ini eksploitasi fungsi makro. bisa dilihat disini:

https://artik.blue/malware2

Bagian berikutnya dia ngebahas tentang teknik unpacking/dekripsi malware. Dia ngasih contoh malware dridex, Salah satu malware banking. Tulisannya bisa dilihat disini:

https://artik.blue/malware3

Tulisan berikutnya masih ngebahas teknik unpacking, tapi dia ngebahas sampel yang lebih kompleks. Dia contohin pake Ramnit:

https://artik.blue/malware4

Tulisan berikutnya dia ngebahas tentang cara ngerverse sampel, buat mempelajari berbagai cara kerja malwarenya, seperti koneksi ke server command & server (CNC) dan algoritma lainnya. Contoh yang dia bahas adalah ICEID loader:

https://artik.blue/malware5

Tulisan berikutnya dia ngebahas tentang berbagai teknik injeksi. Teknik ini biasanya dipake malware buat mengelabui antivirus (evasion). Diantaranya teknik dll injection:

https://artik.blue/malware6

Tulisannya detail dan mudah dipahami. Seru banget buat yang belajar analisa malware. Kayaknya masih bakalan ada lanjutannya tulisan om paul ini. thx om Paul. Semoga Bermanfaat!

Cisa (cybersecurity and infrastructure security agency) alias badan keamanan US baru ngeluarin dokumen 2021 Top malware strains. Dokumen ini tentang malware yang paling berbahaya di tahun 2021, beserta penjelasan dan cara mitigasinya. Menurut CISA malware yang masuk list top malware 2021 adalah:

1. Agent Tesla
2. AZORult
3. Formbook
4. Ursnif
5. LokiBot
6. MOUSEISLAND
7. NanoCore
8. Qakbot
9. Remcos
10. Trickbot
11. GootLoader

Qakbot dan ursnif adalah malware lama yang sekitar 10 tahunan, sementara malware lainnya udah beroperasi sekitar 5 tahun. Qakbot dan Trickbot digunakan untuk membentuk botnet. Botnet ini seringkali dipake juga untuk serangan ransomware. Trickbot seringkali menjadi pintu masuk ransomware conti. Tahun 2021 ini ada juga phising masal dengan malware Formbook, Agent Tesla dan Remcos, dengan tema Covid tujuannya untuk mencuri data dan credential.

Penjelasan lengkap tentang malware2 diatas bisa dilihat disini:

https://www.cisa.gov/uscert/ncas/alerts/aa22-216a

Beberapa langkah pencegahan yang direkomendasikan CISA adalah:

1. Update software termasuk OS, aplikasi, firmware
2. Terapkan MFA (Multi Factor Authentication)
3. Monitor RDP (remote desktop protocol)
4. Backup data secara offline
5. Adakan training dan program kesadaran keamanan kepada user.

CISA menyediakan signature snort juga terhadap malware tersebut disana. Semoga Bermanfaat!

Ada paper menarik tentang IIS Malware. IIS disini bukannya penyanyi dangdut, tapi IIS aplikasi web server alias (Internet Information Service). Sodaraan sama apache. IIS ini punya microsoft. Paper ini ditulis oleh peneliti dari ESET, perusahaan anti virus. Malware IIS ini di amrik banyak nargetin email pemerintahan dan transksi e-commerce.

IIS ini biasanya support 2 jenis file .dll dan .net. Mereka ketemu ada 80 sampel malware berbeda yang nyerang IIS. Mereka kelompokan ke dalam 14 family.

Ada 5 jenis malware yang mereka laporkan:

1. Backdoor
2. Infostealer (kayak trojan)
3. Injector (buat ngerubah http response)
4. Proxies (buat ngerubah server IIS jadi bagian C&C server mereka
5. SEO fraud (buat ngerubah algoritma SERP dan naikin ranking search engine website)

Paper mereka udah dipresentasikan di konferensi blackhat 2021. Papernya bisa dilihat pada link berikut:

Penjelasan di blog mereka tentang IIS malware bisa dilihat disini:

https://www.welivesecurity.com/2021/08/06/anatomy-native-iis-malware/

Video presentasinya bisa dilihat disini:

Semoga Bermanfaat!

