Untuk virus lokal, tidak ada virus baru, hanya variant baru saja. Berikut ini daftar selengkapnya:
1. Autoit Variant
Hampir kebanyakan varian dari virus import berbasis script ini menggunakan icon mirip seperti folder. Virus ini memiliki kemampuan untuk melakukan auto update ke beberapa situs, seperti yang dilakukan oleh salah satu variannya, Autoit.CA, yang banyak dilaporkan. Ia juga dapat memanfaatkan Yahoo! Messenger sebagai media perantara penyebarannya dengan mengirimkan pesan berisi link ke setiap contact person yang ada di Y!M korban.
2. Recycler Varian
Yang menjadi ciri khas dari virus ini adalah teknik bagaimana ia menyebar. Yakni “ngumpet” dalam direktori Recycler/Recycler/Recycle Bin. Ia juga diketahui menerapkan teknik code injection agar kode virus bisa “nyangkut” pada explorer.exe. Ini dilakukannya untuk mempersulit user maupun program antivirus sekalipun untuk membunuhnya.
3. Valeria.C.
Virus lokal yang satu ini, lagi-lagi dibuat menggunakan Visual Basic, dan sepertinya ada kemiripan dengan virus Aksika, bisa jadi ia merupakan versi modifikasi dari virus Aksika. Virus ini menyamar menggunakan icon mirip folder, dengan ukuran file sekitar 152KB tanpa di-pack. Pada komputer terinfeksi, akan ditemukan beberapa file yang mirip sekali dengan folder padahal itu adalah virus. Diketahui, pada setiap root drive, ia akan membuat sebuah folder dengan nama valerianet yang berisi file virus. Untuk mengetahui apakah komputer sudah terinfeksi virus ini apa belum, cukup mudah. Komputer terinfeksi ditandai dengan terdapatnya file dengan nama valeria.txt di C:\.
4. Fdshield
Virus yang dibuat menggunakan bahasa Delphi ini menggunakan icon yang menyerupai Internet Explorer. Memiliki ukuran file sebesar 553.472 bytes, tanpa di-pack. Satu hal yang mencolok dari virus ini adalah dari nama yang digunakan saat menyebar, yang bertuliskan “17++ Sexs & Rahasia Wanita artis Indonesia (foto2_kamera tersembunyi_liputan).exe”. Bagi user yang tidak hati - hati, akan menyangka file tersebut merupakan file HTML. Jika Anda lihat pada direktori C:\Windows\System32, akan ditemukan sebuah file induk dengan nama “rundl32.exe”. Jangan tertipu lagi! Itu bukanlah file bagian dari Windows, tapi itu memang adalah file virus. Perhatikan huruf “L” yang cuma satu. Dan sekarang lihat pada Schedule Task, ada Job baru dengan nama “Windows FD Shield” yang akan mengeksekusi file virus diwaktu yang telah ia tentukan.
5. WSar.D
Seperti varian sebelumnya, ia masih dibuat menggunakan VB. Varian ini memiliki ukuran sekitar 108KB, murni tanpa di-pack. Karena icon yang digunakan adalah icon mirip folder, saat beraksi, ia akan mencari folder pada setiap drive yang ada di komputer korban, dan membuat duplikat dirinya dengan nama sama seperti folder asli.
6. Purwo Variant
Satu lagi varian baru, Purwo.C, masih dibuat menggunakan Visual Basic, dengan badan berukuran sekitar 56KB, murni tanpa di-pack. Virus ini menggunakan icon mirip dokumen Word milik MsOffice untuk menipu calon korbannya. Saat menginfeksi ia menciptakan sebuah folder dengan nama “Purwokerto Under Cover” yang diberi attribut hidden, dan berisi sebuah file bernama “KoruptorPurwokerto.exe” pada setiap drive yang ia temukan. Di dalam folder C:\Windows\System32\system juga ada file windowss.exe, dan di C:\Windows\javaa\service.exe. Di waktu tertentu ia akan menampilkan layar hitam yang berisi teks pesan dari pembuatnya. Dan hati-hati, virus ini juga akan menghapus beberapa file milik Anda yang ia temui.
7. Yuyun.vbs
Virus yang diciptakan menggunakan Visual Basic Script ini berukuran sekitar 9KB. Pada komputer terinfeksi ia akan membuat banyak sekali file duplikat di setiap folder yang ia temukan dengan nama file autorun.inf, Thumb.db, dalam kondisi ber-attribut hidden, dan sebuah shortcut dengan nama Microsoft. Jika shortcut tersebut diakses, dia memang akan menuju ke suatu folder, tapi dibalik itu virus tersebut juga akan aktif. File Thumb.db disini juga bukan merupakan file milik Windows, tapi melainkan file script virus. Pada komputer terinfeksi juga akan ditemukan sebuah file pesan virus pada direktori Temp user. Di direktori ini juga akan ditemukan file lain yakni script virus yang sudah dalam kondisi ter-decrypt. Karena perlu Anda ketahui bahwa virus ini memang hadir dalam kondisi ter-enkripsi.
