Defensive research / Malware analysis

Membedah "Daerah SD" (Bagian 3): Mitos Driver Kernel — Satu Kunci Membuka Seluruh Keluarga Payload

8 Oktober 2026Windows / Static Analysis / Detection Engineering / Anti-Cheat
Catatan editorial: Seluruh nama individu, brand, dan merk dagang dalam tulisan ini disamarkan sesuai kebijakan editorial Dolenthis. Identifier teknis (nama file, hash, kunci dekripsi, path, teknik MITRE ATT&CK) ditulis apa adanya karena merupakan indikator deteksi.

Ringkasan Eksekutif

Dua bagian pertama seri ini menyisakan satu tanda tanya. Di antara seluruh artefak ekosistem "Daerah SD", ada satu file yang tidak bisa dibaca: sebuah blob terenkripsi berekstensi .sys, berentropi tinggi, yang pada Bagian 1 hanya bisa kami catat sebagai hipotesis — kemungkinan payload yang disamarkan, dan kandidat terakhir untuk satu klaim yang selalu menyertai ekosistem ini: bahwa mereka memiliki driver kernel.

Tanda tanya itu kini tertutup. Pada gelombang analisis terbaru — 62 varian baru dari ekosistem yang sama — enkripsi yang melindungi file tersebut berhasil dipecahkan. Kuncinya ternyata satu deret angka sederhana yang dipakai berulang untuk seluruh keluarga payload. Dan isi file itu, setelah terbuka, bukanlah driver kernel. Isinya injector user-mode biasa.

Lebih jauh lagi: setelah seluruh file berekstensi .sys dari semua generasi ekosistem ini diperiksa satu per satu, sensusnya tegas — nol driver kernel. Mitosnya runtuh bukan oleh satu file, melainkan oleh tidak adanya satu pun bukti di seluruh sampel. Tulisan ini membedah bagaimana enkripsi itu pecah, apa isi dua file yang terbuka karenanya, dan mengapa ekosistem ini sebenarnya tidak pernah membutuhkan driver kernel sama sekali.

Analisis tetap dilakukan murni statis — tidak satu pun file dijalankan. Untuk dua file terenkripsi, analisis dilengkapi dekripsi penuh hingga struktur PE-nya terbaca utuh.

1. Satu Tanda Tanya yang Tersisa

Sejak awal, kata "driver" adalah bagian dari panggung ekosistem ini. Installer mereka tidak pernah membundel file .sys — sang "driver" selalu disebut diunduh belakangan, saat program berjalan, seolah ia komponen istimewa yang terlalu berharga untuk dikirim di muka. Bagi pengguna, label itu menjual dua hal sekaligus: kesan canggih dan janji sulit dideteksi. Program yang berjalan di kernel memang terdengar seperti cheat kelas berat.

Bagian 1 seri ini sudah membongkar sebagian panggungnya: file-file .sys yang berhasil diperoleh pada gelombang pertama — sang pengunduh dan sang injector — ternyata aplikasi console user-mode biasa yang memakai ekstensi .sys sebagai kostum. Subsystem-nya console, bukan native; tidak ada satu pun ciri driver kernel pada header-nya.

Tetapi satu file menolak dibaca. Sebut saja file "manual" — blob 38 KB yang seluruh isinya terenkripsi, tanpa header PE yang terbaca, tanpa string yang bisa dipanen. Pada Bagian 1 kami menulisnya apa adanya: status hipotesis. Ia bisa jadi apa saja — termasuk, secara teori, satu-satunya driver kernel asli di ekosistem ini, yang dienkripsi justru karena ia yang paling berharga.

Dalam riset keamanan, hipotesis yang tidak bisa diuji bukanlah kesimpulan. Ia utang. Dan utang itu terbayar pada gelombang analisis berikutnya, oleh sebuah file lain yang datang dari paket berbeda.

2. Kunci yang Bocor oleh Statistik

File penentunya adalah modul utama generasi kedua ekosistem ini — sebuah DLL berukuran sekitar 826 KB yang pada paket distribusinya tidak terbaca sebagai file PE sama sekali. Pemeriksaan awal justru menemukan kejanggalan statistik: 22,9% byte file itu adalah digit ASCII — karakter 0 sampai 9.

