Begitulah sepenggal lirik lagu populer “Aku Cinta Dia” milik almarhum Chrisye yang dibawakan kembali oleh penyanyi muda nan sensasional Gita Gutawa. Di tengah krisis global dan isu flu babi yang merebak dimana-mana, cinta sepertinya sangat diperlukan paling tidak meredakan suasana permasalahan yang ada. Cinta dapat disampaikan melalui berbagai media baik tulisan, perasaan maupun hal lainya.

Hal ini menjadi juga inspirasi bagi para pembuat virus dengan menyampaikan pesan dengan cara yang berbeda, mengikuti pepatah “Banyak jalan menuju Roma (bukan penyanyi dangdut)” maka dengan dengan diplesetkan menjadi “Banyak jalan menebar Cinta (bukan nama artis chadel :p)”

Jika pada umunya pembuat virus Cinta membuat virus dengan membuat pesan pesan baik dalam bentuk dokumen (word atau notepad) dan HTML (browser), maka kali ini pembuat virus menebar hanya dengan menggunakan logo/icon virus yang berbentuk folder (asal jangan logo parpol..) dan meninggalkan jejak file kosong “khq”. Jadi jika pada komputer anda atau komputer server anda terdapat file “khq”, maka anda baru saja dikunjungi oleh virus ini atau bahkan sudah menyebar virus “folder cinta” ini.

Pada varian virus ini, oleh Norman Virus Control teridentifikasi sebagai Autorun.QBP. (lihat gambar 1)

Gambar 1, Norman Virus Control mendeteksi sebagai Autorun.QBP

Ciri ciri file virus

Ciri ciri dari file virus Autorun.QBP, diantaranya : (lihat gambar 2)

· Menggunakan icon “Folder Cinta”

· Memiliki ukuran 793 kb

· Type file “Application”

· Ber-extension exe

Gambar 2, File virus W32/Autorun.QBP

Gejala / efek virus

Jika anda terinfeksi oleh virus Autorun.QBP, maka akan menimbulkan gejala/efek sebagai berikut,

· Disetiap file sharing akan muncul file virus dengan nama “[namaacak].exe” dan file system yang kosong dengan nama “khq”. (lihat Gambar 2.) File khq ini juga akan berada pada setiap root drive.

· File virus aktif di memori komputer dengan nama “csrcs.exe” pada proses dengan username lokal. Anda dapat melihat dengan menggunakan task manager pada tab processes. (lihat gambar 3)

Gambar 3, Virus aktif pada user lokal dengan nama file csrcs.exe

· Tidak dapat menampilkan file yang sudah di hidden. (walaupun “folder options” sudah di rubah ber-kali kali, akan kembali hidden) lihat gambar 4.

Gambar 4, Show Hidden tidak bisa berubah

File file virus

Berbeda dengan beberapa virus lain yang menggunakan bahasa pemrograman Visual Basic / bahasa C++, virus Autorun.QBP dibuat dengan menggunakan script Autoit dan di kompress menggunakan UPX Unpacker. Beberapa file virus yang akan muncul jika dijalankan, yaitu :

· C:\WINDOWS\system32\csrcs.exe (berukuran 793 kb)

· C:\WINDOWS\system32\Autorun.inf

· [namaacak].exe , (disetiap root folder lokal yg sharing, serta folder dalam jaringan yang full-sharing)

· khq, (disetiap root folder lokal yg sharing, serta folder dalam jaringan yang full-sharing) , serta pada setiap root drive.

· [namaacak].exe , (pada media USB Flash/removable drive)

· Autorun.inf , (pada media USB Flash/removable drive)

Registri Windows

Walau tidak banyak aksi yang dilakukan, Autorun.QBP juga membuat beberapa perubahan pada registry yaitu diantaranya :

ü Agar dapat aktif saat komputer dijalankan, ia akan membuat string registry sebagai berikut :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run

· csrcs = C:\WINDOWS\system32\csrcs.exe

ü Untuk memproteksi dan tetap aktif pada windows, ia akan membuat string berikut :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

· Shell = Explorer.exe csrcs.exe

Media penyebaran

Virus Autorun.QBP, dapat menyebar dengan cepat melalui jaringan serta USB Flash/removable drive.

