Hide and Seek di Dalam Kernel
Rootkit punya cara yang cukup unik untuk menyembunyikan proses. Salah satunya bernama DKOM, singkatan dari Direct Kernel Object Manipulation. Basically, rootkit mengubah struktur data kernel secara langsung, misalnya dengan melepas sebuah proses dari daftar proses aktif. Prosesnya sendiri masih berjalan, cuma nggak muncul lagi di Task Manager atau ps.
Dari situ muncul pertanyaan yang bikin aku lanjut baca materinya: kalau daftar prosesnya sudah dimanipulasi, gimana cara membuktikan bahwa ada yang disembunyikan? Jawabannya ada di memory forensics. Tulisan ini catatan dari apa yang aku pelajari, jadi mungkin ada bagian yang masih dangkal.
RAM itu menyimpan banyak hal
Memory forensics adalah analisis isi RAM untuk melihat apa yang sedang atau pernah berjalan di sebuah sistem. Menurut materi, di sana ada daftar proses lengkap dengan hubungan induk-anaknya, command line, dan library yang dimuat. Ada juga koneksi jaringan aktif, port yang mendengarkan, sampai alamat C2 yang sedang dihubungi. Artefak seperti isi clipboard, riwayat perintah, dan string URL juga bisa ditemukan, begitu juga hash atau password di memori proses seperti LSASS dan token sesi.
Low-key banyak banget ya. Dan itu alasan RAM jadi sumber bukti yang penting waktu ada insiden keamanan.
Disk dan RAM, bukan saingan
Pertanyaan pertamaku, kalau sudah ada disk forensics, kenapa masih perlu RAM? Turns out, keduanya melihat hal yang berbeda. Disk menyimpan bukti permanen seperti file, registri, dan log, tapi bukti itu bisa dihapus atau dimanipulasi, dan disk nggak memuat apa pun yang cuma berjalan di memori. RAM menggambarkan kondisi sistem saat ini, termasuk kode yang nggak pernah ditulis ke disk. Tentu RAM punya keterbatasan: ia snapshot sesaat, ukurannya besar, dan butuh simbol atau profil yang cocok dengan OS-nya.
Contoh dari materi yang paling jelas buatku adalah kasus Ivanti Oktober 2026. Penyerang menghapus bukti dari log debug dan log audit Linux, jadi analisis memori dan core dump dibutuhkan untuk merekonstruksi rantai eksploitnya. Materi juga mencatat bahwa pemeriksa integritas berbasis disk bisa melewatkan modifikasi yang hanya ada di memori. Fair enough, makanya kesimpulannya keduanya saling melengkapi, dengan urutan ambil memori dulu baru disk.
Alurnya secara singkat
Ada tiga tahap: akuisisi, analisis, pelaporan. Di akuisisi, sistem diisolasi dengan memutus jaringan tapi nggak dimatikan, karena isi RAM akan hilang kalau mati. RAM diambil dulu, lalu disk, dan hash dicatat. Tools yang disebut antara lain WinPmem dan Magnet RAM Capture untuk Windows, serta LiME dan AVML untuk Linux. Dump 32 GB butuh sekitar 8 sampai 12 menit di hardware modern.
Get Adinda mirza devani’s stories in your inbox
Join Medium for free to get updates from this writer.
Di analisis, OS dan versinya diidentifikasi, lalu proses dan koneksi jaringan dienumerasi. Anomali dipilah, proses atau modul yang mencurigakan bisa di-dump, dan pencarian pola dilakukan dengan YARA dan string. Terakhir, pelaporan berisi linimasa kejadian, IOC seperti hash, IP, domain, dan nama proses, rekomendasi remediasi, dan aturan deteksi baru kalau perlu.
Tiga level rootkit
Rootkit bisa beroperasi di tiga level. User-mode berjalan di ruang pengguna, biasanya dengan mengganti atau membungkus library, dan ini yang paling mudah dideteksi. Contohnya rootkit LD_PRELOAD di Linux seperti SIXZUT. Kernel-mode berjalan dengan hak tertinggi sebagai driver atau modul kernel, jadi bisa mengubah apa yang dilaporkan OS. Materi menyebut FudModule milik Lazarus dan rootkit loader bertanda tangan Microsoft (Oktober 2026). Yang ketiga eBPF, yaitu program kecil di dalam kernel Linux lewat fitur resmi, dipakai untuk menyembunyikan aktivitas dan membutakan telemetri. Contohnya TripleCross dan Boopkit, keduanya 2022.
Make sense kalau materi menyimpulkan bahwa semakin dalam level rootkit, semakin sulit ia dideteksi dari dalam sistem yang terinfeksi. Kalau tools pemeriksanya bergantung pada bagian sistem yang sudah dimanipulasi, hasilnya ikut terpengaruh.
Cara mereka bersembunyi
Selain DKOM tadi, ada hooking, yaitu mengalihkan fungsi sistem seperti SSDT, IDT, atau fungsi library ke kode penyerang, sehingga hasil yang sampai ke tools sudah “disaring” duluan. Lalu ada LD_PRELOAD, khusus Linux, yang memaksa semua proses memuat library berbahaya lebih dulu dan menimpa fungsi pembacaan direktori atau daftar proses. Pretty interesting, karena teknik ini jalan tanpa modul kernel.
Ada juga penyamaran sebagai thread kernel dengan nama seperti kworker. Menurut materi, properti aslinya nggak bisa ditiru tanpa rootkit kernel, jadi penyamaran ini bisa ketahuan kalau diperiksa lebih teliti.
Menangkapnya dari snapshot
Karena yang diperiksa adalah snapshot memori yang sudah diambil, hasilnya nggak bergantung pada apa yang ditampilkan sistem yang terinfeksi. Materi menulis bahwa rootkit bisa memanipulasi antarmuka syscall, tapi nggak bisa mengubah snapshot yang sudah ada.
Untuk kasus DKOM, caranya cross-view: bandingkan pslist dengan psscan. Kalau proses muncul di psscan tapi nggak di pslist, berarti proses itu disembunyikan. Pola yang sama dipakai untuk driver lewat modules versus modscan dan driverscan, sambil mencari driver tanpa file atau dengan tanda tangan janggal. Hook diperiksa lewat ssdt dan callbacks di Windows atau tabel syscall di Linux, sementara malfind menandai wilayah memori yang bisa dieksekusi dan mencurigakan. Koneksi aneh dihubungkan ke prosesnya dengan netscan dan netstat. Untuk LD_PRELOAD, yang dicek adalah peta memori proses, variabel environment, dan file preload, sedangkan eBPF ditelusuri lewat program dan map-nya di memori. YARA dan string melengkapi semuanya dengan memburu pola di seluruh memori, termasuk modul yang nggak ada di disk. Aku belum mencoba satu pun secara langsung, jadi bagian ini murni dari materi.
Honestly, bagian yang paling nempel adalah gagasan bahwa Task Manager dan ps itu pada dasarnya laporan sistem tentang dirinya sendiri. Kalau sistemnya sudah dimanipulasi, laporan itu bisa nggak cocok dengan kenyataan, dan snapshot memori memberi pembanding. Materi juga menekankan bahwa semua ini bergantung pada persiapan sebelum insiden, seperti agen akuisisi, rencana respons, aturan YARA, latihan dengan Volatility 3, dan dokumentasi chain of custody supaya hasilnya bisa direproduksi. Jadi forensik memori ternyata bukan cuma soal tools, tapi juga kesiapan tim.