Untuk data terenkripsi yang sehat, angka itu mustahil. Enkripsi yang baik menghasilkan byte yang menyebar merata; tidak sampai seperempat isinya berupa karakter angka yang bisa dibaca manusia. Pola seperti ini adalah tanda tangan klasik XOR dengan keystream pendek yang diulang: bila aliran kuncinya sendiri tersusun dari digit, dan data aslinya banyak mengandung byte nol (ciri khas file PE — padding antar-section, header, area kosong), maka digit-digit kunci itu "tembus" dan terlihat langsung pada hasil enkripsinya.

Dan pola digit yang sama persis pernah terlihat sebelumnya — sebagai "pengisi" misterius di dalam file "manual" yang terenkripsi pada Bagian 1. Dua file dari dua paket berbeda membawa pola yang sama. Indikasinya kuat: satu kunci yang sama melindungi keduanya.

Dengan menyelaraskan posisi keystream-nya (alignment di offset 15), file DLL itu terbuka menjadi PE yang valid 100%. Kuncinya sendiri sangat sederhana:

235246856876125325768

Dua puluh satu byte, seluruhnya digit ASCII — lebih mirip nomor telepon daripada kunci kriptografi. Skema yang sama kemudian diterapkan ke file "manual", dan file yang selama ini menjadi tanda tanya pun terbuka utuh: header PE terbaca, tabel import terbaca, seluruh strukturnya bisa diaudit seperti file biasa.

Ada pelajaran opsec yang telanjang di sini. Operator ini memakai satu kunci untuk seluruh keluarga payload terenkripsinya — dan kunci yang lemah secara statistik pula. Satu file yang pecah berarti semua file ikut terbuka. Dalam keamanan, key reuse adalah dosa yang hukumannya kolektif.

3. File Pertama yang Terbuka: Modul Cheat yang Bekerja Tanpa Ekspor

DLL hasil dekripsi itu adalah modul cheat utama generasi kedua. Profilnya:

Perhatikan konsekuensi terakhir itu. Modul ini adalah bukti bahwa kemampuan tempur tertinggi ekosistem ini — manipulasi konteks thread dan pengalihan eksekusi di dalam proses game — dicapai tanpa satu baris kode kernel pun.

4. File Kedua yang Terbuka: "Driver" Terakhir Ternyata Injector

Kini file "manual" — kandidat terakhir sang driver kernel. Hasil dekripsinya:

Isinya ternyata injector user-mode yang lengkap dan tidak istimewa — satu lagi anggota keluarga injector yang sudah dipetakan sejak Bagian 1, kali ini dibungkus enkripsi. Nama "manual" pada file itu pun kini terbaca benar: ia merujuk pada injeksi manual yang dilakukan loader ini, bukan pada teknik pemetaan driver ke kernel.

Satu detail kronologi memperkuat gambarnya. Timestamp build file "manual" hasil dekripsi adalah pukul 09:50 pada suatu pagi di April 2026; stager paket yang sama dibangun pukul 09:52; DLL cheat utama di atas pukul 09:56. Ketiganya lahir dalam satu sesi build enam menit — satu paket, satu meja kerja, tidak ada komponen eksotis dari dapur lain.

Konsekuensi resminya terhadap catatan kami: verdict file ini naik dari WASPADA menjadi BERBAHAYA — bukan lagi "tidak dapat diverifikasi", melainkan injector terkonfirmasi. Dan hipotesis Bagian 1 tentang kandidat driver kernel dinyatakan gugur.

5. Sensus Akhir: Nol dari Semua Generasi

Satu file yang gugur belum meruntuhkan mitos. Yang meruntuhkannya adalah sensus. Pada gelombang terbaru, seluruh file berekstensi .sys dari semua lini produk ekosistem ini diperiksa dengan daftar periksa yang sama:

Total sampel ekosistem ini kini 91 file (29 dari gelombang pertama, 62 dari gelombang terbaru). Jumlah file .sys yang terbukti merupakan driver kernel: nol. Pada titik ini, beban pembuktiannya berbalik: yang luar biasa bukanlah klaim kami bahwa driver itu tidak ada — yang luar biasa adalah klaim penjualnya bahwa driver itu ada, tanpa pernah satu kali pun menghadirkan buktinya.

