Fitur Sandbox VirusTotal adalah lingkungan virtual terisolasi (sandbox) yang digunakan untuk menjalankan dan mengamati perilaku file atau tautan mencurigakan secara dinamis. Ketika sebuah sampel diunggah ke VirusTotal, mesin analisis tidak hanya memindainya menggunakan berbagai antivirus statis, tetapi beberapa engine keamanan juga mengeksekusinya di dalam sistem operasi tiruan untuk merekam aktivitas nyata yang dilakukan oleh file tersebut.
Analisis perilaku (behavioral analysis) ini sangat krusial dalam mendeteksi malware canggih, ransomware, atau trojan baru yang belum dikenali oleh tanda tangan digital (signature-based detection) konvensional. Melalui laporan sandbox, analis keamanan dapat melihat manipulasi file sistem, perubahan registri Windows, koneksi jaringan keluar, hingga injeksi proses yang dicoba oleh sampel.
Komponen Utama dalam Laporan Perilaku Sandbox VirusTotal
Laporan perilaku yang dihasilkan oleh sandbox VirusTotal dipecah menjadi beberapa kategori utama untuk memudahkan pembacaan indikator ancaman (Indicators of Compromise / IoCs). Berikut adalah tabel rincian komponen laporan perilaku tersebut:
| Kategori Perilaku | Deskripsi Aktivitas yang Dipantau | Potensi Risiko Keamanan |
|---|---|---|
| File & Directory Actions | Pembuatan, modifikasi, penghapusan, atau pembacaan file di dalam sistem (misalnya di folder AppData, Temp, atau System32). | Penyebaran payload malware, penghapusan shadow copies, atau penempatan dropper. |
| Registry Modifications | Perubahan pada kunci registri Windows (Registry Keys), terutama yang berkaitan dengan startup. | Persistensi malware agar tetap aktif setelah komputer dinyalakan ulang. |
| Process & Thread Injection | Pembuatan proses baru, penghentian proses, atau injeksi kode ke dalam proses sah (seperti explorer.exe atau svchost.exe). | Menghindari deteksi keamanan dengan menyamar sebagai proses sistem yang sah. |
| Network Activity | Permintaan DNS, koneksi TCP/UDP keluar, alamat IP tujuan, dan komunikasi protokol HTTP/HTTPS. | Komunikasi dengan server Command and Control (C2), pencurian data, atau pengunduhan tahap kedua (dropper download). |
| MITRE ATT&CK Mapping | Pemetaan aktivitas sampel ke kerangka kerja taktik dan teknik serangan siber global (MITRE ATT&CK). | Memberikan konteks tingkat lanjut mengenai pola serangan yang digunakan oleh pembuat malware. |
Langkah-Langkah Menggunakan Fitur Sandbox di VirusTotal
Bagi praktisi keamanan siber maupun pengguna umum yang ingin meneliti file menggunakan kapabilitas analisis perilaku VirusTotal, ikuti prosedur teknis berikut:
- Buka situs resmi VirusTotal melalui peramban web di virustotal.com.
- Pilih tab SEARCH untuk mencari hash file yang sudah pernah dianalisis, atau pilih tab FILE untuk mengunggah sampel baru (pastikan ukuran file tidak melebihi batas maksimal yang diizinkan platform).
- Setelah proses pemindaian statis selesai, arahkan pandangan ke tab BEHAVIOR (Perilaku). Jika tombol ini aktif, berarti setidaknya satu sandbox telah mengeksekusi sampel tersebut.
- Gulir ke bawah untuk meninjau bagian Processes Created, Files Written, dan Network Traffic guna melihat detail aktivitas jaringan dan sistem operasi.
- Periksa bagian pemetaan MITRE ATT&CK untuk memahami teknik eksploitasi spesifik yang dicoba oleh sampel file tersebut.
Tips Keamanan dan Batasan Analisis Sandbox
Meskipun sangat bertenaga, fitur sandbox memiliki beberapa batasan operasional yang wajib dipahami: