Memory Forensics: Uncovering In-Memory Cobalt Strike Beacon
CTF Event: CyberJawa CTF 2026
Memory Forensics: Uncovering In-Memory Cobalt Strike Beacon
Analisis forensik memori Windows 11 menggunakan Volatility 3 untuk mendeteksi injeksi DLL Cobalt Strike Beacon yang tersembunyi pada proses svchost.exe.
Challenge Analysis & Exploitation Methodology
Ringkasan Kasus Forensik
Diberikan berkas memory dump memdump.raw dari workstation Windows 11 yang terindikasi mengalami anomali lalu lintas jaringan mencurigakan.
1. Identifikasi Profil & Daftar Proses
Langkah pertama adalah menganalisis struktur tabel proses menggunakan plugin windows.pstree pada Volatility 3:
BASH // TERMINAL
Hasil inspeksi memperlihatkan proses svchost.exe (PID: 4892) yang memiliki parent process powershell.exe (PID: 3120). Hal ini mengindikasikan process spawning mencurigakan.
2. Deteksi Injeksi Kode Memori
Gunakan plugin windows.malfind untuk memeriksa region memori dengan proteksi PAGE_EXECUTE_READWRITE (RWX):
BASH // TERMINAL
Output menunjukkan signature header MZ (0x4D, 0x5A) pada alamat basis 0x0000018a3bf00000 tanpa file backing pada disk (Unbacked Memory Region).
3. Dump Memori & Ekstraksi Konfigurasi C2
Lakukan ekstraksi region memori yang terinfeksi:
BASH // TERMINAL
Gunakan skrip parser konfigurasi Cobalt Strike:
PYTHON
Kesimpulan
Penyerang memanfaatkan reflective DLL injection ke dalam proses svchost.exe. Melalui isolasi region RWX dan ekstraksi konfigurasi in-memory, identitas command and control server berhasil dipetakan.