FOKUS TEKNO – Pikiran manusia suka mengkategorikan sesuatu, dan malware tidak terkecuali. Kami di sini di CSO telah melakukan bagian kami: penjelas malware kami memecah malware berdasarkan cara penyebarannya ( worm yang menyebar sendiri , virus membonceng kode lain, atau Trojan yang disamarkan secara diam-diam ) serta apa yang dilakukannya pada mesin yang terinfeksi ( rootkit , adware , ransomware , cryptojacking , dan malvertising , oh my).
Daftar Isi
Anda dapat menemukan banyak jenis taksonomi teknis ini, dan tentu saja ada kegunaannya. Secara khusus, akan sangat membantu untuk membedakan berbagai jenis vektor infeksi malware daripada menyatukan semuanya sebagai “virus”, meskipun istilah tersebut sering digunakan. Tapi kita juga bisa terlalu menekankan pada pembagian semacam ini.
“Banyak terminologi yang digunakan untuk menggambarkan malware di tahun 90-an dan awal 00-an masih akurat secara teknis, tetapi mungkin kurang relevan daripada dulu,” kata Jacob Ansari, Advokat Keamanan dan Analis Tren Cyber Berkembang untuk Schellman, lembaga keamanan independen global dan penilai kepatuhan privasi.
“Sementara malware dari dekade sebelumnya diinstal pada sistem target dan kemudian dijalankan dengan sendirinya tanpa campur tangan manusia, sebagian besar kampanye serangan modern dioperasikan oleh sekelompok orang, yang biasa kita sebut aktor ancaman.
Penyerang masih berusaha menghindari deteksi dan bertahan meskipun ada pertahanan . , dan memanfaatkan berbagai bahasa pemrograman atau skrip untuk menghasilkan kode musuh mereka.”
Jadi kami bertanya kepada Ansari dan ahli keamanan lainnya tentang bagaimana mereka memecah kategori malware yang mereka tangani.
Secara umum, kami menemukan bahwa ada dua perspektif berbeda tentang taksonomi malware: Anda dapat memikirkan bagaimana virus melakukan pekerjaan kotornya (yaitu, apa yang mereka lakukan terhadap Anda), atau tentang di mana mereka cocok dengan suatu ekosistem (yaitu, apa yang mereka lakukan untuk seorang penyerang).
9 jenis virus komputer yang umum
- virus makro
- Virus polimorfik
- Virus penghuni
- Virus sektor boot
- Virus multipartit
- penetes
- Suar/muatan
- Pengemas
- Komando dan kendali
Jenis virus ditentukan oleh apa yang mereka lakukan pada Anda
Jika Anda menginginkan perspektif yang bagus tentang berbagai jenis malware, Anda dapat melakukan yang lebih buruk daripada berbicara dengan seseorang yang menulisnya untuk mencari nafkah.
Itulah pekerjaan Dahvid Schloss: dia adalah pemimpin pengelola untuk keamanan ofensif di perusahaan layanan profesional keamanan siber Echelon Risk + Cyber, di mana dia bekerja pada malware yang dimaksudkan untuk meniru aktor ancaman nyata untuk mengeksekusi platform perintah-dan-kontrol pada emulasi permusuhan perusahaannya dan keterlibatan tim merah. Dia merinci berbagai jenis virus yang bekerja dengannya berdasarkan fungsinya.
1. Macro viruses.
“Kategori ini mungkin merupakan teknik malware paling umum di dunia,” kata Schloss. “Sekitar 92% serangan eksternal dimulai dengan phishing , dan makro adalah inti masalahnya.
Makro adalah eksekusi otomatis dari penekanan tombol atau tindakan mouse yang dapat dilakukan program tanpa interaksi pengguna—biasanya, kita berbicara tentang Microsoft Word/ Makro Excel, yang dapat mengotomatiskan tugas berulang pada lembar kerja atau dokumen.”
Macro adalah jenis malware yang sangat umum. “Metode penyampaiannya dapat dipercaya, terutama jika terlihat terkait dengan pekerjaan,” kata Schloss.
“Juga, bahasa pengkodean (Visual Basic, dalam kasus Microsoft) cukup sederhana. Jadi, virus makro mengurangi jumlah keterampilan teknologi yang diperlukan untuk menulisnya.”
