Pengantar
Analisis memori adalah proses memeriksa data yang tersimpan di RAM untuk menemukan informasi penting dari sebuah sistem.
Berbeda dengan hard disk, RAM bersifat volatile. Data di dalamnya dapat hilang ketika perangkat dimatikan.
Karena itu, analisis RAM sering digunakan dalam digital forensics, malware analysis, dan incident response. Salah satu framework yang populer untuk kebutuhan tersebut adalah Volatility 3. Volatility dirancang untuk mengekstrak artefak digital dari sampel memori dan membantu investigator melihat kondisi sistem saat sampel dibuat. (dikutip dari: Volatility 3 Documentation)
baca juga : SIM Swapping Attack: Cara Kerja, Dampak, dan Cara Mencegah Pembajakan Nomor HP
Apa Itu Volatility?
Volatility adalah framework open-source untuk melakukan memory forensics.
Framework ini dapat membantu investigator menganalisis memory dump dari sistem operasi seperti Windows dan Linux.
Volatility 3 merupakan generasi terbaru dari framework tersebut. Versi ini menggunakan pendekatan berbasis memory layers, symbol tables, objects, dan plugins untuk melakukan analisis. (dikutip dari: Volatility 3 Basics)
Secara sederhana:
Mengapa Analisis Memori Penting?
RAM dapat menyimpan informasi yang tidak selalu ditemukan pada penyimpanan permanen.
Contohnya:
- Proses yang sedang berjalan.
- Informasi jaringan.
- Command line.
- DLL atau module.
- Artefak malware.
- Struktur kernel.
- Informasi sistem.
Karena itu, memory dump dapat memberikan gambaran mengenai kondisi sistem pada waktu tertentu.
Dalam investigasi malware, informasi tersebut dapat membantu menemukan proses atau aktivitas yang mencurigakan.
Cara Kerja Analisis Memori
Proses analisis biasanya dimulai dari sebuah memory image.
Alurnya dapat dibuat sederhana:
Pertama, investigator memperoleh memory dump dari sistem.
Selanjutnya, file tersebut dianalisis menggunakan Volatility.
Setelah itu, investigator memilih plugin sesuai kebutuhan.
Plugin Penting di Volatility 3
Volatility menggunakan plugin untuk melakukan berbagai jenis analisis.
Beberapa plugin yang umum digunakan antara lain:
windows.info
Plugin ini dapat membantu mengidentifikasi informasi penting dari memory image Windows.
Contoh:
Perintah tersebut dapat digunakan sebagai langkah awal untuk mengetahui apakah sampel dapat dianalisis.
windows.pslist
Plugin ini digunakan untuk melihat daftar proses.
Hasilnya dapat membantu investigator melihat proses yang sedang aktif saat memory dump dibuat.
windows.pstree
Plugin ini menampilkan hubungan antarproses.
Dengan begitu, proses yang terlihat tidak wajar dapat diperiksa lebih lanjut.
baca juga : Kerberos Golden Ticket Attack: Ancaman Serius yang Dapat Menguasai Active Directory
Mencari Aktivitas Mencurigakan
Analisis tidak berhenti pada daftar proses.
Investigator perlu mencari pola yang tidak biasa.
Contohnya:
- Nama proses mencurigakan.
- Parent process tidak wajar.
- Proses berjalan dari lokasi aneh.
- Aktivitas jaringan yang tidak sesuai.
- Module yang mencurigakan.
- Proses yang tidak memiliki pola normal.
Sebagai contoh, proses dengan nama menyerupai proses sistem belum tentu aman.
Karena itu, hasil Volatility perlu dibandingkan dengan informasi lain sebelum menarik kesimpulan.
Volatility untuk Malware Analysis
Memory forensics sangat berguna ketika malware sedang aktif.
Beberapa malware dapat meninggalkan jejak di RAM. Jejak tersebut mungkin sulit ditemukan melalui pemeriksaan file biasa.
Dengan Volatility, investigator dapat mencari proses, koneksi jaringan, module, dan artefak lain yang berkaitan dengan aktivitas malware.
Namun, Volatility bukan alat pendeteksi malware otomatis.
Hasil analisis tetap membutuhkan interpretasi dari investigator.
Volatility 3 vs Volatility 2
Volatility 3 merupakan penulisan ulang dari framework sebelumnya.
Pada 2025, Volatility Foundation menyatakan bahwa Volatility 2 telah deprecated, sementara pengembangan aktif berfokus pada Volatility 3. (dikutip dari: Volatility Foundation – Official Parity Release of Volatility 3)
Karena itu, pengguna baru sebaiknya mempelajari Volatility 3.
Versi tersebut juga memiliki arsitektur yang lebih modern dan mendukung sistem operasi terbaru.
Hal yang Perlu Diperhatikan
Analisis memori memiliki beberapa tantangan.
Pertama, data RAM dapat berubah dengan cepat. Karena itu, proses akuisisi harus dilakukan dengan metode yang tepat.
Selain itu, tidak semua memory image memiliki struktur yang sama.
Volatility juga membutuhkan informasi simbol tertentu untuk melakukan analisis pada beberapa sistem. Dokumentasi Volatility menjelaskan penggunaan symbol tables sebagai bagian penting dalam proses analisis. (dikutip dari: Volatility 3 Basics)
baca juga : Clickjacking (UI Redressing): Kenali Cara Kerja dan Cara Mencegah Serangan Manipulasi Klik
Kesimpulan
Analisis memori dengan Volatility merupakan teknik penting dalam digital forensics dan malware analysis.
RAM dapat menyimpan informasi mengenai kondisi sistem saat memory dump dibuat. Informasi tersebut dapat mencakup proses, module, aktivitas jaringan, dan artefak lainnya.
Volatility 3 membantu investigator mengekstrak informasi tersebut melalui berbagai plugin. Karena itu, framework ini dapat digunakan untuk mencari indikasi malware, aktivitas mencurigakan, dan bukti digital lainnya.
Namun, hasil Volatility tetap membutuhkan analisis lebih lanjut. Investigator perlu menggabungkan beberapa artefak sebelum menentukan apakah suatu aktivitas benar-benar berbahaya.
Dengan memahami dasar memory forensics dan penggunaan Volatility 3, proses investigasi insiden dapat dilakukan dengan lebih terarah.
