Deteksi Cepat Serangan Zero-Day

Dokumen malware yang memanfaatkan geofencing telah menjadi ancaman serius bagi keamanan siber. File-file berbahaya ini sering kali menggunakan pemicu berbasis lokasi, sehingga mendeteksi dan menanggulanginya menjadi tugas yang menantang. Namun, Analisis Ancaman Berbasis Geolokasi ( Adaptive ) menonjol dibandingkan pendekatan tradisional karena menawarkan kemampuan untuk secara akurat mensimulasikan dan memalsukan nilai geolokasi yang diharapkan, sehingga secara efektif menetralkan taktik yang digunakan oleh malware, dan pada akhirnya meningkatkan kemampuan kita dalam melindungi diri dari ancaman semacam itu.

Pada contoh yang disajikan di bawah ini, kita dapat melihat adanya malware geofencing yang berusaha berjalan secara eksklusif di dalam wilayah negara tertentu. Namun, solusi inovatif kami berhasil mengatasi pembatasan ini—seperti yang telah disebutkan sebelumnya—dengan meniru nilai geolokasi yang diinginkan, sehingga menunjukkan kemampuan unggul kami dalam menangani ancaman berbasis geofencing semacam itu.

• Deteksi Merek:Dengan menampilkan situs web yang mencurigakan dan menganalisisnya menggunakan mesin pembelajaran mesin canggih kami, kami mampu mengidentifikasi hampir 300 merek. Pada contoh di bawah ini, Anda dapat melihat sebuah situs web yang menyamar sebagai layanan streaming bernama Netflix. Solusi kami unggul dalam membandingkan konten situs tersebut dengan URL aslinya, sehingga dapat dengan cepat mengidentifikasi upaya penipuan semacam itu untuk melindungi aset digital dan informasi pribadi Anda.Pelajari lebih lanjut.
• Analisis berbasis AI:Kami memiliki solusi berbasis AI yang menganalisis lalu lintas jaringan, konten struktural, dan konten tekstual dari halaman yang ditampilkan. Kesimpulan dari hasil model gabungan tersebut dapat dilihat setelah 'ML Web Threat Model'.

Model pembelajaran mesin (ML) pendeteksi URL offline memberikan lapisan pertahanan baru dengan mendeteksi URL mencurigakan secara efektif, sehingga menawarkan cara yang andal untuk mengidentifikasi dan memitigasi ancaman yang ditimbulkan oleh tautan berbahaya. Model ini memanfaatkan kumpulan data yang berisi ratusan ribu URL, yang telah diberi label secara cermat sebagai "tidak berbahaya" atau "berbahaya" oleh penyedia layanan terkemuka, untuk mengevaluasi kelayakan pendeteksian URL mencurigakan secara akurat melalui teknik pembelajaran mesin.

Perlu dicatat bahwa fitur ini sangat berguna terutama di lingkungan yang terisolasi (air-gapped), di mana pencarian reputasi daring tidak tersedia.

Contoh di bawah ini menunjukkan sebuah malware yang dikompresi menggunakan teknik kompresi UPX. Meskipun malware tersebut berusaha menghindari deteksi dan sistem pertahanan, analisis kami berhasil mengekstrak muatannya, sehingga mengungkap identitas aslinya sebagai Trojan Dridex. Kami berhasil mengungkap konfigurasi malware tersebut, yang mengungkap niat jahat di balik ancaman ini, serta mengekstrak indikator kompromi (IOC) yang berharga.

Dengan memanfaatkan fitur Pencarian Kesamaan, sandbox telah mendeteksi sebuah berkas yang sangat mirip dengan malware yang sudah diketahui. Yang perlu diperhatikan, berkas ini sebelumnya telah ditandai sebagai berkas yang tidak berbahaya, sehingga menunjukkan adanya potensi hasil negatif palsu dalam penilaian keamanan kami. Penemuan ini memungkinkan kami untuk secara spesifik mengidentifikasi dan mengatasi ancaman-ancaman yang terlewatkan tersebut.

Penting untuk ditekankan bahwa Similarity Search sangat bermanfaat bagi penelitian dan perburuan ancaman, karena fitur ini dapat membantu mengungkap sampel-sampel dari keluarga malware atau kampanye yang sama, sekaligus memberikan IOC tambahan atau informasi relevan mengenai aktivitas ancaman tertentu.

