🎯 Capaian Pembelajaran

Setelah pertemuan ini, mahasiswa mampu:

1. Menjelaskan order of volatility dan prioritas pengumpulan bukti
2. Menganalisis memory dump menggunakan Volatility 3
3. Mengekstrak dan menganalisis Windows Event Logs
4. Menganalisis Prefetch files dan SuperFetch
5. Mengidentifikasi Jump Lists, Recent Documents, dan LNK files
6. Mengekstrak dan menganalisis browser artifacts
7. Melakukan analisis Recycle Bin, Thumbnail Cache, dan Windows Timeline

📋 Agenda Hari Ini

⏱️ Order of Volatility

Prinsip utama:

• Kumpulkan data paling volatile terlebih dahulu
• Data di RAM hilang dalam hitungan detik saat power off
• Data di disk bertahan hingga di-overwrite

⏱️ Piramida Volatilitas

💡 Kumpulkan bukti dari yang paling volatile terlebih dahulu!

🔄 Live vs Dead Forensics

🎖️ Sistem C2 militer sering tidak boleh dimatikan — live forensics wajib!

🧠 Memory Forensics

Mengapa penting?

• Fileless malware hanya beroperasi di memori
• Encryption keys tersimpan di RAM saat drive terbuka
• Serangan APT canggih menghindari jejak di disk

🧠 Apa yang Tersimpan di RAM?

🧠 Tools Akuisisi Memori

💡 DumpIt ideal untuk first responder — cukup double-click!

🔬 Volatility 3 Framework

🔬 Plugin Volatility 3 Penting

🔬 Contoh Perintah Volatility 3

# Daftar proses
python vol.py -f memory.dmp windows.pslist

# Hierarki proses (parent-child)
python vol.py -f memory.dmp windows.pstree

# Koneksi jaringan aktif
python vol.py -f memory.dmp windows.netscan

# Deteksi malware injection
python vol.py -f memory.dmp windows.malfind

# Command line arguments per proses
python vol.py -f memory.dmp windows.cmdline

# Dump password hashes
python vol.py -f memory.dmp windows.hashdump

🔍 Deteksi Anomali Proses

Hierarki proses NORMAL Windows:

System → smss.exe → wininit.exe → services.exe → svchost.exe
System → smss.exe → csrss.exe
                        → winlogon.exe → explorer.exe

🛡️ DKOM — Menyembunyikan Proses

💡 Bandingkan output pslist vs psscan — perbedaan = proses tersembunyi!

📋 Windows Event Logs

Lokasi:

C:\Windows\System32\winevt\Logs\

Format: EVTX (sejak Windows Vista)

📋 Jenis Event Log Utama

📋 Event ID Kritis untuk Investigasi

📋 Skenario: Deteksi Intrusi

Temuan di workstation pangkalan militer:

📋 Tools Analisis Event Log

⚡ Prefetch Files

Lokasi: C:\Windows\Prefetch\

Format: [NAMA_PROGRAM]-[HASH].pf

⚡ Informasi dalam Prefetch

⚠️ Win 10/11: hingga 1024 file prefetch & 8 timestamps per file

📑 Jump Lists

💡 Jump Lists menyimpan path file bahkan setelah file asli dihapus!

🔗 LNK Files (Shortcut)

Windows otomatis membuat LNK file saat pengguna membuka dokumen.

🔗 Skenario: Akses File Rahasia

Analisis LNK file menunjukkan:

Target Path  : \\192.168.10.50\CLASSIFIED\intel_brief_q4.xlsx
Accessed     : 2026-01-12 23:45:00  ← Di luar jam kerja!
Machine ID   : SRV-KODAM-05
Volume Serial: A1B2-C3D4

🛠️ Eric Zimmerman Tools

Paket tool forensik gratis yang sangat populer:

🔗 Download: ericzimmerman.github.io

🌐 Browser Artifacts

🌐 Jenis Artefak Browser

💡 Format database: SQLite — buka dengan DB Browser for SQLite

🗑️ Recycle Bin Forensics

Lokasi: C:\$Recycle.Bin\[SID]\

⚠️ Recycle Bin dikosongkan? File masih bisa di-carve dari unallocated space (HDD)!

