10 Studi Kasus Computer Forensic

01

Kasus 1: Serangan LockBit Ransomware pada File Server Rumah Sakit

Kategori: Malware & Cryptovirology • Target: Windows Server 2022

Skenario Insiden: Pukul 03:15 WIB, sistem rekam medis RS Medica terhenti. Seluruh file dokumen database berekstensi .lockbit disertai file tebusan Restore-My-Files.txt. Server masih menyala dan beberapa layanan aktif.

Pertanyaan Investigator: Bagaimana awal mula ransomware masuk (vektor infeksi), proses apa yang melakukan enkripsi, apakah ada kunci enkripsi yang tersisa di RAM, dan langkah mitigasi forensik apa yang wajib diambil?

1
Initial Response (Triage): JANGAN matikan server! Segera putuskan kabel LAN fisik (Network Isolation) atau terapkan port shutdown pada switch manageable untuk memutus komunikasi Command & Control (C2) tanpa menghilangkan volatile data RAM.
2
Evidence Identification: RAM aktif server (64GB), disk NVMe system drive (C:), dan disk storage data pasien (D: & E:).
3
Collection (Imaging & Hashing):
- Live RAM dump menggunakan tool DumpIt.exe ke external drive terisolasi. Hash SHA-256 dicatat seketika.
- Sistem dimatikan (graceful/clean pull plug jika ada disk encryption) lalu disk di-imaging sektor-demi-sektor menjadi file format E01 menggunakan Hardware Write Blocker Tableau T8u dan FTK Imager.
4
Chain of Custody: Mengisi formulir CoC (bukti ID: EVID-HOSP-RAM01 dan EVID-HOSP-SSD01), mencatat nomor seri NVMe, waktu serah terima dari Tim IT RS ke Tim DFIR, serta pencocokan hash SHA-256 pre & post imaging.
5
Forensic Analysis & Tools:
- Volatility 3: Menjalankan plugin windows.malfind untuk mendeteksi memory injection, dan windows.psscan menemukan proses svchost_update.exe dengan PID 4820 menyuntikkan payload LockBit.
- Autopsy & KAPE: Menganalisa Windows Event Log Security.evtx (Event ID 4624 Type 10) mengungkap login RDP ilegal dari IP luar 194.26.29.x melalui credential Administrator yang lemah.
- Ekstraksi artefak $MFT dan $LogFile untuk mengetahui timestamp file pertama yang terenkripsi (02:47:12 WIB).
6
Findings & Timeline: Penyerang membobol port RDP 3389 pukul 01:10 WIB (Brute force), menonaktifkan Windows Defender via registry command pada 01:45 WIB, mengeksekusi LockBit loader pada 02:40 WIB, dan mengenkripsi 45.000 file pasien.
7
Reporting: Rekomendasi penutupan port RDP dari internet publik, penerapan MFA (Multi-Factor Authentication), implementasi offline immutable backup, dan pelaporan bukti ke BSSN/Kepolisian.

02

Kasus 2: Data Exfiltration Rahasia Dagang via DNS Tunneling

Kategori: Network & Data Theft • Target: Workstation R&D FinTech

Skenario Insiden: Sensor EDR mendeteksi lonjakan volume kueri DNS aneh (subdomain panjang berformat Base64/Hex) dari komputer insinyur senior ke domain ns1.data-sync-cloud.xyz di tengah malam.

Pertanyaan Investigator: Apakah terjadi kebocoran data (exfiltration), data apa yang berhasil dicuri, dan bagaimana cara penyerang mem-bypass firewall?

1
Initial Response: Karantina host melalui kebijakan EDR isolation, mirror traffic network tap, dan kumpulkan firewall pcap logs.
2
Evidence ID: PCAP paket jaringan dari core switch, disk workstation, dan Sysmon log host.
3
Collection: Akuisisi PCAP file dan full physical image SSD workstation menggunakan FTK Imager. Verifikasi hash SHA-256.
4
Chain of Custody: Pencatatan item EVID-PCAP-01 dan EVID-PC-WS09 dengan tanda tangan saksi lead security.
5
Analysis: Menggunakan Wireshark dan script Python untuk merekonstruksi kueri DNS TXT/A query. Mengumpulkan chunk string base64 dari subdomain (misal: a8f1b2c4.ns1.data-sync-cloud.xyz) lalu men-decode-nya kembali menjadi file secret_algorithm_v2.pdf.
6
Findings: Total 8.400 kueri DNS mengeksfiltrasi 14 MB blueprint proprietary selama 45 menit.
7
Reporting: Terapkan DNS Inspection, batasi outbound DNS hanya ke internal resolver perusahaan (block external port 53 UDP).