8. Raider.vbs Variant
Virus jenis VBScript ini jika file virusnya dibuka dengan Notepad, tidak banyak string yang bisa dibaca karena dalam kondisi ter-enkripsi. Ini sudah menjadi kebiasaan dalam setiap variannya. Biasanya, pada Registry, ia akan memberikan pengenal dengan membuat key baru di HKLM\Software dengan nama sama seperti nama pada computer name, dengan isinya berupa string value seperti nama virus tersebut, Raider, serta tanggal komputer tersebut kali pertama terinfeksi.
9. Malingsi
Virus bertubuh gemuk dengan ukuran 705.312 bytes ini dibuat menggunakan Visual Basic yang di-pack menggunakan PECompact. Sepertinya virus ini ditujukan untuk menyerang virus lain, ini terlihat dari pesan yang ada di tubuhnya. Virus ini berkembang biak dan menyebar menggunakan perantara mIRC, yang bertindak sebagai Bot.
10. Rieysha Variant
Ditemukan lagi varian dari Rieysha, kali ini dengan nama Rieysha-Sma. Seperti varian sebelumnya, ia masih dibuat menggunakan Visual Basic. Ukuran kali ini sekitar 104KB, dengan icon yang menyerupai file Real Media Player. Saat menginfeksi, ia akan membuat duplikat file exe, mp3, doc, dan 3gp yang digantikan dengan dirinya. Selain itu, setidaknya ada 2 buah file virus pada root drive, dengan nama “sma3gp.exe” dan “CeritaSeru.vbs”.
Sumber: VirusIndonesia
Selasa, 03 Maret 2009
Top 10 Virus, Februari 2009
Sabtu, 17 Januari 2009
Mencegah virus menular melalui Flashdisk
Masih ngomongin tentang virus nih, tapi sekarang kita bahas cara pencegahan nya. Flashdisk adalah salah satu media yang paling berperan dalam penyebaran virus, terutama virus lokal. Ini terlihat sejak masa jaya nya virus brontok. Selain mengandalkan antivirus yang selalu di update, sebenarnya ada cara yang lain untuk mencegah penularan virus melalui flashdisk. Kalau memang mo tahu dan ingin mencoba, ikuti langkah-langkah ini:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
Dengan cara ini, autorun di dalam flashdisk tidak akan berjalan saat kita memasangnya ke komputer.
Selain cara di atas ada juga cara lain yang layak di coba yaitu dengan menggunakan software gratis ini, USB Firewall.
Meskipun aplikasi ini terlihat sederhana, tapi aplikasi ini mampu mencegah program berjalan tanpa sepengetahuan kita dari media seperti flashdisk. Untuk lebih tahu lebih banyak tentang software ini kita bisa mengunjungi EbSoft.web.id karena aku juga belum pernah menggunakan software ini hehehe..... Semoga postingan ini bermanfaat, maaf kalau banyak yang kurang atau ada yang salah. Maklum masih belajar :)
Top 10 Virus, Januari 2009
Label: Informasi, VirusLama gak nulis di sini, sampai mas hery nyangka aku udah bosen. Bukannya bosen sih tapi aku lagi ngurus blog ku yang baru, kl mo berkunjung silakan aja (klik donk). Kok jadi curhat n promosi sih??? hehehehe.... Ok kita langsung aja liat virus mana aja yang masuk dalam Top 10 bulan ini.
1. Windx-Maxtrox
Virus yang dibuat dengan Visual Basic ini memiliki ukuran tubuh asli sekitar 77Kb, tanpa di-pack. Virus yang diduga kuat berasal dari daerah Sulawesi Utara ini memiliki kemampuan infeksi file executable. Tepatnya, ia akan menginfeksi program yang ada di direktori Program Files. Teknik infeksi yang cukup cerdik ia terapkan untuk menghindari pendeteksian engine heuristic dari antivirus. Ciri khas yang dapat dikenali pada komputer terinfeksi adalah berubahnya gambar wallpaper dari desktop menjadi gambar animasi.
2. Autoit varian
Ciri khas virus yang satu ini adalah dibuat menggunakan program automation scripting. Yang jika di compile menjadi sebuah file executable, yang juga di-pack menggunakan UPX. Dan hampir 90% virus autoit beserta semua varian yang kami miliki, menggunakan icon mirip folder dalam penyamarannya. Virus ini juga biasanya akan membuat sebuah file autorun.inf pada saat menyerang disk drive ataupun flash drive.
