Ku Tulis Apa Yang Ingin Ku Tulis View RSS

Flash Disk adalah salah satu media yang akan digunakan untuk menyebarkan dirinya dengan memanfaatkan celah autorun Windows yakni dengan membuat file autorun.inf dan bulubebek.ini

Cari dan hapus file duplikat yang dibuat oleh virus. Untuk mempercepat proses pencarian sebaiknya gunakan fungsi “Search Windows” dengan terlebih dahulu menampilkan file yang disembunyikan.

Jika anda mengalami kejadian aneh saat koneksi internet, semisal terdapat script error pada saat kita meng-aktifkan Yahoo Messenger, maka anda patut waspada karena bisa saja anda terkena serangan virus ini.

Selain itu, virus akan menyisipkan script pada semua aplikasi browser anda dengan menambahkan script pada setiap halaman website yang kita akses.

Virus akan mendownload 2 file virus utama, yaitu gameeeeeee.vbs dan gameeeeeee.pif (dua-duanya mempunyai nama dengan 7 huruf “e”), secara otomatis, file gameeeeeee.vbs yang telah masuk akan menjalankan file gameeeeeee.pif.

Setelah meng-update dirinya dengan mendownload kumpulan file virus, virus akan mulai melancarkan serangan pada jaringan. Dengan menggunakan file winipsec.dll, virus melakukan broadcast ke seluruh pc dalam jaringan anda. Jika virus menemukan router/gateway dalam jaringan, maka ia akan berusaha memanipulasi jaringan dengan memalsukan diri sebagai router/gateway dengan cara mengubah Mac Address sama persis dengan router/gateway.

Sama seperti varian sebelumnya, virus melakukan perubahan yang besar pada host file. Dengan mengubah host file, virus berusaha mengalihkan akses browsing user ke website-website asal cina.

Sebagai informasi, Hosts file pada OS Windows berfungsi mirip seperti DNS dimana jika virus berhasil menguasai Hosts file, dengan mudah ia dapat memanipulasi akses internet dan mengalihkan ke website yang di ingini. Hal ini sangat berbahaya khususnya untuk pengguna internet banking karena di tangan orang yang mengerti bagaimana mengeksploitasi Hosts file ini, koneksi internet banking dengan mudah dialihkan ke komputer lain untuk kemudian di fraud, sekalipn sudah di proteksi dengan token / kalkulator PIN.

Selama komputer yang memalsukan gateway tersebut masih belum dibasmi, maka seluruh komputer di jaringan selalu di kirimi file trigger virus. Jika komputer yang menerima file ini menjalankan file kiriman tersebut (secara otomatis) maka ia akan mendownload beberapa file instalasi virus dan menginstalkan file-file tersebut untuk kemudian menjadikan dirinya sebagai host ARP Spoofing yang memalsukan gateway kembali. Jadi jika di dalam satu jaringan, ada komputer yang terdeteksi menerima virus berulang-ulang (khususnya ketika menjalankan browser / Yahoo Messenger) tetapi tidak bisa dibasmi karena muncul terus, Vaksincom menyarankan anda jangan sampai kerja bakti membersihkan virus-virus dari komputer-komputer tersebut karena PERCUMA. Cari dulu biangnya, gunakan NNP (Norman Network Protector) untuk mengetahui PC mana saja yang mendownload file virus. Cari biang yang memalsukan gateway dengan Mac Scanner dan basmi semua komputer yang memalsukan Mac Address gateway. Setelah itu bersihkan semua komputer yang mendownload virus berdasarkan list dari NNP.

http://download.norman.no/public/Norman_Malware_Cleaner.exe

Jika anda menanyakan, virus apa yang merajai dunia dan Indonesia pada paruh tahun ke dua 2008. Jangan terkejut jika jawabannya adalah kuda hitam Antivirus Gadungan yang banyak disebut dengan istilah Rogue Scanner, Advance Antivirus atau Scamware. Jika anda bingung apa yang Vaksincom bicarakan, bahasa yang lebih membumi dan membuat pengguna komputer sadar adalah Antivirus XP 2008, Antivirus XP 2009, IE Defender, Internet Antivirus, SpyHeal, SpySheriff yang kalau diteruskan daftarnya akan cukup membuat pegal baik mengetik maupun membacanya.

Jumlah Antivirus Gadungan saat ini yang terdeteksi adalah 304 antivirus gadungan. Data yang dikumpulkan statistik virus Vaksincom didukung data statistik Norman Network Protector (NNP) yang di instal di beberapa ISP mengkonfirmasikan hal ini. Dapat dipastikan ribuan komputer di Indonesia yang terkoneksi ke internet terinfeksi virus ini dan celakanya virus ini memiliki genetik Spyware dan memiliki kemampuan mengupdate dirinya sendiri, sehingga untuk membersihkannya membutuhkan perjuangan berat dan beberapa user yang kesal memilih jurus Pasopati (format :P).

Antivirus Gadungan ini memiliki banyak cara menyebarkan dirinya, menurut pengamatan Vaksincom metode ini selalu diperbaharui setiap kali ditemukan cara efektif mengatasinya. Adapun metode yang umum digunakan adalah sebagai berikut :

• Mengeksploitasi celah keamanan (Java Script) browser waktu mengunjungi website tertentu sehingga akan terinstal secara otomatis dan menampilkan peringatan palsu.

• Menawarkan scan malware gratis atau tune up sistem komputer gratis.

• Email, dalam hal eksploitasi email pembuat virus ini cukup kreatif. Adapun bentuk-bentuk email yang terdeteksi adalah sebagai berikut :

  • Kartu ucapan / greeting card. Email yang datang juga memiliki banyak varian, baik yang datang dalam lampiran bervirus (biasanya di kompres / zip) maupun hanya link download yang memanfaatkan fitur “drive by download”.

  • Breaking News dari CNN atau situs berita yang lain.

  • Menawarkan film porno artis ternama seperti Angelina Jolie yang dikombinasikan dengan baik sekali dengan rekayasa sosial pada situs You Tube. Dimana file yang mengandung virus seakan-akan harus di download sebagai codec (file yang diperlukan untuk menonton file film di You Tube). Lihat artikel http://vaksin.com/2008/0808/anjelina-jolie2/anjelina-jolie2.html

  • Datang dalam lampiran terkompres seperti yang terakhir ditemui Vaksincom datang sebagai email konfirmasi pengiriman barang dari UPS yang meminta kita mencetak invoice .doc yang sebenarnya adalah file virus karena memiliki ekstensi ganda (ups_letter.doc.exe). Supaya lampiran ini tidak diblok di mailserver ia di kompres terlebih dahulu dengan nama “ups_letter.zip”. (lihat gambar 3)

Masih ingatkah anda pada artikel virus "anjelina jolie" atau yang lebih dikenal dengan "AntivirusXP 2008", virus yang umum-nya menyerang para pengguna e-mail yang kemudian alih-alih justru mendownload serta meng-install antivirus palsu. Berikut informasi selengkapnya pada, http://vaksin.com/2008/0708/anjelina-jolie/anjelina-jolie.html, dan http://vaksin.com/2008/0808/anjelina-jolie2/anjelina-jolie2.html .

Bagi anda yang masih “trauma” dengan kasus virus tsb, maka kali ini anda harus bersiap-siap dengan kedatangan varian terbaru virus tsb. Jika sebelumnya menggunakan nama “AntivirusXP 2008”, maka kali ini menggunakan nama “XP AntiSpyware 2009”.

Jika anda menerima e-mail dari UPS (United Parcel Service) yang disertai lampiran UPS_letter.zip

maka sebaiknya jangan sekali-kali dibuka karena akan menginfeksikan komputer anda dengan Antivirus Gadungan.

E-mail tsb menyertakan attachment file dengan nama “UPS_letter.zip”, yang didalamnya berisi sebuah file virus yang memiliki ekstensi ganda, UPS_letter.doc.exe, dan menggunakan icon word serta berukuran 42 kb.

Jika anda sudah terlanjur membuka attachment tsb, maka file virus yang terdapat pada attachment file tsb secara otomatis akan tereksekusi dan membuat beberapa file virus pada komputer anda. Berikut beberapa file virus yang akan dibuat oleh virus :

- C:\WINDOWS\system32\braviax.exe (10 kb)

- C:\WINDOWS\brastk.exe (10 kb)

- C:\WINDOWS\system32\brastk.exe (10 kb)

- C:\WINDOWS\karna.dat (6 kb)

- C:\WINDOWS\system32\karna.dat (6 kb)

- C:\WINDOWS\system32\delself.bat (1 kb)

- C:\WINDOWS\Tasks\SA.dat (1 kb)

- C:\Program Files\Microsoft Common\wuauclt.exe (42 kb)

- C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\content.ie5\4jkxkjch\kashi[1].exe (43 kb)

- C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\content.ie5\4jkxkjch\kashi[1].exe (43 kb)

Kemudian setelah membuat beberapa file virus dan aktif pada proses windows, virus akan mulai beraksi dengan memberikan sebuah pesan palsu (menyerupai program windows), yang seolah-olah memberitahu anda bahwa di komputer kita terdapat spyware/virus.

Dengan pesan tsb, virus ini akan “memaksa” anda untuk mengklik link yang dituju. Jika anda sudah mengklik pesan tsb, maka virus akan mendownload secara otomatis file instalasi antispyware palsu, yang secara otomatis pula akan menginstall dirinya (lokasi file download tsb yaitu http://xpas-2009.com/install/Installer.exe).