03

Kasus 3: Insider Threat — Karyawan Mengundurkan Diri Menyalin Database

Kategori: Internal Threat • Target: Laptop Windows 11 Enterprise

Skenario Insiden: Seorang sales VP mengajukan resign mendadak untuk pindah ke perusahaan kompetitor. HRD mencurigai adanya pencurian daftar klien sebelum laptop inventaris diserahkan kembali.

Pertanyaan Investigator: Apakah ada USB drive yang dicolokkan ke laptop pada minggu terakhir masa kerja? File apa saja yang diakses dan disalin?

1
Initial Response: Amankan laptop dari tangan HRD, simpan dalam Faraday Bag berlabel bukti, cabut baterai bila memungkinkan.
2
Evidence ID: Laptop Dell Latitude 7420 (S/N: DL7420-X891) beserta internal SSD M.2 NVMe.
3
Collection: Buat E01 Image menggunakan Write Blocker Tableau. Hitung MD5 dan SHA-256.
4
Chain of Custody: Dokumentasikan serah terima laptop dari bagian HRD ke laboratorium forensik internal.
5
Analysis & Tools: Menggunakan Registry Explorer (Eric Zimmerman) membaca hive SYSTEM\CurrentControlSet\Enum\USBSTOR: ditemukan Flashdisk SanDisk Ultra 64GB (S/N: 4C53000129080511) dicolokkan tanggal 14 Oktober 2026 pukul 17:15 WIB. Memeriksa artefak Shellbags dan LNK Files di C:\Users\username\AppData\Roaming\Microsoft\Windows\Recent mengungkap pembukaan file Client_Portfolio_2026.xlsx ke drive letter E: (flashdisk).
6
Findings: Terbukti terjadi penyalinan data portofolio klien berukuran 240 MB ke media eksternal 2 jam sebelum email resign dikirimkan.
7
Reporting: Laporan diserahkan ke bagian Legal untuk tindakan hukum pelanggaran NDA dan UU ITE Pasal 30 & 32.

04

Kasus 4: Spear Phishing dengan Lampiran Dokumen Macro Malicious

Kategori: Social Engineering & Initial Access • Target: Komputer Bagian Finance

Skenario Insiden: Staf akuntan menerima email bertajuk "Surat Tagihan Pajak DJP Mendesak.xlsm". Setelah membuka dan mengklik "Enable Content", komputer mengalami kelambatan dan koneksi tak wajar.

Pertanyaan Investigator: Apa payload yang dieksekusi oleh macro VBA, ke IP C2 mana malware terhubung, dan akun apa yang dicuri?

1
Initial Response: Putuskan koneksi internet workstation, ambil memory image sebelum mematikan mesin.
2
Evidence ID: File email .eml dari mail server, memory RAM workstation, dan disk image C:.
3
Collection: Ekspor file .xlsm lampiran ke isolated sandbox environment, lakukan memory capture dengan FTK Imager CLI.
4
Chain of Custody: Verifikasi integritas hash file bukti Tax_Invoice.xlsm SHA-256.
5
Analysis: Menggunakan tool olevba dari suite oletools mengekstrak script VBA terobfusikasi: macro mengeksekusi powershell.exe -enc ... mendownload loader RedLine Stealer dari http://185.190.x.x/update.bin. Volatility windows.netscan menunjukkan koneksi TCP ESTABLISHED ke port 4444.
6
Findings: Kredensial browser Chrome (termasuk internet banking) berhasil diambil dan dikirimkan ke C2 penyerang sebelum workstation diisolasi.
7
Reporting: Reset darurat seluruh kredensial perbankan perusahaan, aktifkan pemblokiran file berekstensi macro di email gateway.

05

Kasus 5: Web Server Hacked & Web Shell Deployment

Kategori: Web Application Attack • Target: Linux Nginx / PHP-FPM Server

Skenario Insiden: Halaman muka portal mahasiswa menampilkan gambar tengkorak (deface). Seluruh halaman indeks diubah menjadi pesan ejekan kelompok hacker.

Pertanyaan Investigator: Celah apa yang dimanfaatkan penyerang, di mana letak file web shell, dan bagaimana privilege escalation dilakukan?

1
Initial Response: Pasang halaman maintenance statis, backup live memory Linux dengan kernel module LiME.
2
Evidence ID: Nginx access/error logs di /var/log/nginx/, root filesystem /, dan bash history.
3
Collection: Buat raw disk image disk VPS menggunakan perintah dd if=/dev/sda of=/mnt/external/sda.raw bs=64K status=progress, hitung SHA-256.
4
Chain of Custody: Catat metadata image server dengan timestamp UTC presisi.
5
Analysis: Analisa log web Nginx menemukan request POST berulang ke endpoint /upload_avatar.php dengan status HTTP 200. Ditemukan file web shell bernama bypass.php.png yang dieksekusi via Apache/Nginx MIME-type misconfiguration. Web shell mengeksekusi reverse shell ke port 1337. Melalui cron job dengan izin root misconfigured (/etc/crontab), penyerang menimpa /var/www/html/index.php.
6
Findings: Kerentanan Unrestricted File Upload dimanfaatkan penyerang untuk menanam b374k web shell dan mengubah tampilan web.
7
Reporting: Hardening server, pasang Web Application Firewall (WAF), simpan file upload di S3 bucket non-executable.