3. Malingsi
Virus bertubuh gemuk dengan ukuran 705.312 bytes ini dibuat menggunakan Visual Basic yang di-pack menggunakan PECompact. Sepertinya virus ini ditujukan untuk menyerang virus lain, ini terlihat dari pesan yang ada di tubuhnya. Virus ini berkembang biak dan menyebar menggunakan perantara mIRC, yang bertindak sebagai Bot.
4. Recycler varian
Yang menjadi ciri khas dari virus ini adalah teknik bagaimana ia menyebar. Dari semua varian yang kami miliki, cara yang dilakukannya adalah sama, yakni menyamar seperti layaknya Recycle Bin. Contohnya disaat virus ini menyerang flash disk. Di flash disk korban akan terdapat folder dengan nama Recycler yang di dalamnya terdapat folder yang menggunakan nama alpha numeric contohnya “S-1-5-21-1482476501-1644491937-682003330-1013″ dengan icon mirip dengan icon Recycle Bin. Jika folder ini di-klik atau diakses dari Explorer, file virus tidak akan nampak. Untuk melihatnya, Anda bisa masuk ke command prompt dengan perintah “dir /a”.
5. Fdshield
Virus yang dibuat menggunakan bahasa Delphi ini menggunakan icon yang menyerupai Internet Explorer. Memiliki ukuran file sebesar 553.472 bytes, tanpa di-pack. Satu hal yang mencolok dari virus ini adalah dari nama yang digunakan saat menyebar, yang bertuliskan “17++ Sexs & Rahasia Wanita artis Indonesia (foto2_kamera tersembunyi_liputan).exe”. Bagi user yang tidak hati - hati, akan menyangka file tersebut merupakan file HTML. Jika Anda lihat pada direktori C:\Windows\System32, akan ditemukan sebuah file induk dengan nama “rundl32.exe”. Jangan tertipu lagi! Itu bukanlah file bagian dari Windows, tapi itu memang adalah file virus. Perhatikan huruf “L” yang cuma satu. Dan sekarang lihat pada Schedule Task, ada Job baru dengan nama “Windows FD Shield” yang akan mengeksekusi file virus diwaktu yang telah ia tentukan.
6. Purwo variant
Satu lagi varian baru, Purwo.C, masih dibuat menggunakan Visual Basic, dengan badan berukuran sekitar 56KB, murni tanpa di-pack. Virus ini menggunakan icon mirip dokumen Word milik MsOffice untuk menipu calon korbannya. Saat menginfeksi ia menciptakan sebuah folder dengan nama “Purwokerto Under Cover” yang diberi attribut hidden, dan berisi sebuah file bernama “KoruptorPurwokerto.exe” pada setiap drive yang ia temukan. Di dalam folder C:\Windows\System32\system juga ada file windowss.exe, dan di C:\Windows\javaa\service.exe. Di waktu tertentu ia akan menampilkan layar hitam yang berisi teks pesan dari pembuatnya. Dan hati-hati, virus ini juga akan menghapus beberapa file milik Anda yang ia temui.
7. Formalin
Icon yang digunakan oleh virus ini menyerupai layaknya folder, dan ia dibuat menggunakan Visual Basic. Pada Formalin.D, ukuran filenya sebesar 18.432 bytes, dengan kondisi di-pack menggunakan UPX. Virus ini menciptakan folder “samaran” dengan nama seperti Bocoran soal UAN dan UAS, My Completed Downloads, Wallpaper Picture, Crack Program, Jgn dibuka !!!, Nitip Data (jgn dihapus), dan lain sebagainya. Pada komputer terinfeksi, caption di Internet Explorer akan berubah menjadi “Your computer has been infected virus Formalin”. Ia juga mencoba untuk melumpuhkan “safe-mode” dengan cara menghapus beberapa registry terkait. Dan pada file properties sang virus, di bagian description milik version information akan ada tulisan seperti “Kasian dch loe”.
8. Raider.vbs variant
Virus jenis VBScript ini jika file virusnya dibuka dengan Notepad, tidak banyak string yang bisa dibaca karena dalam kondisi ter-enkripsi. Ini sudah menjadi kebiasaan dalam setiap variannya. Biasanya, pada Registry, ia akan memberikan pengenal dengan membuat key baru di HKLM\Software dengan nama sama seperti nama pada computer name, dengan isinya berupa string value seperti nama virus tersebut, Raider, serta tanggal komputer tersebut kali pertama terinfeksi.
9. Autorunme variant
Virus yang bukan produksi programer lokal ini pack menggunakan PECompact. Ia tidak memiliki icon, hanya menggunakan icon standar applications dari Windows. Saat menginfeksi, ia mencoba untuk menanamkan file induknya pada direktori C:\Windows\System dengan nama msvc32s.exe dan dengan attribut hidden dan system, serta membuat autorun baru di registry dengan nama “Windows msvc Control Centers”. Virus yang dapat menyebar melalui media penyimpan data seperti flash disk ini juga dapat menyebar melalui aplikasi Instant Messaging. Pada flash disk, ia akan membuat folder tiruan Recycle Bin yang berisi file dengan nama autorunme.exe, lalu mengarahkan autorun.inf untuk menjalankan file virus tersebut. Jadi, saat user mencolokan flash disk tersebut lalu mengakses drive yang dimaksud, virus tersebut akan aktif.
