Tutorial Forensik Memori dengan Volatility 3: Membedah Serangan Injeksi Proses Langkah demi Langkah

Ketika sebuah insiden keamanan terjadi, banyak organisasi di Indonesia langsung mematikan server yang diduga terkompromi. Refleks ini bisa dimengerti, tetapi justru menghapus salah satu sumber bukti paling berharga: isi memori (RAM). Malware modern semakin sering beroperasi fileless, artinya kode berbahaya hanya hidup di memori dan nyaris tidak meninggalkan jejak di harddisk. Menurut Picus Red Report 2026, teknik injeksi proses (Process Injection, kode MITRE ATT&CK T1055) muncul pada 80% dari sepuluh teknik malware yang paling sering digunakan, dan serangan jenis ini melonjak sekitar 78% sejak 2024. Artinya, kemampuan membaca memori bukan lagi keahlian opsional bagi tim keamanan.

Artikel ini adalah tutorial praktis menggunakan Volatility 3, kerangka kerja forensik memori sumber terbuka yang menjadi standar industri. Kita akan menelusuri alur investigasi nyata: dari mengenali sistem yang dianalisis, memetakan proses yang berjalan, hingga menemukan kode berbahaya yang disuntikkan ke proses yang tampak sah. Semua langkah dirancang agar bisa Anda ikuti di lingkungan laboratorium sendiri.

Mengapa Memori Adalah Bukti yang Rapuh

Dalam forensik digital, ada konsep urutan volatilitas (order of volatility) yang diatur dalam RFC 3227 dan diperkuat oleh panduan NIST SP 800-86 tentang integrasi teknik forensik ke dalam respons insiden. Prinsipnya sederhana: kumpulkan bukti dari yang paling mudah hilang ke yang paling awet. Isi RAM, tabel koneksi jaringan, dan proses yang sedang berjalan berada di puncak daftar karena semuanya lenyap begitu daya listrik dicabut.

Konsekuensinya, langkah pertama dalam banyak investigasi bukanlah mencabut kabel, melainkan mengambil memory dump terlebih dahulu (misalnya dengan WinPmem, DumpIt, atau FTK Imager). Setelah citra memori diperoleh, wajib dihitung nilai hash-nya, umumnya SHA-256, untuk menjaga integritas barang bukti. Di Indonesia, integritas dan keaslian informasi elektronik ini sangat penting karena UU ITE dan PP No. 71 Tahun 2019 mensyaratkan bukti elektronik dapat dipertanggungjawabkan keasliannya. Rantai pengawasan barang bukti (chain of custody) harus terdokumentasi rapi sejak detik pertama.

Aturan emas: jangan pernah menganalisis barang bukti asli. Selalu bekerja pada salinan, dan verifikasi bahwa hash salinan identik dengan aslinya sebelum analisis dimulai.

Menyiapkan Volatility 3

Volatility 3 (versi stabil terkini berada di seri 2.x, misalnya 2.28.x) ditulis ulang total dari Volatility 2 dan tidak lagi membutuhkan berkas profil yang merepotkan. Kerangka ini berjalan di atas Python 3.8 ke atas dan mendukung memori Windows, Linux, maupun macOS. Instalasinya cukup ringkas:

Seluruh perintah Volatility 3 mengikuti pola yang konsisten: kita menunjuk berkas memori dengan opsi -f, lalu menyebut plugin sistem operasi yang relevan. Untuk memori Windows, semua plugin diawali windows.. Mari kita mulai investigasi terhadap sebuah berkas bernama memdump.raw.

Langkah 1 — Mengenali Sistem: windows.info

Sebelum menafsirkan apa pun, kita perlu tahu sistem seperti apa yang sedang kita periksa: versi Windows, arsitektur, dan waktu pengambilan citra. Informasi ini penting untuk korelasi lini masa (timeline) nantinya.

Plugin ini menampilkan versi kernel (NT build), jumlah prosesor, serta stempel waktu sistem. Catat waktu tersebut, karena akan menjadi acuan saat kita membandingkan kapan sebuah proses mencurigakan dibuat.

Langkah 2 — Apa yang Berjalan: windows.pslist dan windows.pstree

Plugin windows.pslist menelusuri daftar tertaut (linked list) proses di kernel dan menampilkan PID, PPID (PID induk), nama citra, serta waktu pembuatan proses. Ini adalah peta dasar dari semua yang aktif di sistem.

Namun daftar datar sering menyembunyikan konteks. Di sinilah windows.pstree berperan: ia menampilkan hubungan induk-anak antarproses secara hierarkis. Inilah cara tercepat menemukan keanehan.

Apa yang harus dicurigai? Perhatikan pasangan induk-anak yang tidak wajar. Beberapa pola klasik: proses svchost.exe yang tidak berinduk pada services.exe; cmd.exe atau powershell.exe yang lahir dari aplikasi Office seperti winword.exe (indikasi kuat dokumen berbahaya); atau proses dengan nama sistem yang sah tetapi ejaannya sedikit meleset, misalnya scvhost.exe alih-alih svchost.exe.