Saat anda melanjutkan proses selanjutnya, antispyware palsu ini akan mendownload beberapa file virus berikut file instalasi antispyware tsb. Beberapa file yang didownload oleh virus tsb, yaitu :

- C:\Program Files\Common Files\ : ibureqag.dll, nysexireh.vbs, ybofomas._sy (nama file acak)

- C:\WINDOWS\ : yvohidol.bin, dyfype._dl (nama file acak)

- C:\ WINDOWS\system32\iceze.dl (nama file acak)

- C:\Documents and Settings\all users\Documents\ : isir.sys, tucyf.sys (nama file acak)

- C:\Documents and Settings\%user%\Application Data\ : iwin.dat, jikym.vbs, ojahu.pif, pejax.exe, ypehij.db (nama file acak)

- C:\Documents and Settings\%user%\Cookies\ : ahicixicyd.reg, ihowed.exe, itaw.bin, lebiwige.db, ytar.vbs (nama file acak)

- C:\Documents and Settings\%user%\Local Settings\Application Data\ : awapufu.lib, iqodud.lib, umyh._sy (nama file acak)

- C:\Documents and Settings\%user%\Local Settings\Temporary Internet Files\ibykotit.vbs

Selanjutnya virus meng-install program antispyware palsu yaitu “XP AntiSpyware 2009”. Program ini tidak jauh berbeda seperti halnya program antispyware lain, seperti terdapat shortcut pada desktop, terinstall pada C:\Program Files, terdapat shortcut pada Start Menu, icon pada taskbar dan terdaftar pada Add Remove Program . Bedanya adalah program ini bukan antispyware, melainkan spyware :P. Untuk meyakinkan korbannya mendownload lebih banyak spyware lagi, ia akan menjalankan aksinya menampilkan pesan “seram” bahwa komptuer tersebut terinfeksi virus-virus dengan resiko tinggi

Setelah terinstall dengan mudah, program antispyware palsu akan menjalankan aksi-nya (melakukan scanning palsu dan menampilkan pesan palsu).

Setelah selesai menjalankan aksinya, virus akan memberikan report palsu serta meminta anda untuk melakukan register program antispyware palsu tsb. Jika anda tidak ingin melakukan register, maka program akan menampilkan pesan infeksi virus secara terus menerus, dan virus akan terus menambah atau mendownload file virus.

Jika anda melakukan register, maka anda akan di bawa ke sebuah website yaitu : http://www.xp-antispyware2009.com/buy.html, dimana anda harus membayar sebesar $49.95 hingga $79.95 secara online dengan menggunakan kartu kredit (lihat gambar 9). Hebatnya website ini berfungsi dan memiliki sistem untuk mendebet Kartu Kredit anda. Kalau anda merasa cukup banyak uang dan memiliki kartu kredit untuk membeli antivirus ini. Maka ibarat kata pepatah, “Sudah Jatuh, Tertimpa Tangga, Di gigit anjing Tetangga, anjingnya Rabies lagi“alias sial banget. Mengapa ?

Karena :

1. Anda sudah dibodohi dengan peringatan virus palsu (sudah rugi moril).

2. Anda kehilangan uang (rugi materi)

3. Anda akan mendapatkan produk yang anda kira antivirus, tetapi ternyata virus / spyware juga. Jadi anda membayar untuk mendapatkan spyware.

4. Kartu kredit anda akan di charge besar, tidak sesuai dengan nominal yang tertera pada saat transaksi.

5. Kartu kredit anda akan dijadikan sebagai daftar Fraud. Jadi, jika anda pernah bertransaksi membeli antivirus gadungan ini, Saya menyarankan sebaiknya segera matikan nomor kartu kredit anda dan ganti dengan nomor baru.

Jika dilihat sekilas, ibaratnya mata-mata Korea Utara yang cantik, website tsb mampu menipu user dengan menampilkan beberapa data palsu seperti definisi virus terbaru, penghargaan dari beberapa majalah IT dunia, testimonial dari para pengguna program antispyware palsu serta beberapa keuntungan menggunakan program antispyware palsu tsb, dll.

Selain itu, jika suatu ketika anda gagal browsing ke sebuah website atau website yang anda kunjungi tidak dapat ditemukan, maka virus akan menggantikan halaman yang error (page error), dengan halaman website pengganti

yang sudah dipersiapkan oleh virus ini (yang tentu-nya juga akan menampilkan pesan untuk melakukan register dan diarahkan ke website palsu virus). Pokoknya benar-benar lengkap dan profesional cara kerja Antivirus Gadungan ini.

Registri Windows

Agar dapat aktif saat komputer dijalankan, virus akan membuat string registry sebagai berikut :

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

braviax = C:\WINDOWS\system32\braviax.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Windows

AppInit_DLLs = karna.dat

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

braviax = C:\WINDOWS\system32\braviax.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

brastk = brastk.exe

Selain itu, virus membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Image File Executions Options\Explorer.exe

Debugger"="C:\Program Files\Microsoft Common\wuauclt.exe

Untuk mengubah default web, virus pun membuat string berikut :

• HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\

Search Bar = http://www.google.com/ie

Search Page = http://www.google.com

Start Page = http://www.google.com

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

Default_Search_URL = http://www.google.com/ie

Search Page = http://www.google.com

Start Page = http://www.google.com

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search

SearchAssistant = http://www.google.com

Selain itu, virus pun membuat string pada security windows berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center

AntiVirusDisableNotify = 1

FirewallDisableNotify = 1

UpdateDisableNotify = 1

Untuk mempermudah penyebaran, virus pun membuat string :

• HKEY_CURRENT_USER\Software\ Microsoft\Windows\CurrentVersion\Explorer\ MountPoints2\{706ab86c-937e-11dd-a04c-000c290bc510}\Shell\AutoRun\Command

(Default) = C:\WINDOWS\system32\RunDLL32.EXEShell32.DLL, ShellExec_RunDLL system.exe

• HKEY_CURRENT_USER\Software\ Microsoft\Windows\CurrentVersion\Explorer\ MountPoints2\{706ab86c-937e-11dd-a04c-000c290bc510}\Shell\Explorer\Command

(Default) = %drive%:\system.exe

• HKEY_CURRENT_USER\Software\ Microsoft\Windows\CurrentVersion\Explorer\ MountPoints2\{706ab86c-937e-11dd-a04c-000c290bc510}\Shell\Open\Command

(Default) = %drive%:\system.exe

Menyebarkan diri melalui Flash Disk

Kelihatannya virus ini juga “belajar” dari pembuat virus Indonesia. Sebagai media penyebaran awal, virus mencoba menggunakan media “Flashdisk” ataupun “Disket”, dengan memanfaatkan system autoplay windows agar dirinya dapat aktif secara otomatis setiap kali user akses ke Flashdisk tersebut (lihat gambar 11). File yang di buat yaitu :

• autorun.inf

• system.exe

Cara pembersihan virus Rogue Spyware

• Putuskan hubungan komputer yang akan dibersihkan dari jaringan.

• Scan komputer anda dengan menggunakan removal tool dari Norman.

Anda dapat menggunakan removal tool dari Norman untuk membersihkan-nya (dapat anda download melalui link dibawah ini).

http://download.norman.no/public/Norman_Malware_Cleaner.exe

• Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe ""%1"""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKCU, Software\Microsoft\Internet Explorer\Main, Search Bar, 0

HKCU, Software\Microsoft\Internet Explorer\Main, Search Page, 0

HKCU, Software\Microsoft\Internet Explorer\Main, Start Page, 0

HKLM, SOFTWARE\Microsoft\Internet Explorer\Main, Default_Search_URL, 0

HKLM, SOFTWARE\Microsoft\Internet Explorer\Main, Search Page, 0

HKLM, SOFTWARE\Microsoft\Internet Explorer\Main, Start Page, 0

HKLM, SOFTWARE\Microsoft\Internet Explorer\Search, SearchAssistant, 0

HKLM, SOFTWARE\Microsoft\Security Center, AntiVirusDisableNotify, 0

HKLM, SOFTWARE\Microsoft\Security Center, FirewallDisableNotify, 0

HKLM, SOFTWARE\Microsoft\Security Center, UpdateDisableNotify, 0

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs, 0

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Run, braviax

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, braviax

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, brastk

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2, {706ab86c-937e-11dd-a04c-000c290bc510}

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Executions Options, Explorer.exe

Gunakan notepad, kemudian simpan dengan nama “Repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

• Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali seluruh file instalasi virus ini dengan baik seperti Norman Security Suite.

Salah satu hasil kreasi yang ada saat ini adalah virus dengan nama JeNGKol. Untuk mengelabui user JeNGKol akan menggunakan icon Extractor yang di dalamnya terdapat file VBS dengan ukuran 14 KB dengan nama file JeNGKol.vbs.

Berikut ciri-ciri jika terinfeksi virus JeNGKol

• Munculnya file dengan icon JPEG dengan ukuran 14 KB

• Munculnya nama file JeNGKol.vb di setiap folder dan subfolder dengan ukuran file sekitar 14 KB

• Komputer akan Logoff jika user menjalankan file yang mempunyai ekstensi .INF [Klik kanan file .inf | Install]

• Komputer akan Logoff jika user edit file VBS

Target yang akan di incar oleh JeNGKol ini adalah file yang mempunyai ekstensi .DOC yakni dengan menyembunyikan file tersebut, selain itu ia juga akan membuat file duplikat di setiap folder/subfolder sesuai dengan nama file yang ada di folder/subfolder.