10. Rieysha variant
Ditemukan lagi varian dari Rieysha, kali ini dengan nama Rieysha-Sma. Seperti varian sebelumnya, ia masih dibuat menggunakan Visual Basic. Ukuran kali ini sekitar 104KB, dengan icon yang menyerupai file Real Media Player. Saat menginfeksi, ia akan membuat duplikat file exe, mp3, doc, dan 3gp yang digantikan dengan dirinya. Selain itu, setidaknya ada 2 buah file virus pada root drive, dengan nama “sma3gp.exe” dan “CeritaSeru.vbs”.
Itu semua virus yang masuk dalam Top 10 bulan ini versi VirusIndonesia.com
Rabu, 03 Desember 2008
Top 10 Virus, November 2008
Perkembangan virus lokal yang mulai melemah memang dirasakan mulai dari beberapa periode yang lalu. Pada Top-10 kali ini beberapa virus periode lalu masih bertengger di urutan 10 besar. Namun, ada juga varian-varian baru yang berhasil menaikan peringkat virusnya untuk menjadi urutan atas ataupun agar tetap mendominasi, contohnya seperti varian virus Rieysha, Microso, dan Kalong. Dan, ada juga beberapa virus baru yang berhasil masuk seperti Bungas.vbs dan Plolonk. Berikut daftar selengkapnya: Virus lokal jenis VBScript ini memiliki ukuran tubuh sebesar 7222 bytes. Ia hadir dalam kondisi beberapa string terenkripsi, tentunya untuk menyulitkan pendeteksian dan proses analisa. Menariknya, rutin decryptornya tidak diperlihatkan begitu saja pada source nya, tapi sedikit ia sembunyikan. Virus ini menyebar melalui flash disk, tentunya juga memanfaatkan autorun dari flashdisk. File autorun.inf ia rancang sedemikian rupa, jadi saat user mengakses drive flash disk atau melihat properties dari drive flash disk, virus ini akan aktif. 
Virus ini dibuat menggunakan Visual basic. Pada salah satu variannya, seperti contohnya Buxto.C, ia memiliki ukuran tubuh sebesar 266.240 bytes, tanpa di-pack. Icon virus ini menyerupai icon aplikasi browser Mozilla Firefox. Virus ini dikenal dapat membuat autorun di setiap drive yang ia temui untuk dapat menyebar. Dan satu hal, pesan yang disampaikan oleh virus ini cukup nyeleneh, seperti layaknya sebuah pesan iklan.
Saat menyebar, ia akan membuat file Desktop.ini dan autorun.inf dengan attribut hidden dan system. File tersebut akan disebarnya ke setiap drive yang ia temukan pada komputer terinfeksi. Ia juga akan berusaha untuk menyebarkan dirinya pada jaringan setempat dengan sebelumnya telah mematikan fasilitas firewall milik Windows. Pada komputer terinfeksi, akan terdapat beberapa file induk virus. Diantaranya, pada direktori System32, akan ada file dengan nama wmiprvse.exe dan mgrShell.exe, lalu file inti ini akan men-drop file lainnya dari dalam tubuhnya pada direktori Temp dengan nama ctfmon.exe dan pada direktori Windows dengan nama svchost.exe. Dan untuk mempercepat aksi penyebarannya, virus ini pun men-set registry NoDriveTypeAutoRun agar mendukung autorun pada floppy disk.
Ia hadir dengan icon yang mirip dengan file multimedia milik WinAmp. Varian B memiliki ukuran file 49.152 bytes, tanpa di-pack. Sementara itu, varian C yang kami temukan, memiliki ukuran file sebesar 19.968 bytes, dan di-pack menggunakan UPX. Seperti yang lalu, ia akan menggantikan seluruh file multimedia yang ia temukan seperti MP3, 3GP, AVI, WMV, ASF, MPG, MPEG, MP4, pada komputer korban dengan dirinya sendiri, dengan menggunakan nama yang hampir sama, hanya ditambahkan extension .EXE di akhirnya. Virus ini juga akan mengubah setingan di registry untuk mendukung kelangsungan hidupnya, seperti menyembunyikan Folder Options, mem-blok Regedit, System Restore, dan lainnya. Diketahui, Virgear juga mencoba untuk mem-blok antivirus dan virus lain. Untuk itu, rename (ubah nama) dari PCMAV-CLN.exe sebelum Anda menggunakannya, misalkan menjadi 123456.exe. Dan, pada komputer terinfeksi, ia akan menampilkan kalimat “++++ Makanya jangan handak buka BF ja, neh rasain oleh2 dari amang hacker ++++” pada caption Internet Explorer.