Langkah 3 — Bagaimana Dijalankan: windows.cmdline

Setelah menandai proses yang mencurigakan, kita ingin tahu argumen baris perintah yang menyertainya. Argumen sering membocorkan niat penyerang, seperti perintah encoded PowerShell atau URL unduhan payload.

Baris perintah PowerShell yang mengandung parameter seperti -EncodedCommand, -nop (NoProfile), atau -w hidden (WindowStyle Hidden) hampir selalu patut diselidiki lebih dalam. Salin string ter-encode tersebut dan dekode secara terpisah (Base64) di mesin analisis yang terisolasi.

Langkah 4 — Ke Mana Berkomunikasi: windows.netscan

Malware jarang bekerja sendirian; ia biasanya menghubungi server pengendali (Command & Control). Plugin windows.netscan memindai struktur koneksi jaringan yang tersisa di memori, termasuk koneksi yang sudah ditutup namun belum tertimpa.

Cocokkan PID proses mencurigakan dari langkah sebelumnya dengan alamat IP dan port tujuan di sini. Koneksi keluar ke alamat IP asing pada port tidak lazim, atau proses yang seharusnya tidak berjejaring tetapi tiba-tiba membuka soket, adalah sinyal merah yang jelas.

Langkah 5 — Menemukan Kode Suntikan: windows.malfind

Inilah inti dari perburuan injeksi proses. Plugin windows.malfind mencari region memori yang memiliki kombinasi izin mencurigakan, khususnya wilayah yang sekaligus dapat ditulis dan dieksekusi (RWX) serta tidak memiliki berkas pendukung di disk. Kombinasi inilah tanda khas kode yang disuntikkan.

Perhatikan keluaran hex dump-nya. Kemunculan byte MZ (4D 5A) di awal sebuah region memori berarti ada berkas PE (executable Windows) utuh yang bersembunyi di dalam proses inang, sesuatu yang seharusnya tidak berada di sana. Para praktisi menyebut malfind sebagai langkah triase tercepat: keluarannya dalam 60 detik sering lebih informatif daripada satu jam analisis disk.

Langkah 6 — Mengukuhkan Temuan dan Mengekstrak Artefak

Untuk memperkuat kesimpulan, periksa modul (DLL) yang dimuat oleh proses tersangka dengan windows.dlllist, lalu ekstrak berkas mencurigakan dari memori menggunakan windows.dumpfiles agar bisa dianalisis lebih lanjut atau dipindai dengan YARA.

Setiap artefak yang diekstrak sebaiknya langsung dihitung hash-nya dan dicatat dalam dokumentasi investigasi. Dengan begitu, temuan Anda dapat direproduksi oleh pihak lain, sebuah syarat penting agar analisis bertahan di forum hukum.

Alur Investigasi sebagai Ringkasan

Urutan plugin di atas bukan acak, melainkan mencerminkan alur berpikir DFIR (Digital Forensics and Incident Response) yang matang:

1. windows.info — sistem apa yang saya periksa?
2. windows.pslist / pstree — apa yang berjalan dan siapa induknya?
3. windows.cmdline — bagaimana proses itu dijalankan?
4. windows.netscan — ke mana ia berkomunikasi?
5. windows.malfind — adakah kode yang disuntikkan?
6. windows.dlllist / dumpfiles — kukuhkan dan ekstrak buktinya.

Rambu Etika dan Hukum di Indonesia

Kemampuan membaca memori adalah pisau bermata dua. Forensik memori hanya boleh dilakukan atas sistem milik sendiri, dengan izin tertulis pemilik, atau dalam kapasitas resmi penegakan hukum. Memori kerap menyimpan data pribadi yang sangat sensitif, mulai dari kata sandi, token sesi, hingga isi percakapan. Karena itu, penanganannya tunduk pada UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Data yang diekstrak harus disimpan aman, diakses terbatas, dan dimusnahkan sesuai kebijakan retensi setelah investigasi selesai.

Selain itu, agar hasil analisis dapat diterima sebagai alat bukti, seluruh proses harus mengikuti metodologi yang teruji, terdokumentasi, dan dapat diulang, selaras dengan prinsip yang diakui dalam UU ITE dan standar seperti ISO/IEC 27037 tentang penanganan bukti digital.

Penutup

Forensik memori mengubah cara kita memahami sebuah insiden: dari sekadar melihat berkas yang tertinggal di disk menjadi menyaksikan apa yang benar-benar terjadi di jantung sistem saat serangan berlangsung. Dengan Volatility 3 dan alur enam langkah di atas, tim keamanan bahkan di organisasi berskala menengah dapat melakukan triase serangan injeksi proses secara mandiri. Kuncinya adalah latihan yang konsisten di lingkungan laboratorium, disiplin menjaga integritas barang bukti, dan kepatuhan pada koridor hukum. Di Siberindo, kapabilitas forensik digital seperti inilah yang menjadi garda ketika pencegahan sudah tertembus, dan bukti harus berbicara.