Saya baru nemu tools mobile audit. Tools ini bisa dipake untuk nguji apk android. Jadi bisa digunakan untuk analisa malware apk itu, kemudian melakukan analisa statik, sama ada penjelasan tentang secure coding. Tools ini udah nyambung juga ke virustotal, malwareDB dan maltrail

Toolsnya bisa dilihat disini:

https://github.com/mpast/mobileAudit

Tools ini yang buat dari owasp. Penjelasan tentang tools ini di web owasp bisa dilihat disini:

https://owasp.org/www-project-mobile-audit/

Semoga Bermanfaat!

Buat yang lagi belajar atau neliti tentang malware, ada kumpulan paper deteksi malware dari vx-underground. Papernya sebagian besar jenis whitepaper, bukan paper academic. Jadi lebih manusiawi lah buat dibaca dan dipelajari. Tapi ada juga sih paper research. Mereka bagi jadi 2 kategori:

1. AV-Tech
2. Malware analysis

AV-tech ini isinya tentang macam2 teknologi deteksi malware dan teknik evasion. Kalo malware analysis, tentang hasil analisa malware terhadap 1 macam malware. Ada banyak banget hasil analisa malwarenya, diurut berdasarkan tanggal. Silahkan dilihat paper2nya pada link berikut:

https://www.vx-underground.org/malware_defense.html#malware_analysis

Semoga Bermanfaat!

Buat yang belajar analisa malware, ada tutorial bagus tentang reverse engineering malware. Tutorial ini disusun oleh hacker arise. Dibagi dalam 12 tulisan berikut ini:

1. Alasan untuk belajar reverse engineering malware
2. Tentang Reverse Engineering malware oleh CIA
3. Dasar reverse engineering malware
4. Dasar Assembler
5. Pengenalan IDA-Pro
6. tentang windows internal
7. Tentang ollyDbg
8. setting tools untuk analisa dinamis
9. tools reverse
10. tentang Ghidra
11. Lanjutan Ghidra
12. Analisa wannacry pake ghidra

Silahkan dicoba, tutorialnya lumayan jelas langkah2nya. Tutorial lainnya ada dari Dr. Fu bisa dilihat disini:

Setelah sebelumnya ada peneliti korea yang berhasil membuat decryptor ransomware hive versi 1-4, sekarang ada peneliti yang merilis ransomware hive v5 keystream decryptor. Decryptor ini dibuat oleh reecdeep. Menurut dia hive v5 ini ditulis pake RUST, dan memiliki beberapa kemiripan dengan ransomware babuk. Kemiripannya yaitu pada algoritma key exchange, daftar process yang ditutup sebelum menjalankan 1256 thread enkripsi.

Di sistem korban, hive generate dua kunci cleartext, dia pake API QueryPerformanceCounter untuk time counter, dan QueryPerformanceFrequence untuk performance counter. Decryptornya bisa dilihat pada link berikut:

https://github.com/reecdeep/HiveV5_keystream_decryptor

Disana ada 2 folder, raw code sama versi optimized. Kemudian dijelaskan juga mekanisme proteksi yang dipake hive 5 ini. Dia melakukan 2 ronde enkripsi.

1. Generate 32 bytes private key, menggunakan algorithma yang sama untuk membuat kunci pada setiap byte;
2. Menggunakan algoritma Curve25519 elliptic curve untuk Diffie-Hellman key exchange, Hive menurunkan public key dari private key yang baru digenerate;
3. Menggunakan Curve25519, Hive menggenerate sebuah shared key dari private key yang baru digenerate dan Hive public key yang berhubungan (berubah2 pada setiap artefak Hive v5);
4. Generate 24 bytes nonce, kayak IV, menggunakan algorithm yang sama untuk private key dan cleartext key;
5. Menggunakan algoritma HChaCha20, kunci untuk encrypsi cleartext generated key diturunkan;
6. dari kunci pada step 5 dan nonce pada step 4, Hive mengencrypt cleartext key menggunakan XChaCha20 algorithm. Proses ini menghasilkan juga 16 bytes MAC (Message Authentication Code) untuk memastikan integrity dari proses enkrypsi

Semoga Bermanfaat!