Virus produksi lokal yang satu ini dibuat menggunakan Visual Basic, dengan ukuran sebesar 67.072 byte dengan kondisi di-packscramble. Di registry, ia menciptakan item run baru di HKLM, dengan nama service yang menunjuk pada salah satu file induknya yang ada di direktori Windows dengan nama dllhost.exe. Selain itu, pada direktori tersebut dapat ditemukan pula sebuah file gambar yang akan dijadikan wallpaper olehnya dengan nama Pl0Lonx.jpg. Jadi pada komputer terinfeksi, wallpaper desktop dari komputer tersebut akan ia ubah menjadi gambar bertemakan “Linux SuSE”. Selain itu, untuk dapat aktif otomatis, ia juga menempatkan dirinya pada folder StartUp dengan nama Empty.pif. yang kemungkinan besar menggunakan UPX yang di-
8. Autorunme
Virus yang bukan produksi programer lokal ini memiliki ukuran sebesar 26.835 bytes, dan diperkirakan di-pack menggunakan PECompact. Ia tidak memiliki icon, hanya menggunakan icon standar applications dari Windows. Saat menginfeksi, ia mencoba untuk menanamkan file induknya pada direktori C:\Windows\System dengan nama msvc32s.exe dan dengan attribut hidden dan system, serta membuat autorun baru di registry dengan nama “Windows msvc Control Centers”. Virus yang dapat menyebar melalui media penyimpan data seperti flash disk ini juga dapat menyebar melalui aplikasi Instant Messaging. Pada flash disk, ia akan membuat folder tiruan Recycle Bin yang berisi file dengan nama autorunme.exe, lalu mengarahkan autorun.inf untuk menjalankan file virus tersebut. Jadi, saat user mencolokan flash disk tersebut lalu mengakses drive yang dimaksud, virus tersebut akan aktif.
10.Kalong.vbs varian 
Sumber: virusindonesia.com
Minggu, 09 November 2008
VBSCRIPT GANAS INFEKSI DOKUMEN
TREN VIRUS jenis VBScript memang belum selesai, tiada hent para pembuat virus lokal melakukan aksinya. Kali ini kami akan mencoba membahas salah satu virus berjenis VBScript, yang menggunakan teknik lain dalam penginfeksiannya. Dikena oleh PC Media Antivirus sebagai Repvblik.vbs. Memang dike tahui virus ini sepertinya bukanlah virus keluaran terbaru, tap teknologi yang diusung lain daripada virus VBScript biasanya dan beberapa pembaca masih ada yang mengeluhkan virus ini. Virus ini memiliki ukuran file asli sebesar 5915 bytes. Cukup kecil, kan? Inilah salah satu keunggulan yang dimiliki oleh virus jenis VBScript, karena ukuran file virus terbilang kecil meru pakan nilai tambah baginya untuk dapat mempercepat laju penyebaran virus ini.
Virus ini dapat berjalan mulus pada operating system Windows XP yang kami uji cobakan. Sekilas, jika dilihat secara visual menggunakan Notepad, jenis virus yang memiliki extension .VBS ini hadir dalam kondisi terenkripsi. Bisa diketahu pada saat dibuka, karena yang muncul hanya karakter aneh Namun jika lebih teliti, di bagian paling atas terdapat string “RPVBLK=True” atau “RPVBLK=False”, dan di bagian bawah terdapat rutin yang biasa disebut sebagai decryptor yang tentunya dapat terbaca.
Enkripsi
Tidak sulit dalam melakukan deskripsi atas tubuh virus tersebut. Karena secanggih apapun enkripsi yang ia terapkan, past dapat terbongkar juga karena sebenarnya dalam tubuhnya pun terdapat rutin decryptor yang akan menerjemahkan byte per byte ke dalam bentuk aslinya. Enkripsi yang ia lakukan hanyalah permainan karakter saja, hanya memaju atau memundurkan karakter saja, biasa dikenal dengan Caesar Cipher. Yang kam lakukan hanya menyisipkan beberapa rutin yang nantinya akan melakukan dumping pada teks yang telah terdekripsi dan kam pun dapat dengan mudah mempelajari gerak–gerik virus tersebut dari source code-nya.
Saat seluruh tubuh virus berhasil di-decrypt, tepat di bagian atas source script tersebut, terlihat beberapa string comment yang bertuliskan seperti “Repvblik Ver 2.0 ^_^!”, dan juga beberapa pesan yang ia sampaikan.