Jika komputer sudah terinfeksi, ia akan membuat beberapa file induk berikut:

• %Drive%:\>JeNGKol.vbs

• %DRive%:\>Autorun.inf

• %Allfolder%:\>JeNGKol.vbs

• C:\Documents and Settings\%user%\Favorites\JeNGKol.vbs

• C:\Documents and Settings\%user%\Favorites\JeNGKol.lnk

• C:\Windows\JeNGKol.vbs

Catatan:

%Drive% ini menunjukan Drive Hardisk (c:\ atau d:\)

%Allfolder% ini menunjukan folder/subfolder

%user% ini menunjukan user account yang sedang menggunakan komputer

Agar virus tersebut dapat aktif secara otomatis, ia akan membuat string pada registri berikut:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run

• JeNGKol = C:\Documents and Settings\%user%\Favorites\JeNGKol.lnk

Tetapi file tersebut tidak dapat berjalan sempurna, karena terdapat error pada script yang ada pada file tersebut dengan memunculkan pesan error berikut :

Untuk mempertahankan diri, JeNGKol akan mencoba untuk memblok beberapa fungsi windows seperti : Run, Folder Options, Regedit, Search dan Task Manager. Untuk blok fungsi windows tersebut JeNGKol akan membuat string pada registry berikut:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer

- NoFileAssociate

- NOFInd

- NOFolderOptions

- NoRun

- NoDrives

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

- DisableCMD

- DisableRegedit

- RunLogonScriptSync

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer

- NoDriveAutoRun = 03FFFFFF (hex)

- NoDrives

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system

- DisableTaskMgr

- DisableRegedit

- RunLogonScriptSync

- EnableLUA

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\WinOldApp

- Disabled

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

- attrib.exe --> debugger = notepad.exe

- cmd.exe --> debugger = notepad.exe

- Install.exe --> debugger = notepad.exe

- msconfig.exe --> debugger = notepad.exe

- regedit.exe --> debugger = notepad.exe

- regedit32.exe --> debugger = notepad.exe

- setup.exe --> debugger = notepad.exe

- taskMgr.exe --> debugger = notepad.exe

Duplikat File

Virus ini akan mencoba untuk membuat file duplikat disetiap folder / subfolder dengan nama file sesuai dengan nama file yang ada pada folder / subfolder tersebut. Berikut ciri-ciri file duplikat yang akan dibuat oleh JeNGKol. (lihat gambar 5)

• Icon JPEG

• Ukuran 14 KB

• Type File “JPEG Image”

• Selain itu virus ini akan mencoba untuk menyembunyikan file yang mempunyai ekstensi DOC, untuk mengelabui use ia akan membuat file duplikat sesuai dengan nama file yang disembunyikan dengan ciri-ciri:

• Icon JPEG

• Ukuran 14 KB

• Type File “JPEG Image”

Aksi lain yang dilakukan JeNGKol adalah, ia akan logoff jika user menjalankan file .INF (klik kanan INF file | klik Install) dan saat user edit file VBS. Virus ini juga akan merubah type file dari VBScript Script Files manjadi JPEG Image.

Windows File Protection

JeNGKol juga akan selalu memunculkan pesan “Windows File Protection” setiap saat seolah-olah Windows error atau terdapat file System Windows yang dihapus, sehingga user akan mengira bahwa komputer mengalami kerusakan.

Media Penyebaran

Untuk menyebarkan dirinya, JeNGKol masih menggunakan Flash Disk / Disket dengan membuat file JeNGKol.vbs disetiap folder dan subfolder serta membuat file duplikat disetiap folder / subfolder sesuai dengan nama file yang ada di foldeer/subfolder tersebut.

Agar file ini dapat aktif secara otomatis tanpa bantuan manusia, JeNGKol akan memanfaatkan celah autoplay / autorun dari system operasi Windows dengan membuat file autorun.inf (lihat gambar 8). Script yang ada pada file ini akan menjalankan file dengan nama JeNGKol.vbs secara otomatis setiap kali flash disk dicolokkan ke komputer.

Cara membersihkan JeNGKol :

1. Putuskan komputer yang akan dibersihkan dari jaringan (LAN)

2. Nonaktifkan "System Restore" selama proses pembersihan (Windows XP)

3. Matikan proses virus. Untuk mematikan proses virus ini dapat menggunakan tools pengganti task manager seprti "Process explorer".

Silahkan downlod tools tersebut di alamat berikut:

http://download.sysinternals.com/Files/ProcessExplorer.zip

4. Hapus registri yang dibuat oleh virus. Untuk mempermudah proses penghapusan silahkan salin script di bawah ini pada program notepad kemudian simpan dengan nama repair.vbs, kemudiai Jalankan file tersebut (klik 2x)

Dim oWSH: Set oWSH = CreateObject("WScript.Shell")

on error resume Next

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\AlternateShell","cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\AlternateShell","cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\AlternateShell","cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell","Explorer.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\Shell\Edit\Command\","C:\Windows\System32\notepad.exe %1"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\DefaultIcon\","C:\Windows\System32\WScript.exe,2"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\","C:\windows\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileAssociate")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistriTools")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegedit")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\RunLogonScriptSync")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\HideLegacyLogonScripts")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\HideLogoffScripts")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\HideStartupScripts")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\RunStartupScriptSync")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run\JeNGKoL")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\NeverShowExt")

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\","VBScript Script File"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\FriendlyTypeName","VBScript Script File"

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistriTools")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegedit")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\RunLogonScriptSync")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NOFind")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NORun")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\WinOldApp\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Msconfig.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\attrib.exe\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\command.com\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe\debugger")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe\debugger")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations\")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer\DisallowRun\")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer\Run\")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ActiveDesktop\")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\")

5. Hapus file duplikat yang dibuat oleh virus dengan ciri-ciri:

   • Menggunakan icon JPEG atau VBS

   • ukuran 14 KB

   • Type file JPEG Image atau VbScript Script File

Untuk mempermudah proses pencarian virus, silahkan gunakan fungsi Search windows. Jika fungsi Search masih belum muncul sebaiinya logoff komputer terlebih dahulu. Setelah itu tampilkan semua file yang tersebunyi dengan merubah setting Folder Option. perhatikan gambar berikut :

Setelah menu Search muncul kemudian cari file duplikat virus. Untuk mempermudah dalam mencari file duplikat virus lakukan setting berikut pada layar Search Results

• All or part of the file name = *.vbs

• Looks in = lokasi drive (C:\ atau D:\)

• What size is it = Specify size (in KB)

  1. At Most

  2. 15

Seteah semua file duplikat virus berhasil ditemukan hapus file yang mempunyai ciri-ciri seperti di atas.

6. Untuk pembersihan optimal dan mencegah infeksi ulang, lindungi komputer anda dengan Norman Security Suite yang sudah dapat mendeteksi dan membasmi virus ini.

Virus ini dibuat dengan menggunakan Visual Basic, dengan ukuran sekitar 31 KB. Untuk mengelabui user ia akan menggunakan icon “Windows Media Player Classic” dengan type file sebagai “Application”.

Ciri-ciri Koplaxz

1. Merubah icon Windows dari icon “folder” menjadi icon “Control Panel “ serta merubah isi dari folder Windows tersebut menjadi isi yang ada pada menu “Control Panel”, perhatikan gambar 3 di bawah ini:

2. Merubah Type File serta icon shortcut aplikasi MS.Office
3. Merubah nama pemilik komputer menjadi KUDO_SHOP
4. Merubah “start page” dan “search page” Internet Explorer

5. Menampilkan pesan berikut saat menjalankan fungsi Windows

1. Search file/folder, akan menampilkan pesan HayOooO,,, mau Nyari Apaan Luuwh???Nyari WesWeWhH lah ??? Gak Boleh tau DOSA
2. Uncheck opsi Hide file extentions for known file types akan menampilkan pesan AduH,,,Lo jangan sok Tau dwEEh,,Luwh_Tuwh SombOng bGtz DasAr KopLaXz kurang KerJaan!!!!
3. Uncheck opsi Hide protected operating system file (recommended) akan menampilkan pesan Hayooooo,,,Mo Ngapain Sih Loo ??? Ga Sopan Tau ,,Dasar KOPLAXZ !!!!biLangiN KeManAjer KUDO nIh Luwh_Tuwh SombOng bGtz PeCat Aja Si_JonGoz!!!!

File induk Koplaxz

Pada saat file tersebut dijalankan ia akan membuat banyak file yang salah satunya akan dijalankan pada saat komputer di aktifkan, berikut beberapa file induk yang akan dibuat oleh Koplaxz:

• C:\Documents and Settings\%user%\Start Menu\Programs\Startup

  • Winhelp.exe

• C:\Documents and Settings\%user%\Start Menu\Programs

  • Hellloo_Gheea.exe

• C:\Documents and Settings\%user%\My Documents

  • Jangan_Dihapus_Apalagi_Dibuka.exe

• C:\Documents and Settings\%user%\Start Menu

  • Koplaxz Kudo Shop.exe

• C:\Documents and Settings\%user%\Start Menu\Programs

  • Hellloo_Gheea..exe

• C:\Windows

  • TourWindowsXP.exe

  • svchost.exe

  • Kudo.com

  • command32.pif

  • KopLaXz@KudoShop.exe

• C:\F4HM1_KudO_M4n4j3r.exe

• C:\G0d3G.exe

• C:\Ghe@_i_miss_u.3gp.exe (All Drive)

• C:\K0pL4xZ.exe

• c:\K 0 P L 4 X Z.exe

• C:\KopLaXz@KudoShoP.exe (All Drive)

• C:\R0n13G4N_G3Ndut_S3xY.exe

• C:\R3eve5.exe

• C:\K0pL4xZ@KudoShop (All Drive)

  • folder.htt

  • msvbvm60.dll

  • K0pL4xZ.exe

• C:\K0pl4xZ@KudoShop\K0pL4xZ.exe

• C:\[spasi] WINDOWS\System_FriendZ_KopLaXz32

  • F4HM1_KudO_M4n4j3r.exe

  • G0d3G.exe

  • K 0 P L 4 X Z.exe

  • R0n13G4N_G3Ndut_S3xY

  • R3eve5.exe

• C:\ [spasi] Windows\Zx4Lp0K.html

• c:\WIndows\system32\smkn2majalengka.scr

• C:\Windows\system32\PCMAV.exe

• C:\Windows\system32\Asholest.exe

• C:\Documents and Settings\%user%\SendTo\KoPLaXzKudo(e-mail).exe

• C:\Autorun.inf (semua Drive)

• C:\Desktop.ini (semua Drive)

• C:\A Letter 4 Ghe@.txt (semua Drive)

• C:\K0pL4xZ@kUdO_5h0P.txt

• C:\Documents and Settings\All Users\Desktop\A Letter 4 Ghe@.inf

• C:\WIndows\desktop.ini (file untuk merubah icon windows menjadi icon control panel)

Autostart Registry

Untuk memastikan agar dirinya dapat aktif secara otomatis setiap kali komputer dinyalakan ia akan membuat string pada registrt berikut:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

  • System = C:\WINDOWS\System32\PCMAV.exe

Disable Fungsi Windows

Seperti yang banyak dilakukan oleh virus lokal lainnya, K0pL4xZ juga akan mencoba untuk melakukan blok fungsi windows seperti Regedit/msconfig/task manager/system restore atau Folder Option serta tools security sebagai bentuk pertahanan dirinya. Untuk blok fungsi Windows tersebut ia akan membuat string pada registry berikut:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

  • NoFolderOptions = 1

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

  • DisableCMD

  • DisableRegistryTools

  • DisableTaskMgr

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

  • HIdden = 1

  • HideFileExt = 1

  • SuperHidden = 0

  • ShowSuperHidden = 1

• HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System

  • DisableCMD = 2

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System

  • DisableRegistryTools

  • DisableTaskMgr

• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore

  • DisableConfig

  • DisableSR

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop

  • NoDeletingComponents = 1

  • NoEditingComponents = 1

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt

  • UncheckedValue = 1

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden

  • UncheckedValue = 0

K0pL4xZ juga akan mencoba untuk merubah pesan jika user mencoba untuk menjalankan fungsi Search Windows atau uncheck opsi “Hide file extentions for known file types” dan “Hide protected operating system file (recommended)”, lihat gambar 8, 9 dan 10 di atas.