Lauren Pearce, pemimpin respons insiden di perusahaan keamanan cloud Redacted, setuju. “Kami terus melihat kerusakan signifikan dari malware yang tidak canggih,” katanya. “Makro dokumen Office sederhana berkuasa sebagai vektor infeksi awal.”
2. Polymorphic viruses.
“Meskipun virus makro adalah yang paling mudah untuk dikodekan, jenis ini [ virus polimorfik ] akan menjadi yang paling kompleks karena virusnya persis seperti namanya: polimorfik,” kata Schloss. “Setiap kali kode dijalankan, eksekusinya sedikit berbeda, dan biasanya setiap kali pindah ke mesin baru, kodenya akan sedikit berbeda.”
Anda harus memperlakukan semua anak Anda (atau musuh Anda) secara setara, tetapi Schloss mengakui bahwa “kategori virus ini adalah favorit saya, karena rumit dan sangat sulit untuk diselidiki dan dideteksi.”
2.Resident viruses.
Ini adalah kategori yang sangat merusak: virus tanpa tubuh yang tidak ada sebagai bagian dari file. “Virus itu sendiri sebenarnya mengeksekusi di dalam RAM host,” kata Schloss.
“Kode virus tidak disimpan dalam executable yang memanggilnya; melainkan biasanya disimpan di situs atau wadah penyimpanan yang dapat diakses web.
Executable yang memanggil kode residen biasanya ditulis sebagai non-malicious dengan maksud untuk menghindari deteksi oleh antivirus aplikasi.”
Istilah virus residen tentu saja menyiratkan adanya virus non-residen. Schloss mendefinisikan ini sebagai “virus yang terkandung dalam file yang dapat dieksekusi yang memanggilnya. Virus ini paling sering menyebar dengan menyalahgunakan layanan perusahaan.”
3. Boot sector viruses
“Kategori ini saya suka menyebutnya ‘koktail negara bangsa,'” Schloss menjelaskan. “Jenis virus ini dimaksudkan untuk memberikan pelaku ancaman dengan ketekunan yang tidak terbatas dan mendalam.
Mereka akan menginfeksi sampai ke master boot record (MBR) komputer, yang berarti bahwa bahkan jika Anda mengubah citra mesin Anda, virus akan tetap ada dan akan dapat mengeksekusi dalam memori host saat boot.
Jenis virus ini jarang terlihat di luar aktor ancaman negara-bangsa, dan hampir selalu mengandalkan eksploitasi zero-day untuk dapat mencapai level MBR atau menyebar melalui media fisik seperti USB atau hard drive yang terinfeksi.”
4. Multipartite viruses.
Sementara beberapa pengembang malware mungkin berspesialisasi, yang lain mengambil pendekatan “semua hal di atas”, menyerang di mana-mana sekaligus. “Jenis virus ini biasanya yang paling sulit untuk dikendalikan dan ditangani,” kata Schloss.
“Mereka akan menginfeksi banyak bagian dari suatu sistem, termasuk memori, file, file yang dapat dieksekusi, dan bahkan sektor boot.
Kami melihat semakin banyak virus dari jenis ini, dan jenis virus ini akan menyebar dengan cara apa pun yang mereka bisa, biasanya menerapkan berbagai teknik. untuk memaksimalkan penyebaran.”
Jenis malware ditentukan oleh apa yang mereka lakukan untuk penyerang
Cara berpikir lain tentang berbagai malware yang akan Anda temui adalah bagaimana mereka masuk ke dalam gambaran yang lebih besar dari keseluruhan serangan.
Ingat apa yang dikatakan Ansari Schellman di atas: malware modern disebarkan oleh tim, dan virus itu sendiri juga dapat dianggap sebagai sebuah tim.
“Banyak kampanye malware terdiri dari serangkaian komponen, terkadang masing-masing dikembangkan secara terpisah atau bahkan bersumber dari pelaku ancaman lain,” kata Ansari. Dia memecah beberapa pemain yang berbeda:
1. Droppers.
“Malware ini dimaksudkan untuk menjatuhkan malware lain ke sistem yang terinfeksi,” kata Ansari. “Korban mungkin terinfeksi penetes dari tautan berbahaya, lampiran, unduhan, atau sejenisnya—dan biasanya tidak bertahan setelah menjatuhkan malware tahap berikutnya.”
