Perpustakaan Digital ITB

Anti-virtual machine (anti-VM), teknik deteksi lingkungan virtual yang digunakan malware, merupakan satu dari sekian tantangan bagi para peneliti malware untuk diatasi. Teknik ini digunakan malware untuk menghindari analisis pada lingkungan mesin virtual. Padahal mesin virtual (VM) diperlukan sebagai sarana analisis malware dalam mengamati perilaku berbahayanya. Dengan teknik ini, malware dapat mengubah perilakunya menjadi baik atau menghentikan aktivitas berbahayanya sehingga para peneliti tidak dapat melakukan analisis. Untuk mengatasinya, dipelajari teknik anti-VM pada malware untuk kemudian dibangun metode perlindungan pada VM agar terhindar dari deteksi malware. Melalui pendekatan ini, dihasilkan fakta bahwa malware mencoba menyembunyikan kehadirannya dengan lebih dulu memeriksa parameter-parameter yang menunjukkan keberadaan VM sebagai proses deteksi. Parameter tersebut ada yang diistilahkan sebagai artefak. Di antara artefak tersebut adalah filesystem, process, dan WMI. Dengan kata lain, malware akan beroperasi sebagaimana mestinya jika tidak dapat menemukan artefak tersebut ketika dijalankan. Terdapat perbedaan jenis artefak yang dideteksi malware tergantung pada hypervisor dan sistem operasi yang digunakan. Pada penelitian, ditawarkan solusi sistem pencegahan identifikasi artefak registry, alamat MAC, filesystem, proses, dan WMI pada VirtualBox dengan sistem operasi Windows melalui modifikasi. Namun, pada buku tugas akhir ini, sistem modifikasi yang dibahas hanya berfokus pada tiga artefak, yaitu filesystem, proses, dan WMI. Sistem modifikasi dirancang dan diimplementasikan menggunakan skrip Powershell yang kemudian diintegrasikan dalam bentuk file executable. Pengujian sistem dilakukan dengan menggunakan dua tool anti-VM, yaitu sems dan Pafish sehingga dapat mengetahui efektivitas sistem yang dibuat. Hasilnya menyatakan bahwa sistem berhasil melakukan modifikasi pada 21 jenis artefak filesystem, proses, dan WMI. Dari 21 artefak tersebut, sistem berhasil menyembunyikan 20 jenis artefak dari deteksi oleh tool anti-VM. Selain itu, sistem teruji dapat diaplikasikan pada Windows 7 32-bit dan Windows 10 64-bit.