Untuk melakukan hal tersebut ia akan merubah string pada registry berikut:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt

  • UncheckedValue = 1

  • WarningIfNotDefault = AduH,,,Lo jangan sok Tau dwEEh,,Luwh_Tuwh SombOng bGtz DasAr KopLaXz kurang KerJaan!!!!

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden

  • UncheckedValue = 0

  • WarningIfNotDefault = Hayooooo,,,Mo Ngapain Sih Loo ??? Ga Sopan Tau ,,Dasar KOPLAXZ !!!!biLangiN KeManAjer KUDO nIh Luwh_Tuwh SombOng bGtz PeCat Aja Si_JonGoz!!!!

Menguasai Internet Explorer

Untuk menunjukan eksitensinya VBorm.QTT juga akan merubah judul Internet Explorer menjadi “KOPLAXZ_KUDO_SHOP_LUUPH_CLASS_MILD” serta merubah halaman utama setiap kali user membuka program “Internet Explorer” dengan menampilkan pesan dari sang pembuat virus serta merubah “Search Page” dengan terlebih dahulu merubah string pada registry berikut : (lihat gambar 7 di atas)

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

- Window Title = KOPLAXZ_KUDO_SHOP_LUUPH_CLASS_MILD

- Start Page = C:\ WINDOWS\Zx4Lp0K.htm

- Search Page = http://profiles.friendster.com/kopl4xzcyb3ruch1h4

Menguasai komputer korban

Selain merubah judul “Internet Explorer” K0pL4xZ juga akan merubah nama pemilik Windows menjadi KUDO_SHOP. Untuk melakukan hal tersebut ia membuat string pada registry berikut : (lihat gmbar 6)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

- RegisteredOrganization = 4r1_KopLaxZ

- RegisteredOwner = KUDO_SHOP

Pesan dari K0pL4xZ

Ibarat kata pepatah (orang IT) “Cinta di tolak, Virus bertindak”, kelihatannya pembuat virus ini sedang patah hati dan berumur pendek (karena suka merokok), karena tak ketinggalan K0pL4xZ juga akan meninggalkan pesan untuk sang kekasih. Pesan ini akan di simpan dalam sebah file yang di dibuat di Root Drive (c:\ atau D:\) serta di “Flash Disk” dengan nama file “A Letter 4 Ghe@.txt” , “K0pL4xZ@kUdO_5h0P.txt” , “C:\[spasi] Windows\Zx4Lp0K.html”

Merubah icon dan type file MS.Office

K0pL4xZ akan membuat file Office seperti MS. Word/Ms.Excel/MS. Power Point/Ms.Access/txt file serta EXE File manjadi kacau dengan merubah icon serta type file walaupun sebenarnya file tersebut masih bisa di buka. (lihat gambar 4 dan 5 di atas)

Untuk melakukan hal tersebut, K0pL4xZ akan merubah beberapa string pada registry berikut:

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile

  • FriendlyTypeName = Catatan_KopLaxZ

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Word.Document.8

  • [default] = Application

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Word.Document.8\DefaultIcon

  • [default] = C:\WINDOWS\system32\cmd.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PowerPoint.Show.8

  • default = KopLaXz@KudoShop

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PowerPoint.Show.8\DefaultIcon

  • default = C:\WINDOWS\NOTEPAD.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Excel.Sheet.8

  • Default = KopLaXz@KudoShop

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Excel.Sheet.8\DefaultIcon

  • Default = C:\WINDOWS\regedit.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Access.Application.11

  • Default = KopLaXz@KudoShop

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Access.Application.11\DefaultIcon

  • C:\WINDOWS\KopLaXz@KudoShoP.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

  • FriendlyTypeName = 3GP File

Untuk merubah icon dan isi dari folder “Windows” tersebut, K0pL4xZ akan menanamkan file dengan nama “Desktop.ini” di direktori “C:\Windows”

Media Penyebaran (Flash Disk) dan memiliki copy backup MSVBVM60.dll

Untuk mempermudah penyebarannya ia akan menggunakan media “Flash Disk” dengan memanfaatkan fitur autorun Windows dengan cara membuat file autorun.inf, Desktop.ini dan Folder.htt sehingga virus ini akan langsung aktif ketika Flash Disk dihubungkan ke komputer atau saat user akses ke Flash Disk.

Jika diperhatikan lebih detail file [autorun.inf] akan menjalankan file KopLaXz@KudoShoP.exe. Sedangkan file [Desktop.ini] akan menjalankan file [Folder.htt] yang ada di direktori [%FlashDisk%:\>K0pL4xZ@KudoShop]. Folder.htt ini akan menjalankan file [%FlashDisk%:\> K0pL4xZ@KudoShop\K0pL4xZ.exe], agar file ini dapat dijalankan tanpa ketergantungan dengan file “msvbvm60.dll” yang ada di direktori [C:\Windows\system32] K0pL4xZ akan copy file msvbvm60.dll ke direktori [%FlashDisk%:\>K0pL4xZ@KudoShop] (lihat gambar 16, 17 dan 18 dibawah ini).

Selain itu K0pL4xZ juga akan membuat file [Ghe@_i_miss_u.3gp.exe] dan meninggalkan sebuah pesan yang dituangkan dalam sebuah file dengan nama [A Letter 4 Ghe@.txt].

Catatan:

%FlashDisk% adalah lokasi Flash Disk, contohnya drive [F:\]

Cara membasmi K0pL4xZ

1. Putuskan komputer yang akan dibersihkan dari jaringan (LAN)

2. Matikan "System Restore" selama proses pembersihan.

3. Matikan proses virus yang aktif di memory. Gunakan tools KillVB untuk mematikan proses di memory.

Silahkan downlod tools tersebut di alamat berikut: (lihat gambar 18)

http://www.compactbyte.com/brontok/killvb.zip

4. Fix registry yang sudah di ubah oleh virus. Untuk mempercepat proses perbaikan registry salin script dibawah ini pada program “notepad” kemudian simpan dengan nama "Repair.inf". Jalankan file tersebut dengan cara:

- Klik kanan repair.inf

- Klik Install

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SOFTWARE\Classes\exefile,,,application

HKCU, Software\Microsoft\Internet Explorer\Main, start page,0, "about:blank"

HKCU, Software\Microsoft\Internet Explorer\Main, Search Page,0, "about:blank"

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt, UncheckedValue,0x00010001,0

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"

HKLM, SOFTWARE\Classes\txtfile, FriendlyTypeName,0, "@C:\Windows\system32\notepad.exe,-469"

HKLM, SOFTWARE\Classes\Word.Document.8,,,"Microsoft Word Document"

HKLM, SOFTWARE\Classes\Word.Document.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\wordicon.exe,1"

HKLM, SOFTWARE\Classes\PowerPoint.Show.8,,, "Microsoft PowerPoint Presentation"

HKLM, SOFTWARE\Classes\PowerPoint.Show.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\pptico.exe,1"

HKLM, SOFTWARE\Classes\Excel.Sheet.8,,,"Microsoft Excel Worksheet"

HKLM, SOFTWARE\Classes\Excel.Sheet.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\xlicons.exe,1"

HKLM, SOFTWARE\Classes\Access.Application.11,,,"Microsoft Office Access Application"

HKLM, SOFTWARE\Classes\Access.Application.11\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\accicons.exe,1"

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, Hidden, 0x00010001,1

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, HideFileExt, 0x00010001,0

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, ShowSuperHidden, 0x00010001,1

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden,WarningIfNotDefault,0,"@shell32.dll,-28964"

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableRegistryTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableTaskMgr

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DIsablecmd

HKCU, Software\Microsoft\Internet Explorer\Main, Window Title

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer,NoFolderOptions

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System,DisableRegistryTools

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System,DisableTaskMgr

HKLM, SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore

HKCU, Software\Microsoft\Windows\CurrentVersion\Run, System

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop

HKCU, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, shell

HKCU, Software\Policies\Microsoft\Windows\System, DisableCMD

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt, WarningIfNotDefault

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Run, cintaku

HKLM, SOFTWARE\Classes\exefile, FriendlyTypeName

5. Hapus file “C:\Windows\desktop.ini” (file yang berfungsi untuk merubah icon Windows menjadi icon Control Panel). Gunakan dos prompt untuk menghapus file tersebut.

6. Cari dan hapus file induk virus di Hard Disk dan Flash Disk dengan terlebih dahulu menampilkan file yang tersembunyi. Untuk mempcepan pencarian gunakan fungsi “Search Windows”.