Our disassembling engine revealed intriguing findings within the target sample. Surprisingly, this sample monitors the system time using the uncommon <rdtsc> instruction and accesses an internal, undocumented structure in Windows, commonly used for different malicious tricks. These unusual actions raise questions about its purpose and underscore the need for further investigation to assess potential risks to the system.

Sampel yang sedang diteliti ini dibuat menggunakan .NET Framework. Meskipun kami tidak menampilkan CIL yang sebenarnya, proses dekompilasi kami mengekstrak dan menyajikan informasi penting, termasuk string, artefak registri, dan panggilan ke API .

Selain itu, kami mengurai metadata .NET untuk mengidentifikasi fungsi dan sumber daya yang khas .NET. Proses ini memungkinkan kami mengekstrak informasi terperinci mengenai assembly, seperti metode, kelas, dan sumber daya yang tertanam, yang sangat penting untuk menganalisis perilaku dan struktur aplikasi .NET.

Banyak eksploit aplikasi mengirimkan muatan akhir (payload) dalam format biner mentah (shellcode), yang mungkin menjadi kendala saat mengurai muatan tersebut. Dengan emulasi shellcode yang kami kembangkan, kami dapat mengidentifikasi dan menganalisis perilaku muatan akhir tersebut; dalam contoh ini, terkait kerentanan Office yang banyak dimanfaatkan pada editor persamaan. Hal ini membuka peluang untuk mengumpulkan Indikator Kompromi (IOC) yang relevan.

Makro VBA yang disamarkan menjadi tantangan besar dalam memberikan waktu respons yang wajar terhadap ancaman aktif. Kode yang tidak jelas ini menjadikan analisis dan pemahaman terhadap ancaman sebagai tugas yang sangat rumit, yang membutuhkan banyak waktu dan upaya. Teknologi emulasi VBA mutakhir kami mampu mengatasi tantangan-tantangan ini dan memberikan analisis komprehensif terhadap makro VBA yang disamarkan beserta wawasan yang jelas mengenai fungsinya dalam hitungan detik.

Sampel yang dianalisis adalah dokumen Excel yang berisi kode VBA yang sangat disamarkan, yang menanam dan menjalankan berkas DLL .NET, bersama dengan berkas LNK yang bertugas melanjutkan rantai eksekusi malware tersebut. Setelah emulasi VBA, MetaDefender Aether mengidentifikasi proses yang diluncurkan dan fungsi deobfuscating utama, secara otomatis mengekstrak string yang disamarkan, serta menyimpan berkas yang ditanam (yang sebelumnya telah dikodekan secara statis dan dienkripsi dalam kode VBA). Hal ini dengan cepat memperlihatkan tujuan utama malware tersebut dan memberi kami kemungkinan untuk melakukan analisis lebih lanjut terhadap ancaman ini.

Penggunaan Windows Task Scheduler untuk menjalankan muatan berbahaya di kemudian hari merupakan teknik terselubung yang digunakan untuk menghindari lingkungan sandbox, sebagaimana terlihat pada ancaman-ancaman terkini. Teknik ini memanfaatkan penundaan dalam eksekusi untuk secara efektif melewati jendela analisis singkat yang umumnya terdapat pada sandbox.

Contoh berikut adalah kode VBScript yang telah diobfuskasi, yang mengunduh muatan berbahaya dan membuat tugas terjadwal untuk menjalankannya 67 menit kemudian. Sandbox tradisional hanya mempertahankan eksekusi selama beberapa menit saja, sehingga perilaku berbahaya tersebut tidak akan pernah terdeteksi. Di sisi lain, emulator VBScript kami mampu mendeteksi dan mengatasi teknik pengelakan ini (T1497), dengan menyesuaikan lingkungan eksekusi untuk melanjutkan analisis lebih lanjut, serta menghasilkan laporan lengkap dalam waktu 12 detik.

NET Reflection adalah fitur canggih yang disediakan oleh .NET Framework yang memungkinkan program untuk memeriksa dan memanipulasi struktur file serta perilaku .NET pada saat runtime. Fitur ini memungkinkan pemeriksaan terhadap assembly, modul, dan tipe, serta kemampuan untuk membuat instance tipe secara dinamis, memanggil metode, dan mengakses bidang serta properti.

Malware dapat memanfaatkan refleksi untuk memuat dan menjalankan kode secara dinamis dari assembly yang tidak dirujuk pada saat kompilasi, sehingga memungkinkan untuk mengambil muatan tambahan dari server jarak jauh (atau yang tersembunyi di dalam file tersebut) dan menjalankannya tanpa menyimpannya ke disk, sehingga mengurangi risiko terdeteksi.