📅 Windows Timeline

Database:

C:\Users\[user]\AppData\Local\
  ConnectedDevicesPlatform\L.[user]\ActivitiesCache.db

Data yang tersimpan:

• Aplikasi yang dibuka + timestamp
• Dokumen yang diedit
• Website yang dikunjungi
• Durasi aktivitas

🖼️ Thumbnail Cache

Lokasi:

C:\Users\[user]\AppData\Local\Microsoft\Windows\Explorer\
  thumbcache_16.db / _32.db / _96.db / _256.db / _1024.db

🔄 Korelasi Multi-Artefak

🎖️ Studi Kasus: Eksfiltrasi via USB

Skenario: Personel Kodam diduga menyalin data rahasia ke USB

[08:00] Event 4624  → Login user: TNI_Officer_X
[08:20] Event 7045  → USB Mass Storage service installed
[08:22] LNK File    → E:\Backup\ (Volume: XXXX-YYYY)
[08:25] Jump Lists  → D:\Classified\operasi.docx dibuka
[08:30] Jump Lists  → E:\Backup\operasi.docx ← FILE DISALIN
[08:35] Recycle Bin  → D:\Classified\temp_copy.docx dihapus
[08:40] Event Logs  → USB device disconnected
[09:00] Prefetch    → CCLEANER.EXE ← UPAYA HAPUS JEJAK

🎖️ Analisis Studi Kasus

📊 Super Timeline

🎖️ Skenario: Serangan APT

Memory dump menunjukkan:

Process : csrss.exe
Path    : C:\Users\Public\csrss.exe  ← ANOMALI!
Parent  : explorer.exe               ← ANOMALI!
Network : 185.x.x.x:443 (ESTABLISHED)

🏷️ MITRE ATT&CK: Masquerading (T1036) + C2 Communication

🧠 Quiz Time!

Pertanyaan 1:

Berdasarkan order of volatility, data mana yang harus dikumpulkan PERTAMA?

💡 RAM hilang saat power off — harus di-capture terlebih dahulu!

🧠 Quiz Time!

Pertanyaan 2:

Event ID berapa yang menunjukkan Security log dihapus (anti-forensik)?

⚠️ Event ID 1102 = Security audit log cleared — tanda anti-forensik!

🧠 Quiz Time!

Pertanyaan 3:

Proses svchost.exe yang sah selalu memiliki parent process:

💡 Parent lain = kemungkinan malware menyamar sebagai svchost!

🧠 Quiz Time!

Pertanyaan 4:

Artefak mana yang tetap menyimpan bukti visual file setelah file asli dihapus?

💡 Thumbnail tidak ikut terhapus saat file dihapus atau Recycle Bin dikosongkan!

📝 Ringkasan

📅 Pertemuan Berikutnya

• Struktur dan lokasi Windows Registry hives
• Registry forensics: NTUSER.DAT, SAM, SYSTEM, SOFTWARE
• USB device history dan mounted devices
• ShimCache, AmCache, dan UserAssist analysis

📚 Referensi

1. Carvey, H. (2022). Windows Forensic Analysis (5th Ed.). Academic Press. Chapter 3-5
2. Casey, E. (2022). Digital Evidence and Computer Crime (4th Ed.). Academic Press. Chapter 9.
3. Ligh, M.H., et al. (2014). The Art of Memory Forensics. Wiley. Chapter 1-5.
4. Volatility Foundation. (2024). Volatility 3 Documentation.
5. Zimmerman, E. (2024). Eric Zimmerman's Tools. ericzimmerman.github.io
6. SANS Institute. (2023). Windows Forensic Analysis Poster.