Kemudian hapus file induk virus yang mempunyai ciri-ciri:

• Icon "Windows Media Player" clasic / 3GP Video Format

• Ukuran 31 KB

• Ekstensi EXE, PIF, COM dan SCR

• Type file "Application"

Hapus juga file berikut

• C:\Autorun.inf (setiap root drive: c:\ atau D:\)

• C:\Desktop.ini (setiap root drive: c:\ atau D:\)

• c:\A Letter 4 Ghe@.txt (setiap root drive: c:\ atau D:\)

• C:\K0pL4xZ@kUdO_5h0P.txt (setiap root drive: c:\ atau D:\)

• C:\K0pL4xZ@KudoShop (disetiap root drive dan Flash Disk)

• C:\Documents and Settings\All Users\Desktop\A Letter 4 Ghe@.inf

• C:\[spasi] WINDOWS

• C:\[spasi] WIndows\Zx4Lp0K.html

7. Untuk pembersihan optimal dan mencegah infeksi ulang, scan dengan menggunakan Antivirus yang up-to-date seperti Norman Security Suite.

   Jika anda ingin mencoba Norman Security Suite, silahkan download di url

   http://www.norman.com/Download/Trial_versions/

Ciri umum yang dapat dikenali dari virus ini adalah munculnya file duplikat disetiap folder/subfolder yang terdapat file MS.Word dengan ukuran file 68 KB dan agar penyamarannya berhasil ia akan merubah type file dari file duplikat tersebut dari “application” menjadi “Microsoft Word Document” sehingga user mengira bahwa file tersebut adalah file MS.Word sehingga tanpa curiga user akan membuka file tersebut yang tentunya akan mengaktifkan virus, sedangkan file tersebut tidak akan dapat dibuka (karena disembunyikan) sehingga user akan mengira bahwa file tersebut telah rusak.

FreE_MiNe ini dibuat dengan menggunakan program bahasa Visual Basic tanpa di kompresi dengan ukuran 68 KB, file ini mempunyai ekstensi EXE dengan type file “Application”.

Jika file tersebut dijalankan, ia akan membuat file induk dibawah ini yang akan dijalankan secara otomatis setiap kali komputer di nyalakan/restart:

- C:\FreE_MiNe.exe (semua drive)

- C:\WINDOWS\system32\LoLOxz

o smss.exe

o msvbvm60.dll

File msvbvm60.dll yang dijalankan dari direktori C:\Windows\System32\LoLOxz\ di atas dimaksudkan sebagai backup untuk mengantisipasi kalau komputer korbannya memblok MSVBVM60.dll (MSVBVM60 = Microsoft Visual Basic Virtual Machine versi 6.0) yang merupakan syarat mutlak untuk menjalankan aplikasi Visual Basic di OS Microsoft (termasuk virus). Jadi sekalipun komputer korban berusaha mencegah infeksi virus VB dengan memblok msvbvm60.dll dari direktori C:\Windows\System32, virus ini tetap akan bisa aktif karena memiliki backup msvbvm60.dll.

Untuk memastikan agar file virus dijalankakn secara otomatis, FreE_MiNe akan membuat string pada registry berikut :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

- shell = explorer.exe C:\WINDOWS\system32\LoLOxz\smss.exe

- system = C:\WINDOWS\system32\LoLOxz\smss.exe

- userinit = userinit,C:\WINDOWS\system32\LoLOxz\smss.exe

Untuk mengelabui user, pada waktu yang telah ditentukan FreE_MiNe ini akan menghapus string C:\WINDOWS\system32\LoLOxz\smss.exe untuk kemudian akan membuatnya lagi sehingga user beranggapan bahwa virus ini tidak akan membuat string pada registry tersebut.

Untuk memperlancar aksinya, FreE_MiNe juga akan mencoba blok beberapa fungsi Windows tetapi virus ini hanya akan blok fungsi “Find/Search dan CMD serta Folder Option” saja.

Untuk melakukan hal tersebut ia akan membuat string pada registry berikut:

HKCU\Software\Microsoft\Windows\CurrentVersion\explorer\advanced

- HideFileExt

- ShowSuperHidden

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

- NoFind = 1

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

- DisableCMD =1

Walaupun virus ini tidak akan aktif pada mode “safe mode with command prompt” tetapi virus ini akan mencoba untuk blok akses ke mode tersebut dengan cara blok file “cmd.exe”.

Pesan dari sang pembuat virus

Pembuat virus juga akan meninggalkan pesan yang di simpan pada body virus tersebut, berikut pesan yang akan disampailan oleh sang VM

FreE_MiNe From Picture Village

Pesan dari Dunia lain

Sunyinya malam yang kian larut

Bagaikan awan putih dilangit

Menambah sesak dadaku yang menahan nafas

Nafas rindu, nafas Cinta dan nafas sepi

Tiap waktu dan tiap saat tak pernah berhenti

Seperti juga darahku yang selalu

Setia pada tubuh

Seperti juga keinginanku

yang semakin ingin ku jangkau

tetapi semua itu NIHIL

Picture Worms Vill

Messange me,, Attention Please ..

Ne Buat temen

temen New Bie TI

Tenang Ulet Ne ga berbahaya buat your PC.

Yang Penting lo ga Macem

Kalo lo mow kasar ntar q juga bisa..wee

Membuat duplikat File dan menyembunyikan MS.Word

Sebagai tujuan akhir dari petualangannya, ia akan membuat duplikat file di setiap folder/subfolder yang terdapat file MS.Word dengan ukuran file sekitar 68 KB dengan ekstensi EXE sesuai dengan nama file asli dan untuk mengelabui user ia akan menyamarkan type file dari “application” menjadi “Microsoft Word Document” sehingga user beranggapan bahwa file tersebut adalah file asli. Jika file tersebut dijalankan maka secara otomatis akan mengaktifkan dirinya sedangkan isi dari file asli tersebut tidak akan dapat di buka. Lalu kemana file aslinya apakah dihapus? Kelihatannya pembuat virus ini memang tidak beritikad merusak / menghancurkan file komputer korbannya, jadi file asli kita tidak dihapus tetapi disembunyikan di folder yang sama.

Untuk merubah type dari file duplikat tersebut ia akan merubah string pada registry berikut : (lihat gambar 3)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

- [Default] = Microsoft Word Document

Selain itu ia juga akan merubah string infotip dan tileinfo dari file exe pada registry berikut :

HKEY_CLASSES_ROOT\exefile

- infotip = prop:FileDescription;Size

- TileInfo = prop:FileDescription;Size

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

- infotip = prop:FileDescription;Size

- TileInfo = prop:FileDescription;Size

Agar ia dapat aktif secara otomatis pada saat user mengakses Drive atau Flash Disk, FreE_MiNe akan memanfaatkan fitur autorun Windows dengan membuat file autorun.inf di setiap root drive seperti drive C:\ atau D:\ serta pada Flash Disk. File autorun.inf ini berisi script untuk menjalankan file FreE_Mine.exe.

FreE_MiNe juga akan menambahkan script @echo off pada file C:\autoexec.bat dengan tujuan supaya komputer tidak menampilkan pesan pada layar.

Media Penyebaran

Untuk menyebarkan dirinya FreE_MiNe memanfaatkan media Flash Disk dengan membuat file berikut:

- Autorun.inf (berisi script untuk menjalankan file FreE_MiNe.exe) secara otomatis saat user akses Flash Disk.

- FreE_MiNe.exe

Selain itu ia juga akan menyembunyikan file MS.Word disetiap folder/subfolder dan untuk mengelabui user ia akan membuat duplikat disetiap folder/subfolder yang terdapat file MS.Word sesuai dengan nama file yang disembunyikan.

Bagaimana cara membasmi FreE_MiNe

1. Nonaktifkan “System Restore” selama proses pembersihan
2. Matikan proses virus yang aktif di memori. Gunakan tools “Security task Manager” untuk mematikan proses virus tersebut. Matikan proses virus yang mempunyai icon MS.Word dengan cara : (lihat gambar 8 dan 9)

1. Pilih proses virus yang akan di matikan
2. Klik kanan pada proses tersebut
3. Pilih “Remove”
4. Pada layar “Remove”, pilih opsi “Move file to quarantine” agar file langsung di hapus.
5. Klik tombol “Ok”

6. Security Task Manager dapat di download dari :

   http://www.neuber.com/taskmanager/download.html

7. Fix registry yang sudah diubah atau dibuat oleh virus. Untuk mempercepat proses perbaikan registry ini salin script dibawah ini pada program notepad kemudian simpan dengan nama repair.inf, jalankan file tersebut dengan cara:

1. Klik kanan repair.inf
2. Klik install

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, userinit,0, "userinit.exe,"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, system,0, ""

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoDriveTypeAutoRun,0x00010001,255

HKLM, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoDriveTypeAutoRun,0x00010001,255

HKLM, SOFTWARE\Classes\exefile,,,"Application"

HKLM, SOFTWARE\Classes\exefile,InfoTip,0,"prop:FileDescription;Company;FileVersion;Create;Size"

HKLM, SOFTWARE\Classes\exefile,TileInfo,0,"prop:FileDescription;Company;FileVersion;Create;Size"

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFind

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableCMD

Cari dan hapus file induk dan file duplikat virus dengan menggunakan fungsi Find/Search. Jika fungsi ini belum aktif sebaiknya LogOff komputer terlebih dahulu. Setelah fungsi Find/Search ini aktif jangan lupa untuk menampilkan file yang tersembunyi terlebih dahulu dari Folder Options

kemudian cari dan hapus file yang mempunyai ciri-ciri :

1. Icon MS.Word
2. Ukuran 68 KB
3. Type File “Application”

Anda juga dapat menggunakan Norman Malware Cleaner untuk membasmi virus Freemine di komputer anda yang dapat di download secara gratis dari http://download.norman.no/public/Norman_Malware_Cleaner.exe

5. Hapus juga file “Autorun.inf” disemua drive dan file C:\msvbvm60.dll”
6. Hapus script @echo off pada file C:\Autoexec.bat, caranya:
1. Klik kanan file C:\Autoexec.bat
2. Klik menu “Edit”
3. Hapus script @echo Off
4. Klik menu “File”
5. Klik “save”

Tampilkan kembali file MS.Word (*.doc) yang telah disembunyikan oleh FreE_MiNe dengan menjalankan perintah attrib -s -h -r *.doc /s (hanya untuk menampilkan file MS.Word pada drive/folder yang ditentukan) atau attrib -s -h -r /s /d (untuk menampilkan semua file/folder pada drive/folder yang ditentukan) pada Dos Prompt.

