Quick Malware Traffic Analysis #2

 Pendahuluan

Pada analisa singkat kali ini, penulis menggunakan dataset PCAP pribadi yang memuat kegiatan reverse tcp perangkat Android dengan metasploit melalui jaringan publik (lebih tepatnya menggunakan jaringan kampus di Universitas Sriwijaya). PCAP dihasilkan melalui sniffing perangkat Android yang terinfeksi trojan reverse TCP.

Pembahasan

Seperti biasa, PCAP diimport ke Security Onion.

Gambar 1.

Setelah berhasil di-import. Tampilan dashboard Security Onion adalah sebagai berikut:

Gambar 2.

Gambar 3.

Gambar 4.

Pada bagian Alerts, muncul beberapa peringatan sebagai berikut:

Gambar 5.

Satu persatu alerts diinvestigasi, mulai dari alerts pertama perihal "ET DNS Query for .cc TLD". Alert ini terjadi beberapa kali seperti yang bisa dilihat pada gambar dibawah ini:

Gambar 6.

Berdasarkan gambar diatas, IP Address yang terlibat semuanya lokal yaitu 10.215.173[.]1 dan 10.215.173[.]2 . Ketika diamati port tujuan, menggunakan port umum untuk DNS yaitu 53. 

Gambar 7.

Ketika diamati traffic yang terjadi untuk alerts ini, terdapat sebuah domain yang ter-ekspose yaitu api.popin[.]cc. Ketika dilakukan pengecekan di Threat Intelligence seperti VirusTotal tidak dihasilkan sebuah kecurigaan.

Gambar 8.

Lanjut ke alert ke 2 yaitu "ET INFO Android Device Connectivity Check" pada gambar 5. Terdapat 4 alert bersangkutan yang ter-trigger dengan tujuan IP 74.125.200[.]94 dan 74.125.68[.]94.

Gambar 9

Saat dilakukan pengecekan trafficnya, terdapat nama host yaitu connectivity.gstatic[.]com dengan http method GET. Ketika dilakukan pengecekan pada VirusTotal diberikan hasil dibawah ini:

Gambar 10

Gambar 11

Terakhir pada alert "ET INFO Observed ZeroSSL SSL/TLS Certificate", ketika dibuka isi trafficnya seperti di gambar berikut:

Gambar 12.

Ketika dicek menggunakan VirusTotal juga, IP tersebut tidak terkait/mencurigakan. Sampai pada tahap ini, masih tidak ditemukan kegiatan reverse TCP metasploit. Sehingga penulis melakukan cek event di dashboard Security Onion untuk melihat apakah ada kejanggalan pada traffic.

Gambar 13.

 

Gambar 14.

Pada gambar 13 dan 14, ada banyak event yang terjadi. Saat dilihat satu persatu, terdapat sebuah event dengan port tidak umum yaitu pada gambar 14. Komunikasi tersebut menuju IP 103.178.153[.]206 dengan port 60200. Ketika ditelusuri isi trafficnya seperti pada gambar dibawah ini:

Gambar 15.

Jika dilihat pada gambar 15, client melakukan/menghubungi alamat IP 103.178.154[.]206 terlebih dahulu, yang kemudian pada traffic ini terdapat string androidpayload.stage.Meterpreter yang dapat menjadi indikator bahwa traffic ini merupakan kegiatan eksploit yang dicari-cari. 

Gambar 16.

Kesimpulan

1. Pada alert pertama "ET DNS Query for .cc TLD" tidak ditemukan indikasi eksploit ataupun tindakan yang dapat merugikan lainnya. Alert ini terjadi karena domain .cc seringkali digunakan sebagai domain penyebaran malware. Namun untuk kasus kali ini (api.popin[.]cc), alert bisa dikategorikan false positif.
2. Pada alert kedua "ET INFO Android Device Connectivity Check" tidak ditemukan indikasi eksploit ataupun aktivitas malware. Domain yang ada pada alert ini (connectivitycheck.gstatic[.]com) lazim digunakan oleh perangkat Android untuk mengecek keadaan jaringan internet. Bisa dikatakan, alert pada kasus ini adalah false positif.
3. Pada alert ketiga "ET INFO Observed ZeroSSL SSL/TLS Certificate" juga tidak ditemukan indikasi/indikator kegiatan malware. Alert ini dibuat dan terjadi karena SSL/TLS Certificate dari ZeroSSL dapat dibuat secara gratis sehingga seringkali dapat disalahgunakan. Namun pada kasus ini termasuk false positif.
4. Khusus untuk ancaman yang nyata, yaitu kegiatan reverse tcp eksploit dari metasploit justru malah tidak masuk ke bagian Alerts. Hal ini menandakan bahwa rule dari suricata tidak memuat untuk deteksi metasploit sehingga perlu ditambahkan. Adapun eksploit baru diketahui setelah melihat event yang dihasilkan zeek karena traffic TCP mengalami "window_recision" sehingga masuk ke event weird. Adapun indikator dari eksploit ini adalah terdapat string  androidpayload.stage.Meterpreter pada traffic dan perangkat melakukan SYN TCP terlebih dahulu ke alamat C2C yang pada kasus ini adalah 103.178.153[.]206. Penulis sudah berusaha menggunakan CyberChef untuk memahami komunikasi antara perangkat dan C2C namun tidak menemukan recipe yang tepat untuk melakukan decode traffic tersebut. Saran dan masukan dari pembaca akan penulis apresiasi.

Analisa kali ini dilakukan dengan membuat kejadian rekayasa/dibuat demi kepentingan edukasi. IP yang digunakan sebagai C2C metasploit merupakan hasil sewa penulis sehingga tidak bermaksud untuk menjelekkan penyedia VPS.