🦠 HIERARKI ANALISIS MALWARE — Dari Triage Cepat (Level 0) sampai Full Reverse Engineering (Level 4) + Bootkit Analysis (Level 5)
Setiap sampel malware masuk sebagai kotak hitam: tidak tahu apa fungsinya, bagaimana menyebar, apa yang dicuri, atau apakah berbahaya. Hirarki analisis malware adalah proses sistematis untuk membuka kotak hitam itu — dari tebakan cepat di VirusTotal, sampai pembedahan instruksi per instruksi di IDA Pro. Naik level = naik effort, tapi juga naik certainty. Untuk playbook teknis lengkap per level (alat, command, YARA, FLOSS, CAPA, Volatility), lihat malware-analysis-reverse-engineering-playbook.
Cara Baca
Level 0 = triage 10 menit — apakah ini malware? Level 4 = analisis kedalaman penuh — apa yang sebenarnya kode ini lakukan setiap instruksinya. Level 5 = analisis bootkit & firmware — sebelum OS boot. Setiap level menyaring sampel: kalau sudah cukup di Level 2 (dynamic sandbox), jangan buang waktu ke Level 4 kecuali sampelnya zero-day atau APT.
Tabel Utama — Level 0 sampai Level 5
| 🦠 Level | 🧠 Pendekatan | ⚡ Alat | ⏱️ Waktu | ☠️ Kapan Berhenti / Limitasi |
|---|---|---|---|---|
| Level 0 — Triage | Scan hash/meta ke database publik. Determine: malicious? family? behaviour preview? | VirusTotal, Hybrid Analysis, Intezer, YARA (quick scan), CAPA (capability scan) | 5–10 menit | Hash belum pernah di-scan → false negative. Packer umum → low detection. Tidak boleh stop di sini untuk sampel unknown |
| Level 1 — Static Analysis | Ekstrak info dari file tanpa eksekusi: strings, imports, exports, sections, metadata, packer detection, embedded config | PEStudio, Detect It Easy (DiE), strings, FLOSS (deobfuscated strings), Ghidra (headless), readpe, lief | 15–30 menit | Packer berat (UPX, VMProtect, Themida) → tidak bisa extract imports/strings asli. Obfuscated API hashing → tidak ketahuan fungsi. Harus unpack dulu |
| Level 2 — Dynamic Analysis (Sandbox) | Eksekusi sample di lingkungan terisolasi → amati behaviour: network, filesystem, registry, process tree, API calls | Cuckoo, CAPE, ANY.RUN, Joe Sandbox, ProcMon, Wireshark, API Monitor | 30–60 menit | Malware dengan anti-VM/sandbox detection → tidak jalan di lingkungan palsu. Time-based evasion → tidur 10 menit baru aktif. Environment-aware → cek domain user/admin |
| Level 3 — Memory Analysis | Dump RAM dari host terinfeksi → analisis artifacts: process, network connection, injected code, rootkit | Volatility 3, Rekall, LiME, winpmem, Redline | 1–2 jam | RAM corrupted kalau host crash/mati. Encrypted memory (sleep encryption EDR bypass) → tidak bisa baca. Butuh image RAM lengkap |
| Level 4 — Full Reverse Engineering | Disassemble → decompile → pahami semua logika (algoritma, C2 protocol, encryption, injection technique) | IDA Pro, Ghidra, Binary Ninja, x64dbg, GDB, Unicorn, Frida | Hari–minggu | Waktu & effort. Hanya untuk zero-day, APT tool, custom signature generation, atau memahami mekanisme spesifik. 80% kasus cukup di Level 0–2 untuk incident response |
| ☠️ Level 5 — Bootkit & Firmware Analysis | Analisis malware yang jalan sebelum OS boot: UEFI bootkit, firmware rootkit, SMM module, Option ROM | Chipsec, UEFITool, CHIPSEC, Flashrom, FCE (Firmware Comparison Engine), hardware debugger (JTAG/SWD) | Hari–bulan | Hardware access required. Firmware flash butuh fisik atau remote flash yang riskan brick. Belum ada sandbox mature untuk firmware. APT level (BlackLotus, CosmicStrand, LoJax) |
Peta Visual — Effort vs Certainty
↑ Certainty (keyakinan kita)
│
100% ──┼───────────────────────────● L4/Full RE
│ (hari-minggu)
│
75% ──┼───────────────────● L3/Memory
│ (1-2 jam)
│
50% ──┼──────────● L2/Dynamic Sandbox
│ (30-60 menit)
│
25% ──┼──● L1/Static Analysis
│ (15-30 menit)
│
0% ──┼──● L0/Triage
│ (5-10 menit)
│
└──────────────────────────────→ Effort
5 min 30 min 1 jam 1 hari 1 minggu
Anti-Analysis Techniques = Tembok Mati
Malware modern punya layer perlindungan yang sengaja menghambat tiap level:
- Anti-VM → Level 2 gagal
- Packers → Level 1 strings/imports samar
- Anti-debug → Level 4 lebih berat
- Sleep encryption (Ekko, Stackswap) → Level 3 memory dump terenkripsi
- Unkillable process (Rust/Win32 API) → handle injection lebih advanced
Untuk malware yang menunjukkan anti-analysis, harus hybrid: gabung Level 1 (detect packer) + Level 2 (sandbox khusus tanpa artifact VM standar) + Level 4 (unpack di debugger).
Kenapa Hirarki Ini Penting
1. 80% Kasus Cukup di Level 0–2
Untuk incident response sehari-hari (ransomware umum, info stealer, loader, backdoor) — triage + static + dynamic sandbox sudah cukup untuk:
- Identifikasi family malware
- Ekstrak IoC (IP, domain, file path, registry key)
- Buat containment rule (YARA, Sigma, Snort/Suricata rule)
- Remediasi (kill process, hapus persistence)
Hanya 20% kasus butuh Level 3+ — custom binary, zero-day, APT tool dengan evasion unik.
2. Anti-Analysis = Signal Kualitas Malware
Malware yang investasi di anti-analysis (packer kuat, VM detection, encrypted C2) bukan script kiddie random — biasanya:
- APT group (Nobelium, Lazarus, APT29)
- Ransomware-as-a-Service tier atas (LockBit, BlackCat)
- Cyber mercenary (Predator, Pegasus)
Deteksi anti-analysis di Level 1–2 adalah early warning: ini bukan sampel biasa.
3. YARA Rule = Output Hirarki
| Sumber Level | YARA Rule Type | Contoh |
|---|---|---|
| L0 — Triage | Hash-based | hash = "a1b2c3..." — cocok malware known |
| L1 — Static | String/pattern-based | $str1 = "Mutex_Global\\{GUID}" |
| L2 — Dynamic | Behavioural | $net = "http://evil.com/payload" |
| L3 — Memory | Memory pattern | $inj = "\\x00\\x00\\x48\\x8B\\x45" (shellcode pattern) |
| L4 — Full RE | Algorithmic/structural | Rule yang detect [algorithm specific structure] |
Lebih tinggi level sumber rule → lebih sulit di-evade oleh variant baru.
4. Dual-Use: Red Team Juga Pakai Hirarki Ini
Analisis malware = defensive reverse engineering. Tapi hirarki yang sama dipakai red team:
- L0 → Eval tool signature di VirusTotal sebelum deploy
- L1 → Obfuscate strings, encrypt config, strip imports
- L2 → Tes di sandbox publik (ANY.RUN) untuk cek deteksi
- L4 → Reverse engineer EDR/AV untuk cari blind spot (BYOVD)
Aturan: yang defensif hari ini, besok jadi ofensif — dan sebaliknya.
Plot Twists
Plot Twist 1: Sandbox Detection Makin Canggih
Malware modern cek: hostname default (WIN-*), CPU core count (<4), RAM (<4GB), disk size (<100GB), running processes (vmtoolsd.exe, procmon.exe, Wireshark), registry keys (HKLM\SOFTWARE\VMware), MAC address (00:0C:29, 00:50:56 — VMware OUI), dan sleep acceleration (sandbox fast-forward). Jika salah satu terdeteksi → malware clean exit, tidak kirim payload. Solusi: custom sandbox tanpa artifact VM, dengan hardware nyata (bukan hypervisor), atau memory analysis dari host real yang terinfeksi (Level 3).
Plot Twist 2: Memory Forensics (L3) Punya Blind Spot — Sleep Encryption
EDR evolutions: EDR inject sleep encryption (Ekko 2018, StackSwap 2020, Gargoyle 2022) — malware mengenkripsi halaman memory sendiri saat sleep cycle → memory dump di Level 3 cuma lihat ciphertext. Saat wake → decrypt and execute → EDR tetap bisa intercept API call kalau hook di kernel. Tapi untuk memory snapshot (Volatility), sangat sulit capture decrypted state tanpa timing yang tepat. Solusi: grab memory dump saat execution aktif, bukan saat idle.
Plot Twist 3: Full RE (L4) Sering Tidak Perlu — Cukup Behavioral Rule
Untuk response tim dengan tekanan waktu (ransomware aktif di jaringan), yang dibutuhkan bukan “apa yang dilakukan persis kode ini” tapi “apa yang malware ini coba capai” — dan L2 sandbox + L3 memory sudah jawab itu. Sampel boleh di-skip L4 full RE kalau:
- Family known → rule sudah ada
- IoC sudah bisa diblok → firewall, EDR, DNS sinkhole
- Tujuan: containment, bukan attribution Full RE dikerjakan paralel setelah situasi terkendali untuk signature generation.