Untuk pembersihan optimal dan mencegah infeksi ulang sebaiknya install antivirus yang up-to-date dan dapat mendeteksi dan mengenali virus ini.

Entah apa hubungannya dengan krisis global yang melanda dunia saat ini (khususnya dunia komputer), pembuat virus VBS ini membuat virus ini dengan tema “HUHUHAHA”. Norman Security Suite mendeteksi varian virus “huhuhaha” tsb sebagai VBS/Autorun.AO.

Ciri File Virus

Virus Huhuhaha dibuat dengan menggunakan bahasa pemrograman VBScript. File virus berukuran 6 kb, dan agar dapat menyebar secara otomatis ia akan membuat file pendamping yaitu “autorun.inf” yang berisi script untuk menjalankan file virus.

Jika virus berhasil menginfeksi, ia akan membuat beberapa file virus diantaranya :

• autorun.inf (pada semua root drive)

• huhuhaha.vbs (pada semua root drive)

• C:\WINDOWS\system32\XpWin.vbs

Virus juga akan mengcopy file “autorun.inf” dan “huhuhaha.vbs” pada setiap usb (flash/drive) yang ditancapkan/dicolokkan pada komputer yang terinfeksi. Semua file virus tersebut memiliki atribut file RHSA (Read, Hidden, System, Archive), sehingga tidak terlihat jika user tidak memunculkan menu hidden.

Gejala/Efek Virus

Jika sudah terinfeksi virus huhuhaha, akan menimbulkan gejala/efek berikut :

Memunculkan text virus pada menu “Run”.

• Menonaktifkan system restore. Hal ini dilakukan agar user tidak dapat mengembalikan setingan system windows kembali seperti sebelum terinfeksi virus ini.

• Menambah header text virus pada Internet Explorer.

• Disable fungsi UAC (User Account Control) Windows Vista. UAC adalah fitur pada Windows Vista yang diklaim Microsoft membuat Vista lebih aman daripada Windows XP. Bedanya adalah satu pop up Windows yang menghalangi program (baik program virus atau bukan) dijalankan secara otomatis dan pengguna komputer tetap bisa menyetujui atau menolak program tersebut untuk dijalankan. Dalam banyak kasus serangan virus, pengguna Vista yang terganggu dengan peringatan UAC yang berulang-ulang (karena virus yang terus menerus berusaha menginfeksikan dirinya pada sistem) akan cenderung mengabaikan peringatan UAC dan mengijinkan program untuk dijalankan. Dalam kasus virus Huhuhaha ini, UAC sudah dianggap mengganggu oleh pembuat virus lokal sehingga perlu di nonaktifkan guna memuluskan penyebarannya. Hal ini kembali membuktikan bahwa pada prinsipnya tidak ada OS yang aman dari serangan virus. Pertanyaannya bukanlah “OS apa yang aman dari serangan virus ? ” tetapi “Apakah pembuat virus ingin menyerang OS tersebut atau tidak ?”. (lihat gambar 5)

Pada Vista, fitur ini digunakan agar user biasa dapat menjalankan program/perintah windows yang membutuhkan hak akses admin. Berikut artikel lengkap http://www.microsoft.com/windows/windows-vista/features/user-account-control.aspx

- Merubah nama registrasi computer dengan text virus.
- Menonaktifkan fungsi “safe mode” dan membuat “blue screen” windows. Saat user berusaha masuk melalui fitur safe mode, maka akan muncul blue screen.

• Mematikan fungsi Security Center Windows. Fitur ini digunakan untuk memastikan kondisi komputer dari 3 aspek keamanan yaitu Automatic Updates, Firewall dan Software Antivirus.

Metode Penyebaran

Sama seperti virus lokal lainnya, virus huhuhaha masih menggunakan media USB (flash/drive) sebagai penyebarannya. Virus akan membuat file “autorun.inf” dan “huhuhaha.vbs” pada setiap usb (flash/drive) yang ditancapkan/dicolokkan pada komputer yang terinfeksi. Kedua file tersebut akan aktif secara otomatis dengan hanya mengkases usb (drive/flash) tersebut.

Modifikasi Registry

Agar dapat aktif saat komputer dijalankan, virus membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion\Run

Ageia = C:\WINDOWS\system32\XpWin.vbs

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Systemdir = C:\WINDOWS\huhuhaha.vbs

Agar dapat muncul pada menu Run, virus membuat string berikut :

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunMRU

a = huhuhaha

Walau tidak men-disable fungsi windows seperti task manager, folder options, regedit, dll, virus men-disable system restore dengan membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows NT\CurrentVersion\SystemRestore

DisableSR = 1

Serta men-disable fungsi UAC (User Account Control) dengan membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\Policies\System

EnableLUA = 0x00000000

Selain itu, virus menambah caption text pada Internet Explorer dengan membuat string berikut :

• HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

Window Title = huhuhaha

Kemudian, virus juga merubah registrasi komputerdengan membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows NT\CurrentVersion

RegisteredOrganization = huhuhaha

RegisteredOwner = huhuhaha

Agar dapat muncul text virus saat login windows, virus membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows NT\CurrentVersion

LegalNoticeCaption = huhuhaha virus

LegalNoticeText = huhuhaha

Untuk men-disable fungsi safe mode, virus men-“delete” string berikut :

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\SafeBoot, AlternateShell

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell

Serta men-“delete” key berikut :

• HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Control\SafeBoot\Minimal

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

Terakhir, virus berusaha mematikan fungsi Security Center dengan membuat string berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center

AntivirusDisableNotify = 1

FirewallDisableNotify = 1

UpdatesDisableNotify = 1

Pembersihan Virus

• Putuskan komputer yang akan dibersihkan dari jaringan/internet.

• Matikan proses virus yang aktif pada memori. Gunakan Windows Task Manager untuk mematikan proses virus, yaitu dengan nama “wscript.exe”. (wscript.exe merupakan file windows yang digunakan untuk menjalankan file vbscript)

• Hapus file virus berikut :

• autorun.inf (pada semua root drive)

• huhuhaha.vbs (pada semua root drive)

• C:\WINDOWS\system32\XpWin.vbs

Catatan

• Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus. (virus memiliki atribut file Hidden, Archive, System, dan Read-Only)

• Untuk mempermudah proses pencarian sebaiknya gunakan fasilitas "Search” Windows dengan filter file autorun.inf dan *.vbs yang mempunyai ukuran 6 KB.

• Hapus string registry yang dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini :

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[UnhookRegKey]

HKLM, SOFTWARE\Microsoft\Security Center, AntiVirusDisableNotify, 0x00000000,0

HKLM, SOFTWARE\Microsoft\Security Center, FirewallDisableNotify, 0x00000000,0

HKLM, SOFTWARE\Microsoft\Security Center, UpdatesDisableNotify, 0x00000000,0

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization, 0, "Organization"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner, 0, "Owner"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore, DisableSR, 0x00000000,0

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SYSTEM\ControlSet003\Control\SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{36FC9E60-C465-11CF-8056-444553540000}, (default), "Universal Serial Bus controller"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E965-E325-11CE-BFC1-08002BE10318}, (default), "CD-ROM Drive"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}, (default), "DiskDrive"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E969-E325-11CE-BFC1-08002BE10318}, (default), "Standar floppy disk controller"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96A-E325-11CE-BFC1-08002BE10318}, (default), "Hdc"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96B-E325-11CE-BFC1-08002BE10318}, (default), "Keyboard"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E96F-E325-11CE-BFC1-08002BE10318}, (default), "Mouse"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E977-E325-11CE-BFC1-08002BE10318}, (default), "PCMCIA Adapters"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E97B-E325-11CE-BFC1-08002BE10318}, (default), "SCSIAdapters"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E97D-E325-11CE-BFC1-08002BE10318}, (default), "System"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E980-E325-11CE-BFC1-08002BE10318}, (default), "Floppy disk drive"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{71A27CDD-812A-11D0-BEC7-08002BE2092F}, (default), "Volume"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{745A17A0-74D3-11D0-B6FE-00A0C90F57DA}, (default), "Human Interfaces Devices"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\AppMgmt, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Base, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Boot Bus Extender, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Boot file system, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\CryptSvc, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\DcomLaunch, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmadmin, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmboot.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmio.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmload.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\dmserver, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\EventLog, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\File system, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Filter, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\HelpSvc, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Netlogon, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PCI Configuration, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PlugPlay, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PNP Filter, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Primary disk, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\RpcSs, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SCSI Class, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sermouse.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sr.sys, (default), "FSFilter System Recovery"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SRService, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\System Bus Extender, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\vga.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\vgasave.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinMgmt, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{36FC9E60-C465-11CF-8056-444553540000}, (default), "Universal Serial Bus controller"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E965-E325-11CE-BFC1-08002BE10318}, (default), "CD-ROM Drive"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}, (default), "DiskDrive"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E969-E325-11CE-BFC1-08002BE10318}, (default), "Standar floppy disk controller"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E96A-E325-11CE-BFC1-08002BE10318}, (default), "Hdc"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E96B-E325-11CE-BFC1-08002BE10318}, (default), "Keyboard"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E96F-E325-11CE-BFC1-08002BE10318}, (default), "Mouse"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}, (default), "Net"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E973-E325-11CE-BFC1-08002BE10318}, (default), "NetClient"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E974-E325-11CE-BFC1-08002BE10318}, (default), "NetService"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E975-E325-11CE-BFC1-08002BE10318}, (default), "NetTrans"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E977-E325-11CE-BFC1-08002BE10318}, (default), "PCMCIA Adapters"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E97B-E325-11CE-BFC1-08002BE10318}, (default), "SCSIAdapters"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E97D-E325-11CE-BFC1-08002BE10318}, (default), "System"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E980-E325-11CE-BFC1-08002BE10318}, (default), "Floppy disk drive"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{71A27CDD-812A-11D0-BEC7-08002BE2092F}, (default), "Volume"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{745A17A0-74D3-11D0-B6FE-00A0C90F57DA}, (default), "Human Interfaces Devices"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AFD, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AppMgmt, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Base, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Boot Bus Extender, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Boot file system, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Browser, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\CryptSvc, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DcomLaunch, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Dhcp, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dmadmin, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dmboot.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dmio.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dmload.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\dmserver, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\DnsCache, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EventLog, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\File system, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Filter, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\HelpSvc, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ip6fw.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ipnat.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\LanmanServer, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\LanmanWorkstation, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\LmHosts, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Messenger, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NDIS, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NDIS Wrapper, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Ndisuio, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetBIOS, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetBIOSGroup, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetBT, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetDDEGroup, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Netlogon, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetMan, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Network, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NetworkProvider, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NtLmSsp, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PCI Configuration, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PlugPlay, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PNP Filter, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PNP_TDI, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Primary disk, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdpcdd.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdpdd.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdpwd.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\rdsessmgr, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\RpcSs, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SCSI Class, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\sermouse.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SharedAccess, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\sr.sys, (default), "FSFilter System Recovery"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SRService, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Streams Drivers, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\System Bus Extender, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Tcpip, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TDI, (default), "Driver Group"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\tdpipe.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\tdtcp.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\termservice, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\vga.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\vgasave.sys, (default), "Driver"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WinMgmt, (default), "Service"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WZCSVC, (default), "Service"

