Untuk melakukan analisa malware selalu ada resiko komputer kita terinfeksi. Lebih parah lagi kalo sampe nyebar ke jaringan. Jadi analisa malware harus dilakukan secara hati-hati. Berikut ini ada beberapa tips analisa malware yang aman:
- Idealnya gunakan komputer yang berbeda dengan komputer yang kita pake sehari-hari.
- Kalo pake VM, Gunakan sistem operasi yang berbeda dengan host. Misalnya VM nya windows, Hostnya ubuntu
- Mesin untuk analisa malware tidak terhubung ke jaringan
- Untuk transfer file menggunakan Flash disk (USB), kasih label yang jelas agar tidak tertukar. Misalnya pake tulisan warna merah, (berbahaya!!)
- Kalo transfer malware menggunakan shared folder, setting folder di VM hanya “readable” , jangan writeable
- Untuk OS Windows, gunakan (ACL) Access Control List untuk mencegah eksekusi. Walaupun begitu untuk file dengan format .msi masih bisa melakukan unpacking ke TEMP dan melakukan eksekusi.
- Pada windows gunakan ekstensi yang non-executable misalnya .vir, .bin Untuk mengubah ekstensi file sebaiknya tidak menggunakan explorer, baiknya pake script atau pake tools ReNamer. Hal ini untuk mencegah eksekusi malware secara tidak sengaja dan mencegah eksploit exec pada PE icon loading.
- Jangan jalankan tools analisis pada host yang tidak statik secara keseluruhan. Contohnya De4Dot tidak sepenuhnya statik, tergantung pada metoda deobfuscation. Kalo gak yakin lakukan analisa pada mesin analisa dinamik
- Ketika ngeshare sample, gunakan archive terenkripsi dengan password “infected”
- Jangan pernah klik links/URL/C2 (command & control server)
- Jangan juganakan fitur seperti clipboard sharing antara VM dan host
- Gunakan fake network
Referensi:
dari thread Karsten Hahn https://twitter.com/struppigel/status/1617384467731185665