SSDeep

SSDeep adalah tools buat ngelakuin fuzzy hashing; untuk mencocokan file yang mirip tapi tidak identik. Tidak seperti hash biasa (SHA256, MD5) yang berubah total cuma karena satu byte saja, fuzzy hash bisa ngerti file yang “beda dikit tapi sebenernya mirip banget.”

Misal kita punya malware Stealer_v1.exe, terus attacker bikin versi baru Stealer_v1.1.exe tapi dia cuma ganti banner atau string dikit doang. Kalau kita pakai SHA256

sha256sum Stealer_v1.exe
# a8f4d1d0bdb63bb1a432...

sha256sum Stealer_v1.1.exe
# 88e992a3123c0aa449...

Tapi kalau kita pakai SSDeep

ssdeep Stealer_v1.exe Stealer_v1.1.exe

# Stealer_v1.exe matches Stealer_v1.1.exe with 92% similarity

Cara kerja singkat:

• File dibagi jadi potongan-potongan kecil
• Setiap bagian di-hash
• Kemudian dibandingin antar file untuk liat seberapa mirip potongan-potongan itu