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\RunMRU, a

HKCU, Software\Microsoft\Internet Explorer\Main, Window Title

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Ageia

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Systemdir

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\system, EnableLUA

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

• Untuk pembersihan virus huhuhaha secara optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang terupdate dan mengenali virus ini dengan baik.

Norman Security Suite mendeteksi varian baru virus tsb sebagai W32/Conficker.DV, sedangkan antivirus lain mendeteksi sebagai Win32.Kido.CG (Kaspersky), W32.Downadup.B (Symantec), W32.Downadup.AL (F-Secure), W32.Conficker.B (Microsoft), W32.Conficker.A (CA, Sophos dan McAfee), Worm_Downad.AD (Trend Micro) dan W32/Conficker.C (Panda).

Ciri File Virus

Virus Conficker.DV memiliki file yang di kompress melalui UPX. File virus berukuran 162 kb. File virus yang masuk bertipe gambar (gif, jpeg, bmp, png). Sedangkan file yang aktif umumnya bertype "dll" (dynamic link library).

File virus yang berusaha masuk akan berada pada lokasi temporary internet :

- %Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\[%nama acak%].[%gif,jpeg,bmp,png%]

- %Documents and Settings\[%user%]\Local Settings\Temporary Internet Files\[%gif,jpeg,bmp,png%]

Jika file virus yang masuk berhasil dijalankan, virus akan mengcopy dirinya pada salah satu lokasi folder berikut :

- %Documents and Settings%\[%user%]\Application Data\[%nama acak%].dll

- %Program Files%\Internet Explorer\[%nama acak%].dll

- %Program Files%\Movie Maker\[%nama acak%].dll

- %WINDOWS%\system32\[%nama acak%].dll

- %WINDOWS%\Temp\[%nama acak%].dll

File "dll" inilah yang aktif dan "mendompleng" file svchost.exe (Windows Server Service) untuk melakukan penyebaran virus kembali.

Virus juga akan mengcopy file “[%nama acak%].tmp” pada folder %WINDOWS%\system32 (contohnya : 01.tmp atau 06.tmp). Setelah menggunakan file tsb, kemudian virus mendelete file tsb.

Gejala / Efek Virus

Jika sudah terinfeksi W32/Conficker.DV, virus akan menimbulkan gejala / efek berikut :

- Jika varian sebelumnya mematikan service “Workstation, Server dan Windows Firewall / Internet Connection Sharing (ICS)”. Maka kali ini virus berusaha untuk mematikan dan men-Disable beberapa service, yaitu : (lihat gambar 2)

· wscsvc : Security Center

· wuauserv : Automatic Updates

· BITS : Background Intellegent Transfer Service

· ERSvc : Error Reporting Service

· WerSvc : Windows Error Reporting Service (Vista, Server 2008)

· WinDefend : Windows Defender (Vista, Server 2008)

- Virus mampu melakukan blok terhadap program aplikasi yang berjalan saat mengakses website yang mengandung string berikut :

Ccert.
sans.
bit9.
windowsupdate
wilderssecurity
threatexpert
castlecops
spamhaus
cpsecure
arcabit
emsisoft
sunbelt
securecomputing
rising
prevx
pctools
norman
k7computing
ikarus
hauri
hacksoft
gdata
fortinet
ewido
clamav
comodo
quickheal
avira
avast
esafe
ahnlab
centralcommand
drweb
grisoft
nod32
f'prot
jotti
kaspersky
f'secure
computerassociates
networkassociates
etrust
panda
sophos
trendmicro
mcafee
norton
symantec
microsoft
defender
rootkit
malware
spyware
virus

Hal ini dilakukan tanpa melakukan perubahan pada host file yang ada. Dengan melakukan blok, dapat mencegah program anti-malware untuk melakukan update antivirus dan mencegah user saat mencoba akses ke website keamanan.

- Virus berusaha melakukan perubahan pada system Windows Vista / Server 2008 dengan menggunakan perintah :

“netsh interface tcp set global autotuning=disabled”

Dengan perintah ini, maka windows auto tuning akan di-disable. Windows Auto-Tuning merupakan salah satu fitur dari Windows Vista dan Server 2008 yang berguna untuk meningkatkan performa ketika mencoba akses jaringan. Info selengkapnya pada http://support.microsoft.com/kb/947239

- Virus berusaha mendownload dan mengeksekusi file (bmp, gif, jpeg, png) yang kemudian masuk pada temporary internet. Virus melakukan download pada beberapa website berikut :