Malware makro termasuk dalam kategori penetes, tambah Pearce dari Redacted. “Ini adalah malware yang dibuat hanya untuk tujuan mengunduh dan mengeksekusi malware tambahan.”
2. Beacon/payload.
Jenis malware ini adalah tahap selanjutnya dalam serangan. “Seringkali dipasang oleh penetes, suar, atau muatan adalah malware yang memberi sinyal kembali ke aktor ancaman untuk mengakses sarana akses yang baru dipasang,” kata Ansari. “Dari sini, penyerang dapat mengakses sistem korban melalui sarana yang dibuat oleh suar dan mengakses sistem, data yang ada di dalamnya, atau sistem lain di jaringan.”
3. Packers.
Komponen ini mengemas komponen lain, menggunakan teknik kriptografi sebagai alat untuk menghindari deteksi. “Beberapa kampanye malware canggih menggunakan serangkaian paket, bersarang seperti boneka susun,” kata Ansari. “Masing-masing berisi item yang dikemas lain, hingga muatan terakhir dapat dieksekusi.”
4. Command and control.
Setiap tim membutuhkan seorang pemimpin, dan itulah peran yang dimainkan oleh perintah dan kontrol untuk komponen malware kolaboratif ini.
“Sistem ini, terkadang disebut C&C, CNC, atau C2 , beroperasi di luar lingkungan korban dan memungkinkan pelaku ancaman untuk berkomunikasi dengan komponen lain dari kampanye malware yang diinstal pada sistem target,” kata Ansari.
“Ketika penegak hukum menargetkan aktor ancaman, mereka sering menggunakan sistem komando dan kontrol sebagai bagian dari upaya mereka untuk menghentikan ancaman.”
Mengklasifikasikan virus komputer
Pada akhirnya, taksonomi apa pun yang kita gunakan tidak boleh terlalu kaku, tetapi justru membuatnya lebih mudah untuk mengomunikasikan informasi penting tentang ancaman siber.
Dan itu berarti menyesuaikan bahasa Anda untuk audiens Anda, kata Ori Arbel, CTO CYREBRO, penyedia layanan keamanan.
“Jika saya menulis untuk CISO, mereka akan memikirkannya dari perspektif risiko,” katanya, “sementara masyarakat umum akan lebih memahami nama-nama yang umum digunakan dalam berita.
Kategorisasi virus ini disajikan dari sudut pandang apa akan paling mudah dipahami—tetapi melakukannya dengan cara itu tidak selalu mengomunikasikan tindakan terbaik yang harus diambil oleh profesional keamanan.
Jika saya menulis untuk sekelompok profesional intelijen ancaman, saya akan menggunakan istilah yang terkait dengan geolokasi dan motivasi penyerang. daripada apa yang sebenarnya dilakukan virus.”
Kami akan mengakhiri dengan satu cara terakhir untuk mengkategorikan virus, yang benar-benar hanya masuk akal dari perspektif pemburu virus itu sendiri: virus yang merupakan musuh yang layak, dan yang tidak.
“Sebagai seorang reverse engineer, saya senang dengan teka-teki membalikkan,” kata Pearce dari Redacted.
“Makro menghadirkan ancaman signifikan terhadap jaringan, tetapi tidak terlalu menyenangkan untuk dibalik. Saya menikmati sampel pembalikan yang menggunakan teknik anti-analisis untuk secara aktif melawan pembalikan.
Malware dapat menggunakan teknik anti-debugging yang mendeteksi dan merespons debugger melalui metode seperti pemeriksaan penjumlahan atau serangan waktu.
Penggunaan teknik anti-analisis menunjukkan pembuat malware yang terampil dan berfungsi untuk meningkatkan jumlah waktu di antara deteksi sampel dan ekstraksi indikator yang berguna untuk melawannya.”
Hanya karena musuh Anda adalah penjahat, bukan berarti Anda tidak bisa menghormati mereka karena memberikan kebanggaan dalam pekerjaan mereka.