Virus di StartUp
Yang pertama ia lakukan adalah tentunya menciptakan file induk. Jadi, saat virus dieksekusi di komputer yang bersih, ia akan menciptakan sebuah file induk asli yang ia tempatkan pada direktori StartUp yang bisa Anda temukan pada Start Menu > StartUp dengan nama Repvblik.vbs. Bagaimana ia mengenali dirinya sendiri, apakah file tersebut merupakan file induk atau file yang sudah terinfeksi? Ia memiliki pengenal di bagian pa ling atas source script-nya, yakni “RPVBLK” yang bisa bernilai True atau False. File induk virus ini juga akan running otomatis pada saat memulai Windows.
Pesan
Bersamaan dengan itu pula, ia akan menciptakan direktori baru pada drive C:\ dengan nama Repvblik. Di dalam direktori atau folder tersebut, Anda akan menemukan sebuah file teks dengan nama Repvblik.txt yang merupakan pesan dari sang pembuat virus. Tidak hanya di situ saja, karena di setiap direktori tingkat pertama yang ia temukan pun pasti akan terdapat file Repvblik.txt.
Dan saat aktif di memory, jika dilihat menggunakan Task Manager, user tidak akan dapat melihat process virus dengan nama menyerupai nama file VBS, karena saat sebuah file VBS diklik atau diakses, Windows secara otomatis akan menjalankan program wscript.exe yang bisa dibilang sebagai penerjemah dari script tersebut. Jadi saat virus ini aktif, process virus yang tampak di Task Manager hanyalah process wscript.exe. Cukup sulit memang menentukannya, apakah wscript.exe tersebut menjalankan file VBS virus atau bukan, karena bisa saja sebagian user masih memanfaatkan bahasa VBScript ini untuk membuat script kecil yang dapat mempermudah kerjanya. Namun, jika menggunakan program yang lebih advanced, seperti misalnya Process Explorer, Anda bisa lebih detail menelusuri setiap process yang ada. Hanya dengan mengklik kanan process yang diinginkan, lalu klik Properties, Anda akan menemukan informasi script apa yang dijalankan oleh wscript.exe itu pada editbox Command Line di Process Explorer.
Infeksi Dokumen!
Setelah file induk berhasil dibuat, ia pun segera melancarkan jurus pamungkas, yakni menginfeksi dokumen Anda yang terdapat pada direktori My Documents. File yang akan diinfeksi oleh virus ini adalah file–file dengan extension DOC, XLS, PPT, PPS, dan RTF yang pasti sudah tidak asing lagi di mata Anda. Semua alur penginfeksiannya bisa dipelajari dengan jelas dengan membaca rutin fungsi yang ia beri nama explore_folder_and_infect_file yang terdapat pada tubuhnya. Cara yang ia lakukan sebenarnya sangatlah sederhana, ia akan mencari di direktori My Documents file–file dengan extension tersebut termasuk ke dalam subdirektori, jika ia menemukannya maka dengan sigap ia akan menginfeksinya. Dengan sebelumnya ia pun telah menghapus isi dari folder Recent yang berisi data file–file yang terakhir kali dibuka.
Caranya menginfeksi adalah dengan cara meng-append file dokumen yang akan diinfeksi di bagian bawah tubuh sang virus. Jadi apabila Anda memiliki file dengan nama misalkan Skripsi. doc, maka virus ini akan membaca keseluruhan isi dari file tersebut, lalu ditaruhnya isi dari file dokumen itu di bagian paling bawah tubuh sang virus, dan memberikan tanda berupa string “RPVBLK=False” di bagian awal tubuh sang virus, yang artinya virus tersebut sudah menginfeksi file. Ini biasa juga dilakukan oleh virus lain yang memiliki kemampuan injeksi, agar file yang sudah diinfeksi tidak diinfeksi lagi. File yang sudah diinfeksi namanya akan menjadi Skripsi.doc.vbs. Dan file dokumen yang asli pun akan dihapusnya. Tentu saja kini file dokumen Anda sudah menjadi file VBScript, yang sudah tentu tidak bisa dibuka dengan Microsoft Word. Namun Anda tidak perlu bingung, biarkan PCMAV melakukan tugasnya mengembalikan dokumen Anda ke keadaan seperti semula.Nanti pada saat file terinfeksi dijalankan, virus ini akan terlebih dahulu meng-extract file dokumen yang terdapat pada tubuhnya pada current directory, lalu menjalankan kembali dirinya dan seolah-olah tidak terjadi apa-apa.
Manipulasi Registry
Virus Repvblik ini pun akan dengan cerdik mencoba untuk mengubah default icon dari setiap file VBS agar menggunakan icon Microsoft Word. Serta mengubah file type nya menjadi “Microsoft Word Document”, dan menghilangkan tampilan extension .VBS pada Windows Explorer dengan menambahkan item NeverShowExt pada key VBSFile di Registry Windows. Tentunya jika sudah begini, user awam tidak akan bisa membedakan antara file asli dengan file virus.