aaidhe.net

aamkn.cn

abivbwbea.info

aiiflkgcw.cc

alfglesj.info

amcfussyags.net

amzohx.ws

apaix.ws

argvss.info

arolseqnu.ws

asoidakm.cn

atnsoiuf.cc

avweqdcr.cn

axaxmhzndcq.cc

barhkuuu.com

bbuftxpskw.cc

bdykhlnhak.cc

bdzpfiu.biz

bijkyilaugs.cn

bjpmhuk.ws

bmmjbsjidmt.com

bzagbiwes.cc

carse.cn

cauksxf.biz

cfhlglxofyz.biz

cinsns.cc

ciynbjwm.com

cljivsb.biz

cpeadyepcis.biz

cqnxku.ws

ctmchiae.ws

cxjsy.net

czkdu.net

dbffky.cn

dgbdjsb.com

drpifjfxlyl.ws

dtosuhc.org

duahpzq.org

dwrtwgsm.cn

dyjomzyz.com

earuldx.cn

egqoab.net

egxbsppn.cn

ehkvku.cn

elivvks.net

emxmg.info

eobvidij.org

erwojl.org

evqvmwgw.cn

ewioygq.biz

exxkvcz.cc

ffaqk.info

fhlwov.net

fitjg.net

fkhbumne.info

fknacmvowib.cn

fmdsqasqm.net

fmgcjv.cn

fpljpuqp.info

fsrljjeemkr.info

fthil.cc

ftphtsfuv.net

gbgklrka.cc

gbmkghqcqy.net

gbxyu.ws

gezjwr.biz

gjbwolesl.info

glkzckadwu.biz

gmvhjp.ws

gsvrglz.cc

gutvjbektzq.com

gwtqx.cn

hbyzvpeadkb.net

hewdw.ws

hjcxnhtroh.cn

hltowx.com

hqjazhyd.com

hrmirvid.com

hudphigb.org

hvagbqmtxp.info

idvgqlr.ws

ihnvoeprql.biz

iidqkzselpr.com

ijthszjlb.com

iklzskqoz.cn

iqgnqt.org

iqrzamxo.ws

isjjlnv.org

iudqzypn.cn

iyfcmcaj.cn

jayrocykoj.ws

jffhkvhweds.cn

jfxcvnnawk.org

jgrftgunh.org

jguxjs.net

jhanljqti.cc

jhvlfdoiyn.biz

jjhajbfcdmk.net

jkisptknsov.biz

jknxcxyg.net

jlouqrgb.org

jpppffeywn.cc

jradvwa.biz

juqsiucfrmi.net

jvnzbsyhv.org

jxnyyjyo.net

kaonwzkc.info

kdcqtamjhdx.ws

kgeoaxznfms.biz

kihbccvqrz.net

kimonrvh.org

kjsxwpq.ws

kkrxwcjusgu.cn

knqwdcgow.ws

koaqe.cc

kodzhq.org

kqjvmbst.net

kufvkkdtpf.net

kxujboszjnz.ws

lagcrxz.cc

lawwb.com

lbdfwrbz.net

ljizrzxu.cc

lmswntmc.biz

lotvecu.com

lplsebah.cn

lxhmwparzc.ws

lyamwnhh.info

mciuomjrsmn.cn

mdntwxhj.cn

meqyeyggu.cc

mfigu.cn

mimdezm.biz

mkdsine.cn

mmtdsgwfa.net

mouvmlhz.cc

mozsj.biz

mpqzwlsx.ws

msvhmlcmkmh.biz

mtruba.ws

myrmifyuqo.biz

naucgxjtu.ws

ncwjlti.cn

nertthl.net

nnxqqmdl.info

nuxtzd.cn

nxvmztmryie.ws

nybxvgb.net

nzsrgzmhay.net

oadscrk.org

oezepyh.info

ojrswlg.net

olgjkxih.org

omqxqptc.ws

ooudifyw.cn

opkawiqb.cn

oqsfz.ws

orvfkx.cc

otoajxfn.net

oxeeuikd.net

oyezli.com

pfath.info

plsexbnytn.com

poplie.cc

psbdfflh.cn

qfmbqxom.ws

qjvtczqu.com

qpcizvlvio.biz

qslhoks.cn

qtcnfvf.biz

qtsnk.cn

qzktamrsgu.cn

rbhixtifxk.cc

rccoq.net

rgievita.ws

rlrbqpxv.org

rozhtnmoudg.cc

rpsctacalyd.cn

rrmkv.com

rtpuqxp.net

rtztoupc.net

satmxnz.ws

sbtalilx.com

sdjnaeoh.cc

sirkqq.org

sjkkfjcx.biz

sjkxyjqsx.net

stmsoxiguz.net

tdeghkjm.biz

tkhnvhmh.biz

tmdoxfcc.org

torhobdfzit.cc

trdfcxclp.org

tscmbj.net

tuwcuuuj.com

txeixqeh.biz

uazwqaxlpq.info

ubxxtnzdbij.com

ucnfehj.org

uekmqqedtfm.com

uhtmou.ws

uhveiguagm.biz

uoieg.ws

uttcx.net

uyhgoiwswn.cc

uyvtuutxm.cn

vfxifizf.info

vupnwmw.biz

vzqpqlpk.ws

waeqoxlrprp.org

wdrvyudhg.cc

wediscbpi.org

whgtdhqg.net

wkstxvzr.org

wmrgzac.info

wnwqphzao.info

wsajx.com

wskzbakqfvk.org

wtngipaynh.info

wumvjpbbmse.cc

wuzunxevor.info

wwftlwlvm.org

xcncp.info

xeeuat.com

xhazhbir.biz

xjnyfwt.org

xlrqvoqmsxz.info

xqgbn.cn

xwrrxwmo.cc

xxabrkhb.cc

xxmgkcw.cc

xxxxgvtaa.com

xzoycphicpk.com

ybbfrznr.info

ycceqdmm.cc

ydxnochqn.org

ygmwharv.info

ylnytttckyc.com

yuvudlsdop.cc

ywhaunsyez.cc

ywxdggnaaad.org

zindtsqq.ws

zkywmqx.com

zoosmv.info

zqekqyq.cn

zqked.org

zsatn.ws

ztgsd.info

ztioydng.com

zzczpujz.biz

- Virus akan mengecek koneksi internet dan men-download file dengan menyesuaikan tanggal setelah 1 Januari 2009. Untuk itu virus mengecek pada beberapa wesite berikut :

baidu.com

google.com

yahoo.com

msn.com

ask.com

w3.org

aol.com

cnn.com

ebay.com

msn.com

myspace.com

- Virus akan membuat rule firewall pada gateway jaringan local yang membuat serangan dari luar terkoneksi dan mendapatkan alamat external IP Address yang terinfeksi melalui berbagai macam port (1024 hingga 10000).

- Virus akan membuat services dengan karakteristik berikut, agar dapat berjalan otomatis saat start-up windows : (lihat gambar 5)

Service name: "[%nama acak%].dll"

Path to executable: %System32%\svchost.exe -k netsvcs

Serta dengan menggunakan kombinasi dari beberapa string berikut yang muncul pada deskripsi service (biasanya gabungan 2 string semisal “Security Windows”) :

Boot, Center, Config, Driver, Helper, Image, Installer, Manager, Microsoft, Monitor, Network, Security, Server, Shell, Support, System, Task, Time, Universal, Update, Windows

- Virus membuat HTTP Server pada port yang acak :

Http://%ExternalIPAddress%:%PortAcak(1024-10000)%

Virus melakukan koneksi ke beberapa website untuk mendapatkan alamat IP Address external yang sudah diinfeksi :

- http://www.getmyip.org

- http://www.whatsmyipaddress.com

- http://getmyip.co.uk

- http://checkip.dyndns.org

- Virus membuat scheduled task untuk menjalankan file virus yang sudah di copy dengan perintah :

“rundll32.exe .[%ekstensi acak%], [%acak]”

Metode Penyebaran

Virus Conficker.DV juga menggunakan metode penyebaran yang berbeda dari pendahulunya, diantaranya sebagai berikut :

1) Network Shares (Brute Force Attack)

Virus berusaha mengakses jaringan menggunakan celah windows “Default Share” (ADMIN$\system32) dengan menebak password administrator. Virus menggunakan “Dictionary” password dengan string berikut :

000

0000

00000

0000000

00000000

0987654321

111

1111

11111

111111

1111111

11111111

123

123123

12321

123321

1234

12345

123456

1234567

12345678

123456789

1234567890

1234abcd

1234qwer

123abc

123asd

123qwe

1q2w3e

222

2222

22222

222222

2222222

22222222

321

333

3333

33333

333333

3333333

33333333

4321

444

4444

44444

444444

4444444

44444444

54321

555

5555

55555

555555

5555555

55555555

654321

666

6666

66666

666666

6666666

66666666

7654321

777

7777

77777

777777

7777777

77777777

87654321

888

8888

88888

888888

8888888

88888888

987654321

999

9999

99999

999999

9999999

99999999

a1b2c3

aaa

aaaa

aaaaa

abc123

academia

access

account

Admin

admin

admin1

admin12

admin123

adminadmin

administrator

anything

asddsa

asdfgh

asdsa

asdzxc

backup

boss123

business

campus

changeme

cluster

codename

codeword

coffee

computer

controller

cookie

customer

database

default

desktop

domain

example

exchange

explorer

file

files

foo

foobar

foofoo

forever

freedom

fuck

games

home

home123

ihavenopass

Internet

internet

intranet

job

killer

letitbe

letmein

login

Login

lotus

love123

manager

market

money

monitor

mypass

mypassword

mypc123

nimda

nobody

nopass

nopassword

nothing

office

oracle

owner

pass

pass1

pass12

pass123

passwd

password

Password

password1

password12

password123

private

public

pw123

q1w2e3

qazwsx

qazwsxedc

qqq

qqqq

qqqqq

qwe123

qweasd

qweasdzxc

qweewq

qwerty

qwewq

root

root123

rootroot

sample

secret

secure

security

server

shadow

share

sql

student

super

superuser

supervisor

system

temp

temp123

temporary

temptemp

test

test123

testtest

unknown

web

windows

work

work123

xxx

xxxx

xxxxx

zxccxz

zxcvb

zxcvbn

zxcxz

zzz

zzzz

zzzzz

Catatan : Jika dalam domain dilakukan pengaturan untuk account lock, maka dalam upaya virus yang berusaha login beberapa kali akan menyebabkan account user terputus dalam domain dan account menjadi lock/terkunci.

Jika sukses, virus akan mengcopy dirinya dengan menggunakan nama acak sebagai berikut :

\\[%IP atau hostname%]\ADMIN$\system32\[%nama acak%].[%extensi acak%]

Kemudian membuat scheduled task untuk menjalankan file virus yang sudah di copy tsb dengan perintah :

rundll32.exe .[%extensi acak%], [%acak]

2) Removable Drives

Virus Conficker.DV juga membuat file pada media removable seperti USB (flashdisk, Harddisk, Card Reader, dll). Virus menyimpan file hidden pada root drive, yaitu :

- Autorun.inf

- RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx

3) Eksploitasi celah keamanan windows

Sama seperti pendahulunya, virus berusaha mengexploitasi MS08-067 (celah keamanan windows, Windows Server Service atau SVCHOST.exe). Banyak user yang terinfeksi dikarenakan tidak mengaktifkan fitur Automatic Updates dan tidak melakukan patch windows MS08-067. http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx

Modifikasi Registry

Agar dapat aktif saat computer dijalankan, virus membuat string berikut :

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

%nama acak% = rundll32.exe [%lokasi file virus%], %nama acak%

- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

%nama acak% = rundll32.exe [%lokasi file virus%], %nama acak%

Selain itu virus membuat string berikut :

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets

dl = 0

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets

ds = 0

- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets

dl = 0

- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets

ds = 0

Virus men-disable beberapa service dengan membuat string berikut :

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS

Start = 4

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc

Start = 4

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WerSvc

Start = 4

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinDefend

Start = 4

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc

Start = 4

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv

Start = 4

Selain itu, virus membuat service baru dengan membuat string berikut :

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\[%Nama Acak%]

DisplayName = [%Gabungan 2 String%]

Type = 32

Start = 2

ErrorControl = 0

ImagePath = %SystemRoot%system32\svchost.exe -k netsvcs

ObjectName = LocalSystem

Description = [%Deskripsi Acak%]

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\[%Nama Acak%]\Parameters

ServiceDll = [%Lokasi Virus%]

Agar dapat menyebar cepat dalam jaringan, virus membuat string berikut :

- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

TcpNumConnections = 0x00FFFFFE

Terakhir, virus berusaha menyembunyikan file virus dengan membuat string berikut :

- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

Hidden = 0

SuperHidden = 0

- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

CheckedValue = 0

Pembersihan Virus

ü Putuskan komputer yang akan dibersihkan dari jaringan/internet.

ü Matikan system restore (Windows XP / Vista).

ü Matikan proses virus yang aktif pada services. Gunakan removal tool dari Norman untuk membersihkan virus yang aktif.

http://download.norman.no/public/Norman_Malware_Cleaner.exe
ü Delete service svchost.exe gadungan yang ditanamkan virus pada regisrty. Anda dapat mencari secara manual pada registry
ü Hapus Schedule Task yang dibuat oleh virus. (C:\WINDOWS\Tasks)

ü Hapus string registry yang dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini :

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, Hidden, 0x00000001,1

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, SuperHidden, 0x00000001,1

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00000001,1

HKLM, SYSTEM\CurrentControlSet\Services\BITS, Start, 0x00000002,2

HKLM, SYSTEM\CurrentControlSet\Services\ERSvc, Start, 0x00000002,2

HKLM, SYSTEM\CurrentControlSet\Services\wscsvc, Start, 0x00000002,2

HKLM, SYSTEM\CurrentControlSet\Services\wuauserv, Start, 0x00000002,2

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Applets, dl

HKCU, Software\Microsoft\Windows\CurrentVersion\Applets, ds

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Applets, dl

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Applets, ds

HKLM, SYSTEM\CurrentControlSet\Services\Tcpip\Parameters, TcpNumConnections

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Catatan : Untuk file yang aktif pada startup, anda dapat men-disable melalui “msconfig” atau dapat men-delete secara manual pada string :

“HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run”

ü Untuk pembersihan virus W32/Conficker.DV secara optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang terupdate dan mampu mendeteksi