Plot Twist 4: ART (Adversarial Resistance Techniques) — Next Frontier
2025–2026 mulai muncul penelitian tentang ML-based malware analysis yang bisa di-evade:
- Adversarial PE: modifikasi byte tanpa ubah fungsi → bypass ML classifier
- Generative malware: AI generate variant baru dengan signature beda
- YARA rule evasion: ML model detect YARA rule pattern dan mutate untuk hindari match Analisis malware harus mulai incorporate adversarial robustness — tidak hanya signature (L0), tapi behavioral invariants (L2/L3) dan semantic analysis (L4). Single static YARA rule tidak akan cukup di era AI-generated malware.
Plot Twist 5: Bootkit (L5) = Malware Paling Berbahaya
LoJax (2018) — UEFI bootkit pertama di wild. BlackLotus (2023) — UEFI bootkit yang jual di forum underground, bisa bypass Secure Boot. CosmicStrand (2022–2023) — UEFI firmware rootkit di motherboard Gigabyte/ASUS. Malware di Level 5 tidak bisa dideteksi OS karena OS belum load saat bootkit eksekusi. Format ulang drive tidak membantu — firmware di SPI flash tetap infeksi. Satu-satunya cara: reflash firmware secara fisik atau ganti motherboard.
Decision Tree — Sampel Masuk
SAMPEL MASUK (.exe, .dll, .elf, .docm, .pdf, .vbs, .ps1...)
│
▼
[L0] VirusTotal scan + YARA quick scan
│
├── Malicious known family → L0 cukup: report family + containment rule
│
├── Suspicious / unknown → lanjut L1
│
▼
[L1] Static analysis (PEStudio, DiE, strings, FLOSS)
│
├── Detected packer → unpack (manual / script) → scan ulang
├── Clear function identified (dropper, loader, info stealer)
│
▼
[L2] Dynamic sandbox (ANY.RUN, CAPE)
│
├── Malicious behavior confirmed → IoC extraction → YARA rule → containment
│
├── Behavior butuh detail → L3
│
▼
[L3] Memory analysis (Volatility)
│
├── Injected code? Rootkit? Persistence?
│
├── Custom C2? Tidak dikenal → L4
│
▼
[L4] Full RE (Ghidra/IDA)
│
├── Custom decryption → implement decryptor
├── Zero-day technique → advisory + IOC + EDR rule
│
▼
[L5] Bootkit / firmware detected → hardware team / firmware tools
(CHIPSEC, UEFITool, flashrom)
Kapan stop: kalau containment sudah bisa dilakukan dan IoC sudah di-extract, tidak perlu L4—L5 kecuali untuk threat intelligence atau attribution.
Perbandingan Level per Use Case
| Profil / Tujuan | Level Minimum | Alokasi Waktu |
|---|---|---|
| IT admin — user klik phishing | L0–L1: ID known malware | 15 menit |
| SOC analyst — alert EDR | L0–L2: triage + behaviour | 1 jam |
| IR team — ransomware aktif | L0–L3 + parallel L4 untuk decrypt | 4–24 jam |
| Threat intel analyst | L0–L4: full understanding + attribution | Minggu |
| Malware researcher | L1, L4: unpack + detail analysis | Minggu–bulan |
| RE specialis zero-day | L4: full RE | Bulan |
| Nation-state / APT investigator | L0–L5: termasuk bootkit | Bulan–tahun |
Sumber & Telusur Lebih Lanjut
- Playbook Lengkap (alat + command) → malware-analysis-reverse-engineering-playbook
- Firmware RE (analogi L5) → firmware-reverse-engineering-deepdive
- Deteksi Endpoint (EDR + memory) → endpoint-detection-playbook
- Blueteam Detection Matrix → blueteam-detection-matrix (C2 level mapping to detection)
- YARA Rule Authoring → malware-analysis-reverse-engineering-playbook section YARA
- Web Exploit (warga negara biasa) → hierarchy-offensive (privilege escalation specialist)
- Boot Chain Security → hierarchy-endpoint-security (Level -3 sampai Ring 3 + Secure Boot)
- Master Index → master-index
Hirarki analisis malware adalah proses pengeluaran biaya yang proporsional. Jangan buang satu minggu untuk full RE sampel yang cukup dikenali di 10 menit triage. Tapi jangan berhenti di triage untuk APT zero-day yang perlu custom signature. Tahu kapan berhenti = profesionalisme.
Malware Analysis Hierarchy | Level 0 (Triage) → Level 5 (Bootkit/Firmware) · Effort Eskalasi Proporsional