6. Mengapa Mereka Tidak Membutuhkan Driver Kernel

Bagian ini adalah analisis kami — penalaran dari bukti di atas, bukan temuan langsung.

Pertama, soal ekonomi dan risiko. Driver kernel yang sah pada Windows modern wajib ditandatangani dengan sertifikat penandatanganan kode kernel — mahal, terikat identitas penerbit yang terverifikasi, dan dapat dicabut. Bagi operasi ilegal, sertifikat seperti itu adalah jejak identitas yang mahal dan mudah dibakar. Jalur pintasnya pun tidak terlihat di ekosistem ini: tidak ada bukti penyalahgunaan driver sah pihak ketiga yang rentan (pola bring your own vulnerable driver) pada satu pun sampel.

Kedua, soal kebutuhan teknis. Lawan ekosistem ini adalah sebuah game dan anti-cheat yang beroperasi dari user-mode. Untuk membaca dan memanipulasi proses game dari user-mode, yang dibutuhkan hanyalah hak administrator — dan seluruh rantai distribusi mereka memang sudah meminta hak itu sejak installer pertama. Injector user-mode dengan hak admin dapat membuka proses game, menulis memorinya, dan memanipulasi thread-nya. Kernel tidak menambah apa pun yang mereka perlukan.

Ketiga, soal pemasaran. Kata "driver" dan "kernel" bekerja pada pembeli, bukan pada mesin. Ia membenarkan harga, menjelaskan mengapa Windows "harus" memberikan izin administrator, dan menanamkan rasa aman palsu bahwa produk ini "tidak mungkin terdeteksi". Mitos adalah fitur — hanya saja fitur untuk katalog penjualan, bukan untuk kode.

7. Checklist: Membedakan Driver Asli dan .sys Palsu

Ekstensi file tidak membuktikan apa pun — header PE-nya yang bicara. Pemeriksaan tiga puluh detik berikut membedakan keduanya tanpa menjalankan file:

Satu baris ringkasnya: driver kernel tidak mungkin memakai API jaringan aplikasi desktop dan tidak meminta izin administrator lewat manifest. File .sys yang melakukan keduanya adalah aplikasi biasa yang berdandan.

8. Pemetaan MITRE ATT&CK (ringkas)

9. Indikator Deteksi (IOC)

Kunci XOR di atas adalah indikator yang paling tahan lama dari daftar ini: hash berubah setiap rebuild, tetapi selama operator memakai ulang kunci yang sama — dan seluruh bukti menunjukkan mereka memakainya untuk satu keluarga penuh — satu kunci ini membuka dan menandai semua payload terenkripsi mereka.

10. Rekomendasi

Untuk pengguna:

Untuk deteksi:

Keterbatasan

Seluruh analisis bersifat statis; dua file terenkripsi dianalisis setelah dekripsi penuh hingga struktur PE terbaca, tanpa eksekusi. String ter-obfuskasi pada keluarga loader generasi kedua (termasuk URL server lengkap beberapa varian) belum seluruhnya terpulihkan — dekripsinya membutuhkan analisis per file dan masih berjalan. Sensus "nol driver kernel" berlaku untuk 91 file yang berhasil diperoleh hingga tulisan ini dibuat; ia adalah kesimpulan atas bukti yang tersedia, dan akan direvisi bila suatu hari sebuah driver asli benar-benar muncul dan terverifikasi. Timestamp PE diasumsikan asli, didukung konsistensi pola build berurutan antar-file.

Bagian berikutnya dari seri ini membedah temuannya yang lain: satu loader bersama yang diam-diam melayani banyak merek cheat sekaligus — bukti bahwa peta persaingan antar-penjual tidak seperti yang terlihat dari etalasenya.

Dolenthis adalah media riset independen. Analisis seperti inilah yang menjadi basis data indikator tool deteksi kami — karena deteksi yang baik selalu dimulai dari pemahaman yang jujur tentang cara kerja penyerang.

Indikator dari rangkaian analisa ini dipakai oleh PBGuard — pendeteksi cheat Point Blank by Dolenthis.

CONTACT
← Kembali ke Blog