Dalam hal ini, kita dapat melihat bagaimana skrip VBScript yang dianalisis memuat dan menjalankan sebuah assembly .NET ke dalam memori secara langsung dari byte-byte yang tersimpan dalam register Windows.

Fitur ini memungkinkan pengungkapan artefak tersembunyi yang dienkripsi di dalam sumber daya PE. Artefak berbahaya sering kali dienkripsi untuk menghindari deteksi dan menyamarkan tujuan sebenarnya dari sampel tersebut. Mengungkap artefak-artefak ini sangat penting, karena biasanya artefak tersebut berisi data kritis (seperti informasi C2) atau muatan. Dengan mengekstraknya, sandbox dapat melakukan pemindaian yang lebih mendalam, sehingga peluang untuk mengidentifikasi IOC yang paling berharga pun menjadi lebih besar.

Contoh ini menyimpan artefak-artefak terenkripsi tersebut menggunakan algoritma XOR, yang sederhana namun efektif untuk menghindari deteksi. Dengan menganalisis pola-pola dalam data terenkripsi, kunci enkripsi dapat ditebak, sehingga memungkinkan untuk mendekripsi data yang tersembunyi.

Para penyerang memanfaatkan teknik penggabungan arsip untuk menyembunyikan malware dengan menggabungkan beberapa arsip menjadi satu berkas, memanfaatkan perbedaan cara berbagai alat memproses arsip tersebut. Teknik ini menghasilkan beberapa direktori utama—elemen struktural kunci yang digunakan oleh pengelola arsip—yang menyebabkan ketidaksesuaian selama proses ekstraksi dan memungkinkan konten berbahaya yang tersembunyi di bagian-bagian arsip yang terlewatkan untuk lolos dari deteksi.

MD Sandbox mendeteksi dan mengekstrak konten dari semua arsip yang digabungkan, memastikan tidak ada file yang terlewatkan dan secara efektif menetralkan teknik pengelakan ini.

Pelaku ancaman secara sengaja membengkakkan ukuran file eksekusi dengan data sampah untuk menghindari deteksi dengan memanfaatkan keterbatasan sumber daya dan batasan waktu analisis di sandbox. Teknik pengelakan ini bertujuan untuk membebani alat-alat tersebut atau menghindari pemindaian dengan melampaui batas waktu yang ditetapkan.

MD Sandbox mendeteksi file eksekusi yang membengkak sejak dini, menghapus data sampah, dan memproses file yang lebih kecil untuk analisis yang efisien. Proses pengurangan ukuran file ini menargetkan berbagai metode, termasuk data sampah dalam overlay, bagian PE, dan sertifikat, sehingga memastikan deteksi yang akurat sekaligus mempertahankan sumber daya asli.

Dokumen Office ini menargetkan infrastruktur penting di Iran (dengan konten dalam bahasa Persia) untuk mencuri informasi sensitif, seperti kredensial dan dokumen, serta secara berkala mengambil tangkapan layar, yang kemungkinan besar untuk tujuan spionase.

Setelah memastikan koneksi tetap terjaga, sistem ini melakukan pemeriksaan konektivitas internet awal secara tersembunyi (terhadap domain tepercaya seperti google.com) untuk memastikan koneksi yang andal, sekaligus menunda tindakan selanjutnya hingga kondisi jaringan memungkinkan serangan dilanjutkan. Ini adalah taktik yang sering diamati dalam serangan terhadap infrastruktur kritis, yaitu lingkungan di mana akses internet mungkin tidak stabil atau dibatasi.

Para peneliti menemukan dokumen OOXML (dokumen perkantoran modern) yang sengaja dirusak. Dengan memodifikasi konten biner di sekitar header internal berkas, berkas-berkas yang sengaja dirusak tersebut dapat salah terdeteksi sebagai berkas ZIP oleh pemindaian otomatis, yang kemudian akan mencoba mengekstrak berkas-berkas terkompresi tersebut.

Penampil dokumen akan secara otomatis memperbaiki dokumen tersebut saat dibuka. Pada tahap ini, meskipun dokumen tersebut berisi konten phishing, dokumen tersebut mungkin telah berhasil melewati sistem pertahanan. Analisis otomatis tidak akan dapat membaca isinya dan karenanya akan melewatkan indikator-indikator yang relevan.

