SanzSkuy at 11:47, 14 April 2025

2025-04-14T11:47:35Z

@@ Line 19: / Line 19: @@
 == Attach ke Proses Target ==
-Alternatif lain adalah attach ke proses target sebelum CreateRemoteThread dijalankan oleh malware. Bisa juga dengan memodifikasi CreateRemoteThread menjadi CREATE_SUSPENDED, contohnya:
+Alternatif lain adalah attach ke proses target sebelum <code>CreateRemoteThread</code> dijalankan oleh malware. Bisa juga dengan memodifikasi CreateRemoteThread menjadi CREATE_SUSPENDED, contohnya:
 <syntaxhighlight lang=cpp>
 CreateRemoteThread(Process, NULL, NULL,
@@ Line 28: / Line 28: @@
 *Pasang breakpoint di <code>Process32First</code> dan <code>Process32Next</code>
 *Analisis logika pencarian proses (biasanya pakai <code>strcmp</code> atau sejenisnya)
-⚠️Catatan: Pencarian proses tidak selalu untuk injection—kadang hanya trik anti-debug.
+⚠️Catatan: Pencarian proses tidak selalu untuk injection, kadang hanya trik anti-debug.

SanzSkuy: Created page with "Dynamic Analysis process injection memang cukup rumit. Teknik ini biasanya digunakan oleh malware agar bisa menjalankan shellcode atau load sebuah DLL di dalam proses lain—membuatnya lebih sulit untuk dideteksi atau dianalisis menggunakan debugger biasa. Karena itu, beberapa trik khusus dibutuhkan untuk melakukan debugging dengan sukses. == Debug it where it is == Teknik ini cukup populer di kalangan reverse engineer. Intinya adalah tidak membiarkan malware menyuntik..."

2025-04-14T10:47:05Z

Created page with "Dynamic Analysis process injection memang cukup rumit. Teknik ini biasanya digunakan oleh malware agar bisa menjalankan shellcode atau load sebuah DLL di dalam proses lain—membuatnya lebih sulit untuk dideteksi atau dianalisis menggunakan debugger biasa. Karena itu, beberapa trik khusus dibutuhkan untuk melakukan debugging dengan sukses. == Debug it where it is == Teknik ini cukup populer di kalangan reverse engineer. Intinya adalah tidak membiarkan malware menyuntik..."

New page

Dynamic Analysis process injection memang cukup rumit. Teknik ini biasanya digunakan oleh malware agar bisa menjalankan shellcode atau load sebuah DLL di dalam proses lain—membuatnya lebih sulit untuk dideteksi atau dianalisis menggunakan debugger biasa. Karena itu, beberapa trik khusus dibutuhkan untuk melakukan debugging dengan sukses.

== Debug it where it is ==
Teknik ini cukup populer di kalangan reverse engineer. Intinya adalah tidak membiarkan malware menyuntikkan shellcode ke proses target, melainkan men-debug shellcode tersebut langsung dari memori malware, seolah-olah sudah disuntikkan.
Langkah-langkah:
*Malware memanggil <code>VirtualAllocEx</code> untuk mengalokasikan memori di proses target. Simpan alamat hasil alokasi ini, misal <code>0x300000</code>
*Pasang breakpoint pada <code>WriteProcessMemory</code>. Simpan alamat sumber (shellcode di proses malware, misal <code>0x450000</code>) dan alamat tujuan (biasanya sama dengan hasil dari <code>VirtualAllocEx</code>, yaitu <code>0x300000</code>).
*Pasang breakpoint pada <code>CreateRemoteThread</code> untuk mengambil EntryPoint dari shellcode (misal <code>0x30012F</code>)
*Hitung alamat EntryPoint dari shellcode dalam proses malware:
<syntaxhighlight lang=bash>
EntryPoint Malware = 0x30012F - 0x300000 + 0x450000 = 0x45012F
</syntaxhighlight>
*Di VM (disarankan), ambil snapshot, lalu ubah nilai EIP ke <code>0x45012F</code>, atur argumen jika perlu, dan lanjutkan debugging.

Teknik ini sederhana dan cocok untuk shellcode yang tidak kompleks. Tapi:
*Tidak cocok jika terjadi multiple injection atau proses hollowing
*Shellcode bisa error karena dieksekusi di proses yang berbeda dari target aslinya

== Attach ke Proses Target ==
Alternatif lain adalah attach ke proses target sebelum CreateRemoteThread dijalankan oleh malware. Bisa juga dengan memodifikasi CreateRemoteThread menjadi CREATE_SUSPENDED, contohnya:
<syntaxhighlight lang=cpp>
CreateRemoteThread(Process, NULL, NULL,
(LPTHREAD_START_ROUTINE)LoadLibrary, (LPVOID)Memory, CREATE_SUSPENDED, NULL);
</syntaxhighlight>

Untuk itu, kita perlu tahu proses target yang akan disuntik. Caranya:
*Pasang breakpoint di <code>Process32First</code> dan <code>Process32Next</code>
*Analisis logika pencarian proses (biasanya pakai <code>strcmp</code> atau sejenisnya)
⚠️Catatan: Pencarian proses tidak selalu untuk injection—kadang hanya trik anti-debug.

Dynamic Analysis: Code Injection - Revision history

SanzSkuy at 11:47, 14 April 2025