Rename MP3
Tidak hanya menginfeksi dokumen, ia pun mulai mengerjai file musik MP3 koleksi Anda. Setiap file MP3 yang ia temukan akan di-rename olehnya. Yang ia lakukan adalah menambahkan string “Repvblik_” di depan nama file MP3 yang akan ia kerjai.
Flash Disk
Behati–hatilah jika menemukan file dengan nama–nama seperti “I am So Sorry.txt.vbs”,”SMS Gratis via GPRS.txt. vbs”,”Indonesian and their corruption!! .txt.vbs”,”Never be touched!! .txt.vbs”,”Make U lofty.txt.vbs”,”Thank U Ly.txt. vbs”,”The Power of Midwife.txt.vbs”, dan atau “NenekSihir and her Secrets.txt.vbs” pada perangkat removable disk Anda, itu adalah nama file yang biasa ia gunakan untuk menyebar.
Sumber : http://www.pcmedia.co.id/detail.asp?Id=2246&Cid=20&Eid=
X-FLY: GANTI ICON .EXE
Label: Virus
Kali pertama virus dijalankan, yang ia lakukan adalah membuat file induk pada drive C dan D (jika ada), tepatnya ia akan membuat folder baru pada drive C:\soulfly dan D:\soulfly serta menaruh beberapa file induknya pada folder tersebut. Selain itu, ia juga menempatkan beberapa file induk execu table lainnya pada root drive C dengan nama yang tak lazim, yakni MSNTLR.DYS, MSFLC.FYS, MSDLF.HHS, PSK.fly, dan satu lagi bernama fadly_keren.ocx. Sementara pada direktori Windows dan System32, selain terdapat file induk lainnya, ia pun mengextract icon yang disimpan pada section Resource di tubuhnya ke direktori System32 tersebut, serta membuat lagi file dengan nama mediaplayer.exe dan rj.html pada folder startup Windows. Ia pun tak lupa membuat back-up terhadap file MSVBVM60. DLL pada direktori C:\WINDOWS\System dengan nama MSVBVM60.DLL dan rambe.dat.
Setelah file induk berhasil disebar, tugas selanjutnya adalah memanggil beberapa file induk tersebut, jadi memory pun akan dipenuhi dengan process dari sang virus. Ini sangat membuat kerja processor bertambah berat dan akan sangat terasa saat menjalankan beberapa aplikasi secara bersamaan. Setidaknya pada memory akan terdapat process virus dengan nama RCSS. EXE, r4m83.exe, isass.exe, realplay.exe, MSNTLR.DYS, MSFLC. FYS, MSDLF.HHS, dan PSK.fly.
Banyak AutoRun
Yang dilakukan oleh virus ini untuk dapat running otomatis saat memulai Windows memang cukup berlebihan, ia membuat lebih dari 20 item Run baru di registry. Yang pertama, ia akan memanipulasi nilai Userinit yang ada pada key HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\ menjadi “C:\WINDOWS\system32\userinit.exe, C:\windows\system32\RCSS.exe”. Windows akan menganggap string C:\windows\system32\RCSS.exe, yang merupakan salah satu file induk virus ini sebagai parameter, yang akhirnya akan dieksekusi juga oleh Windows. HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Shell dan HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System juga mengalami hal yang sama, nilainya diubah menjadi C:\WINDOWS\system32\RCSS.exe. Selebihnya ia membuat beberapa itum run lainnya pada key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run dan HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.Beberapa extension pun ia ubah default open-nya agar mengarah kepada file induk di c:\WINDOWS\r4m83.exe. Extension yang ia ubah tersebut adalah .LNK, .PIF, .BAT, dan .COM.
Tidak hanya normal mode, SafeMode pun ia infeksi dengan cara mengubah nilai AlternateShell yang ada pada key HKLM\SYSTEM\ControlSet001\Control\SafeBoot\, HKLM\SYSTEM\ControlSet002\Control\SafeBoot\,dan HKLM\SYSTEM\CurrentCon-trolSet\Control\SafeBoot\, yang diarahkan kepada file induk yang sama seperti di atas, yakni C:\WINDOWS\system32\RCSS.exe. Ini akan berakibat aktifnya sang virus walaupun dalam modus SafeMode.
Restriksi Registry
Dengan masih menggunakan bantuan Registry, ia mengeset beberapa restriction untuk menunjang kelangsungan hidupnya. Dengan cara menambahkan beberapa item baru seperti NoFolderOptions, NoFind, NoRun, DisableTaskMgr, dan DisableCMD pada key HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\, yang tak lain maksudnya adalah untuk tidak memperbolehkan user untuk mengakses menu Folder Options, Search/Find, Run, Task Manager, dan Command Prompt. Serta untuk Folder Options, ia set untuk tidak menampilkan file dengan attribut hidden dan system, serta menyembunyikan extension dari setiap file yang dikenal. Selain itu, ia pun men-disable System Restore milik Windows.