Mekanisme otentikasi email seperti SPF, DKIM, dan DMARC memang sangat penting, namun penyerang yang canggih terkadang dapat mengelabui sistem tersebut. Contoh ini menggambarkan skenario di mana sebuah email, meskipun telah ditandatangani secara sah oleh Google dan lolos dari pemeriksaan standar, tetap teridentifikasi sebagai email berbahaya oleh Aether dari MetaDefender .

MetaDefender Aether mendeteksi beberapa anomali beserta indikator-indikator lainnya:

• Pelanggaran Batas DKIM: Terdeteksi adanya konten yang ditambahkan di luar cakupan tanda tangan DKIM.
• Teknik Obfuskasi: Terdeteksi adanya spasi kosong yang berlebihan yang digunakan untuk menyembunyikan niat jahat.
• Pola Phishing: Tindakan mendesak yang menjadi ciri khas upaya phishing.
• Analisis Header: Anomali yang ditandai dalam header email yang terkait dengan penyalahgunaan aplikasi OAuth.

ClickFix adalah ancaman berbasis web yang sedang berkembang, yang memanfaatkan teknik rekayasa sosial untuk secara diam-diam membujuk pengguna agar menjalankan perintah berbahaya. Berbeda dengan phishing konvensional, ClickFix beroperasi melalui elemen antarmuka pengguna (UX) yang menipu dan manipulasi clipboard, bukan melalui pengunduhan berkas atau pencurian kredensial.

Situs web ClickFix menampilkan layar reCAPTCHA palsu atau "perlindungan bot" agar tampak sah. Pengguna kemudian diminta untuk memverifikasi identitasnya—seringkali melalui interaksi yang tampak tidak berbahaya—sementara di latar belakang, kode JavaScript yang disamarkan berjalan tanpa disadari. Skrip ini secara dinamis mendekode perintah berbahaya dan menyalinnya langsung ke papan klip sistem. Selanjutnya, pengguna disuguhi petunjuk dan panduan yang menyesatkan untuk menjalankan malware tersebut, tanpa menyadari bahayanya.

ClickFix menunjukkan bagaimana teknik web sederhana, yang dipadukan dengan taktik penipuan terhadap pengguna, dapat secara efektif melewati lapisan keamanan tradisional—sehingga analisis sandbox menjadi sangat penting untuk mengungkap serangan terselubung dengan jejak digital yang minim seperti ini.

MetaDefender Aether menganalisis ancaman ini secara menyeluruh. Sandbox dimulai dengan merender URL berbahaya dan menerapkan model deteksi phishing untuk mengidentifikasi konten yang mencurigakan. Selanjutnya, sandbox mengekstrak dan mensimulasikan kode JavaScript, meniru tindakan pengguna hingga mencapai momen kritis saat clipboard dimodifikasi. Setelah perintah tersembunyi terdeteksi, perintah tersebut disimulasikan, sehingga memungkinkan sandbox melacak alur eksekusi berbahaya secara menyeluruh. Hal ini tidak hanya mengungkap taktik berbasis clipboard, tetapi juga memperlihatkan perilaku muatan (payload) dan rantai infeksi.

Serangan rantai pasokan SolarWinds menjadi contoh bagaimana perubahan kode yang sangat kecil pada perangkat lunak tepercaya dapat memicu pelanggaran besar-besaran sekaligus mengelabui sistem pertahanan keamanan tradisional. Pelaku ancaman menyisipkan pintu belakang yang tersembunyi ke dalam file DLL yang sah, menyematkan logika berbahaya sambil tetap mempertahankan fungsionalitas aslinya. Payload tersebut berjalan secara diam-diam dalam utas paralel yang meniru komponen sah. Dengan tanda tangan digital yang valid dan perilaku yang mulus, DLL tersebut lolos dari deteksi dan memberikan akses terselubung ke ribuan korban terkemuka. Kompromi pada jalur pembangunan (build pipeline) mengubah pembaruan tepercaya menjadi sarana untuk intrusi global.

Meskipun backdoor sepanjang 4.000 baris mungkin tampak signifikan, dalam konteks kode sumber perusahaan besar, hal itu mudah terlewatkan. Di sinilah keunggulan Aether dari MetaDefender : sistem ini tidak hanya memeriksa kode, tetapi juga mengamati apa yang dilakukan perangkat lunak tersebut. Sistem ini menandai penyimpangan dari perilaku normal, sehingga mengarahkan para analis ke hal-hal yang benar-benar penting—menyaring informasi yang tidak relevan untuk menyoroti ancaman yang kemungkinan besar akan terlewatkan dalam tinjauan tradisional.