SanzSkuy at 12:19, 18 March 2025

2025-03-18T12:19:18Z

← Older revision		Revision as of 12:19, 18 March 2025
Line 13:		Line 13:
	== Sebagai DLL ==		== Sebagai DLL ==

	Malware yang berjalan sebagai DLL akan berjalan di dalam svchost.exe. - Malware menambahkan dirinya dalam *HKLMNT. - Path DLL disimpan dalam *HKLM~~<~~service_name>, pada value '''ServiceDll'''.		Malware yang berjalan sebagai DLL akan berjalan di dalam svchost.exe.
			* Malware menambahkan dirinya dalam '''HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost'''
			* Path DLL disimpan dalam '''HKLM\SYSTEM\CurrentControlSet\services\<service_name>\Parameters, pada value ServiceDll.''', pada value '''ServiceDll'''.

	<span id="menambahkan-service"></span>		<span id="menambahkan-service"></span>

SanzSkuy at 12:17, 18 March 2025

2025-03-18T12:17:52Z

← Older revision		Revision as of 12:17, 18 March 2025
Line 8:		Line 8:

	* File executable independen yang dijalankan sebagai proses layanan.		* File executable independen yang dijalankan sebagai proses layanan.
	* Path executable disimpan dalam registry di '''HKLM~~<~~service_name~~>~~''' pada value '''ImagePath'''.		* Path executable disimpan dalam registry di '''HKLM\SYSTEM\CurrentControlSet\services\<service_name>''' pada value '''ImagePath'''.

	<span id="sebagai-dll"></span>		<span id="sebagai-dll"></span>

SanzSkuy: Created page with "Windows Service adalah program yang berjalan di background, mirip dengan daemon di Linux. Malware sering menggunakan service untuk bertahan lama di sistem korban. Windows Service dikontrol oleh '''Service Control Manager (SCM)''', yang berada di '''%SystemRoot%.exe'''. = Cara Malware Menggunakan Service = == Sebagai .exe == * File executable independen yang dijalankan sebagai proses la..."

2025-03-18T12:16:03Z

Created page with "Windows Service adalah program yang berjalan di background, mirip dengan daemon di Linux. Malware sering menggunakan service untuk bertahan lama di sistem korban. Windows Service dikontrol oleh '''Service Control Manager (SCM)''', yang berada di '''%SystemRoot%.exe'''. = Cara Malware Menggunakan Service = == Sebagai .exe == * File executable independen yang dijalankan sebagai proses la..."

New page

Windows Service adalah program yang berjalan di background, mirip dengan daemon di Linux. Malware sering menggunakan service untuk bertahan lama di sistem korban. Windows Service dikontrol oleh '''Service Control Manager (SCM)''', yang berada di '''%SystemRoot%.exe'''.


= Cara Malware Menggunakan Service =


== Sebagai .exe ==

* File executable independen yang dijalankan sebagai proses layanan.
* Path executable disimpan dalam registry di '''HKLM<service_name>''' pada value '''ImagePath'''.


== Sebagai DLL ==

Malware yang berjalan sebagai DLL akan berjalan di dalam svchost.exe. - Malware menambahkan dirinya dalam **HKLMNT*. - Path DLL disimpan dalam **HKLM<service_name>*, pada value '''ServiceDll'''.


= Menambahkan Service =

Untuk executable file

<pre class="cmd">sc create <service_name> type= own binpath= <path_to_executable></pre>
Untuk DLL

<pre class="cmd">reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost" /v "<service_group>" /t REG_MULTI_SZ /d "<service_name>\0" /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\<service_name>\Parameters" /v ServiceDll /t REG_EXPAND_SZ /d <path_to_dll> /f
sc create <service_name> type= share binpath= "C:\Windows\System32\svchost.exe -k <service_group>"</pre>
Cara menjalankan

<pre class="cmd">sc start <service_name></pre>
atau

<pre class="cmd">net start <service_name></pre>

= Debugging Windows Service yang Berbahaya =

Debugging Windows Service lebih rumit dibanding executable biasa karena berjalan di background dan memiliki timeout jika tidak selesai dalam 30 detik.


== Metode Debugging Windows Services ==

# Menggunakan Registry untuk Attach Debugger Otomatis
#* Tambahkan key di '''HKLMNTFile Execution Options<filename>'''
#* Tambahkan string '''Debugger''' dengan path debugger (misalnya '''WinDbg''').
# Mengaktifkan Interaksi dengan Desktop
#* Buka '''services.msc''' → klik kanan service → '''Properties''' → '''Log On''' → centang '''Allow service to interact with desktop'''.
#* Alternatif: Edit registry '''HKLM<service_name>''', tambahkan flag '''SERVICE_INTERACTIVE_PROCESS (0x00000100)'''.
# Menggunakan GFlags (Global Flags Editor)
#* Setel debugger melalui GFlags UI dengan menambahkan nama executable pada tab '''Image File''', lalu tambahkan path debugger.
# Child Debugging
#* Attach debugger ke '''services.exe''', lalu aktifkan debugging proses anak dengan '''.childdbg 1''' di WinDbg.
#* Setelah itu, mulai service untuk menangkap eksekusinya.
# Patching EntryPoint untuk Loop Infinite
#* Modifikasi EntryPoint dengan *** untuk membuat infinite loop.
#* Gunakan debugger untuk attach ke proses yang menggunakan CPU tinggi, lalu kembalikan instruksi asli.

Windows Service - Revision history

SanzSkuy at 12:19, 18 March 2025

SanzSkuy at 12:17, 18 March 2025