Register Extension Baru
Seperti dikatakan di awal, virus XFly ini menciptakan file exe-cutable dengan nama yang tak lazim, namun bisa dieksekusi. Seperti contohnya, MSNTLR.DYS atau MSFLC.FYS. Jadi, apabila ada file misalnya dengan extension berupa .DYS, dan user menjalankan dengan mengklik dua kali pada explorer, Windows akan menjalankannya selayaknya file executable (.EXE). Bagaimana ia melakukannya? Sebelumnya ia telah meregister extension baru yang telah ia tentukan seperti .DYS,.FYS, .HHS, dan .FLY pada registry HKEY_CLASSES_ROOT dan mengesetnya sedemikian rupa agar dikenali layaknya file executable.
Menyamar Berganti Icon
Agar selalu dapat mengelabui korbannya, virus ini memiliki kemampuan untuk mengubah resource icon dirinya. Seperti yang kita ketahui, normalnya sebuah file executable memiliki section resource. Dalam section resource ini bisa terdiri atas berbagai macam data. Salah satunya adalah icon. Secara teknis, jika executable virus ini dibedah, pada section resource akan terdapat resource dengan nama OCX. Resource OCX ini berisi kumpulan icon yang akan digunakannya nanti. Virus ini akan mengextract icon yang ada pada resource OCX pada direktori System32 dengan nama avg.ico, word.ico, rmb5.ico, mp3.ico, jpg.ico, dan folder.ico. Dari namanya, pasti Anda sudah bisa mengira tampilan icon tersebut seperti apa. Dan yang dilakukan oleh virus ini adalah mengubah resource icon pada beberapa file executable induknya menggunakan icon yang baru yang telah ia extract sebelumnya.
Berkembang Biak
Media yang banyak dipakai oleh virus-virus di Indonesia untuk menyebar adalah flash disk. Jika terinfeksi virus ini, pada flashdisk akan terdapat file baru dengan nama New Folder. exe tentunya dengan icon mirip folder dan sebuah file dengan nama autorun.inf. Bukan hanya itu, ia juga memiliki kemampuan untuk menyebar melalui jaringan dengan mencari sharing older yang aktif yang memiliki akses write agar virus ini dapat mengkopikan dirinya ke sharing folder tersebut. Biasanya untuk menarik perhatian user, virus ini akan membuat file dengan nama berbau pornografi .
Menghapus File
Saat user mencolokan flash disk, virus ini dengan segera akan mencari file dengan extension .MPG, .WMV, .AVI, .JPG, .SCR, ZIP, dan .RAR. Apabila ditemukan, maka ia akan menghapus file tersebut dan menggantikannya dengan file virus dengan nama yang hampir sama.
Blacklist Aplikasi
Segala cara dikerahkan untuk dapat selalu bertahan hidup. Komponen Timer yang ada pada tubuhnya, secara simultan akan membaca caption dan atau window class dari setiap apikasi yang running, apabila ditemukan aplikasi yang masuk dafar blacklist-nya, ia akan segera menampilkan layar hitam berisi pesan dari si pembuat virus, dan selama layar hitam ini muncul, sang user tidak akan bisa berbuat apa–apa. Beberapa string yang ada dalam daftar black list-nya, antara lain PROCESS, SETUP, RESOURCE HACKER, HEX WORKSHOP, HIJACKTHIS, KILLBOX, dan masih banyak lagi yang lainnya.
Pesan Virus
Pada komputer terinfeksi, caption dari Internet Explorer, akan berubah menjadi “..:: x-fly ::..”, dengan default page yang mengarah pada file “C:\Documents and Settings\All Users\Start Menu\Programs\Startup\rj.html” yang merupakan file pesan virus. File ini pun akan dijalankan otomatis pada saat memulai Windows karena berada pada folder StartUp.
Selain itu, sebuah file pesan virus dengan nama x-fly.html pun akan terlihat jelas pada Desktop, tepatnya berada pada C:\Documents and Settings\All Users\Desktop\x-fly.html. Dan setiap waktu menunjukkan pukul 12:30, 16:00, atau 20:00, virus ini juga akan menampilkan layar hitam yang berisi pesan darii pembuat virus.
Sumber : http://www.pcmedia.co.id/detail.asp?Id=2164&Cid=20&Eid=
Sabtu, 08 November 2008
Top 10 Virus, Oktober 2008
1. GadiHot
2. Windx-Maxtrox
3. Virgear
4. Koplax
5. HelloBaby
6. Zifoe
7. Tiara-Alimah
8. Autorunme
9. Microso
10. Allya.vbs
Klik disini untuk melanjutkan »»