06

Kasus 6: Database SQL Injection & Data Dump Breach

Kategori: Database & Application Forensics • Target: MySQL Server

Skenario Insiden: Data 100.000 pengguna toko online dijual di forum breached. Tim pengembang mengklaim tidak ada akses SSH server yang bocor.

Pertanyaan Investigator: Parameter URL apa yang rentan SQLi, tools otomatis apa yang digunakan pelaku, dan kapan dumping terjadi?

1
Initial Response: Amankan MySQL binary logs (binlog) dan Web Server HTTP access logs.
2
Evidence ID: access.log, mysql-bin.000*, dan database table metadata.
3
Collection: Kumpulkan log secara terotentikasi dan hitung hash SHA-256.
4
Chain of Custody: Buat catatan pemindahan log forensik ke server analisa terpisah.
5
Analysis: Grep access log menemukan ribuan request dalam hitungan detik dengan pola UNION SELECT dan information_schema.tables pada parameter /product.php?id=1' UNION SELECT .... User-agent string teridentifikasi: sqlmap/1.6.4#stable. MySQL general query log mengonfirmasi pembacaan tabel tbl_users berisi hash password dan nomor KTP.
6
Findings: Pelaku menggunakan SQLMap untuk membobol database via Boolean-based blind & Union-based SQLi pada tanggal 10 Oktober 2026 pukul 21:00-22:15 WIB.
7
Reporting: Migrasi seluruh kueri ke PDO / Prepared Statements dengan parameter binding, implementasi input sanitization.

07

Kasus 7: Pencurian Saldo Kripto via Clipboard Hijacker Malware

Kategori: Cryptocurrency Forensics • Target: Desktop Windows 10

Skenario Insiden: Korban menyalin alamat dompet Ethereum temannya, namun setelah menekan "Send" di dompet MetaMask, dana sebesar 10 ETH terkirim ke dompet asing milik attacker.

Pertanyaan Investigator: Bagaimana alamat dompet bisa berubah di clipboard, proses apa yang memonitor Windows Clipboard, dan bagaimana alur dana on-chain?

1
Initial Response: Tangkap memori volatile (RAM) saat sistem berjalan untuk melacak proses clipboard monitor.
2
Evidence ID: RAM capture (16GB) dan disk image host.
3
Collection: Menggunakan FTK Imager membuat dump RAM dan physical drive image.
4
Chain of Custody: Verifikasi identitas hardware laptop dan sertifikat hash.
5
Analysis: Volatility memeriksa windows.handles pada proses audio_driver.exe yang mencurigakan di folder C:\Users\User\AppData\Roaming\. Ditemukan hooks ke Win32 API SetClipboardViewer dan regex pencocokan alamat ETH (^0x[a-fA-F0-9]{40}$). Begitu string dompet disalin, malware menggantinya dengan dompet attacker yang memiliki 4 karakter awal/akhir mirip. On-chain analysis via Etherscan menemukan dana langsung dialirkan ke Tornado Cash mixer.
6
Findings: Korban mengunduh software crack game 3 hari sebelumnya yang menginstal Trojan Clipboard Hijacker berkedok driver audio.
7
Reporting: Tandai (blacklist) dompet penyerang di platform intelijen blockchain (Chainalysis/Elliptic) dan edukasi verifikasi hardware wallet.

08

Kasus 8: Serangan BadUSB / Rubber Ducky di Ruang Kontrol SCADA

Kategori: Physical / Hardware Attack • Target: Workstation HMI Air Gap

Skenario Insiden: Workstation terisolasi (Air-gapped) di gardu listrik tiba-tiba membuka terminal Command Prompt secara kilat dan mengeksekusi script pengubah konfigurasi PLC.

Pertanyaan Investigator: Media fisik apa yang digunakan, mengapa sistem tidak meminta otorisasi driver flashdisk, dan payload apa yang diketik?

1
Initial Response: Lepaskan perangkat mencurigakan berbentuk USB yang terpasang di port belakang komputer SCADA.
2
Evidence ID: Fisik USB dongle (kemasan plastik hitam tanpa stiker), system disk workstation.
3
Collection: Amankan USB dongle dalam anti-static bag. Imaging SSD workstation secara forensik.
4
Chain of Custody: Foto fisik barang bukti USB dari 4 sudut beserta nomor seri port motherboard.
5
Analysis: Memeriksa Windows Registry SYSTEM\CurrentControlSet\Enum\HID (Human Interface Device): perangkat mengenalkan diri bukan sebagai Flashdisk/Storage (Mass Storage Class), melainkan sebagai Keyboard Fisik USB (HID) dengan VID 0x03EB dan PID 0x2042 (chipset ATmega32U4 / Rubber Ducky). Script DuckyScript mengetikkan keystroke 1000 karakter per detik: GUI r -> cmd.exe -> echo malicious_script -> powershell ....
6
Findings: Teknisi vendor meninggalkan flashdisk palsu (Rubber Ducky) yang disamarkan, mengeksploitasi kepercayaan OS terhadap input keyboard fisik.
7
Reporting: Pasang Endpoint USB Device Control, batasi VID/PID keyboard resmi, dan kunci fisik port USB di area SCADA kritikal.

09

Kasus 9: Business Email Compromise (BEC) & Wire Fraud

Kategori: Email Forensics • Target: Microsoft 365 Exchange Online

Skenario Insiden: Bagian keuangan mentransfer Rp 2,5 Milyar ke rekening baru atas perintah email dari "CEO". Setelah dikonfirmasi via telepon, CEO tidak pernah mengirim email instruksi tersebut.

Pertanyaan Investigator: Apakah email dipalsukan (spoofing) atau akun CEO dibobol sungguhan (account takeover)? Periksa header SPF, DKIM, DMARC!

1
Initial Response: Bekukan akun email CEO di Azure AD / Entra ID, cabut semua active session token.
2
Evidence ID: Header raw email (.eml) dari inbox finance, Unified Audit Log (UAL) Microsoft 365.
3
Collection: Ekspor audit log M365 menggunakan PowerShell commandlet Search-UnifiedAuditLog.
4
Chain of Custody: Verifikasi hash file ekspor audit log.
5
Analysis: Analisa header RFC 822: SPF=pass, DKIM=pass, DMARC=pass. Ini membuktikan email dikirimkan LANGSUNG dari infrastruktur resmi Microsoft 365 perusahaan, BUKAN spoofing luar! Audit log mengungkap aktivitas login dari Nigeria (IP 102.164.x.x) menggunakan Session Hijacking via AitM Phishing. Pelaku membuat Inbox Rule tersembunyi: memindahkan semua email dari finance ke folder "RSS Feeds" dan menghapusnya agar CEO asli tidak curiga.
6
Findings: Account Takeover akibat pencurian cookie sesi OAuth MFA token via Evilginx phishing proxy.
7
Reporting: Terapkan FIDO2 Hardware Security Keys (YubiKey) yang kebal phishing AitM, dan hapus seluruh inbox forwarding rules ilegal.

10

Kasus 10: Mobile Forensics — Penyadapan Android Pegasus Spyware

Kategori: Mobile Device Forensics • Target: Smartphone Android 14 Samsung

Skenario Insiden: Ponsel milik seorang jurnalis investigasi mengalami baterai cepat habis, suhu tinggi, dan indikator mikrofon kamera sering menyala sendiri di latar belakang.

Pertanyaan Investigator: Bagaimana prosedur ekstraksi fisik bukti smartphone tanpa merusak data internal? Artefak apa yang membuktikan infeksi spyware?

1
Initial Response: Masukkan smartphone ke dalam Faraday Bag bersertifikasi militer (memblokir sinyal seluler GSM, WiFi, Bluetooth, GPS) untuk mencegah perintah remote wipe dari penyerang. Jangan matikan ponsel jika PIN/Passcode tidak diketahui (agar tetap di mode After First Unlock / AFU).
2
Evidence ID: Samsung Galaxy S23 (IMEI 1 & 2 tercatat di label bodi).
3
Collection: Menggunakan Cellebrite UFED / Magnet AXIOM atau open-source Mobile Verification Toolkit (MVT) melakukan ekstraksi Full File System (FFS) via ADB developer bridge.
4
Chain of Custody: Foto kondisi fisik retak/goresan ponsel, catat IMEI dan nomor kartu SIM.
5
Analysis: MVT memeriksa database telephony.db dan log sistem Android logcat: ditemukan rekaman zero-click exploit via file animasi WebP di pesan WhatsApp. Ekstraksi binary payload di direktori tersembunyi /data/local/tmp/ menunjukkan proses daemon mengunggah audio rekaman dan file pesan Signal secara terenkripsi ke IP C2.
6
Findings: Ditemukan indikator kompromi (IoC) spyware komersial canggih yang mengeksploitasi zero-day vulnerability pada parser media image.
7
Reporting: Penggantian perangkat keras secara total, pembaruan ke patch keamanan OS terbaru, pelaporan ke Citizen Lab.