Pada USB Flash/removable drive, ia akan membuat 2 file dengan attribute RHSA (Read, Hidden, System, Archive), yaitu :

· Autorun.inf, yang berisi sebagai berikut :

;KJHOEULqHhiwDrOcyNwJNkxDfwkQJgqAhzVJqTERXfcnpAWZADHEcgsZmIybEUQkpUtfqHUwP

[AutoRun]

;bvNhsWkvJPvskfUipMfoMoguXEHMZourHiEWOf

open=vrtzkw.exe

;nsOgGGNtxPKinHAuwiLerRKijvNwnwyWXQuIowFKofnXUvwbzqTVjHrceZxt

shell\open\Command=vrtzkw.exe

;zIAQcWhhaLNbYaFgGFRkRnpobPjxqGjGWibjuVtGTeIvbYXEQMGIALSvTgGR

shell\open\Default=1

;45F27A231FB5BAE1D81F012E0845BDDF8E8C0EECB727D2C7BFC81571

;YTMjNinJOTSMglGpJiKuocrsfjnTADdBsw

shell\explore\Command=vrtzkw.exe

;hnztJRApTybMIbruXwPgoyMKkh

· [namaacak.exe], file virus yang berukuran 793 kb (lihat gambar 5)

Gambar 5, 2 file yang dibuat oleh virus dengan atribut file RHSA

Pada jaringan, ia akan membuat 2 file (pada root folder lokal yg di sharing, serta masuk pada folder/drive dalam jaringan yang full-sharing), yaitu :

· khq, file kosong yang yang merupakan jejak persinggahan virus Autorun.QBP

· [namaacak.exe], file virus yang berukuran 793 kb (lihat gambar 6)

Gambar 6, 2 file yang dibuat oleh virus dalam jaringan yg full sharing

Cara pembersihan secara manual:

1. Disconnect/putuskan hubungan komputer yang akan dibersihkan dari jaringan.

2. Disable/matikan “System Restore” selama proses pembersihan virus.

3. Gunakan “Task Manager” untuk mematikan proses virus yang aktif. (kemungkinan besar dengan nama “csrsc.exe”). (lihat gambar 7)

Gambar 7, Task Manager untuk mematikan proses virus (End Process)

Untuk membuka task manager, dapat dilakukan dengan menekan secara bersama Ctr+Alt+Del, atau dengan klik kanan pada taskbar windows. Selanjutnya matikan proses virus dengan klik [End Process] pada proses csrsc.exe.

4. Hapus file utama dari virus Autorun.QBP, yang terdapat pada C:\WINDOWS\system32, dengan nama csrsc.exe yang berukuran 793 kb dan Autorun.inf yang berukuran 1 kb.

Gunakan search/find, untuk mencari file virus duplikat yang lain, terutama pada media sharing atau USB Flash/removable drive, file virus berukuran 793 kb, berextension exe & ber type application serta file khq di seluruh drive. Jangan lupa untuk menampilkan attribute “Show hidden file…” dan menghilangkan attribute “Hide protected operating…” pada Folder Options. (lihat gambar 4).

5. Hapus string registry yang sudah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, SOFTWARE\Classes\batfile\shell\open\command,,, """%1"" %*"

HKLM, SOFTWARE\ Classes \comfile\shell\open\command,,, """%1"" %*"

HKLM, SOFTWARE\ Classes \exefile\shell\open\command,,, """%1"" %*"

HKLM, SOFTWARE\ Classes \scrfile\shell\open\command,,, """%1"" %*"

HKLM, SOFTWARE\ Classes \piffile\shell\open\command,,, """%1"" %*"

HKLM, SOFTWARE\ Classes \regfile\shell\open\command,,, "regedit.exe "%1"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell, 0, Explorer.exe

[del]

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih [install].

6. Untuk pembersihan secara optimal terhadap virus Autorun.QBP, gunakan Norman Malware Cleaner yang dapat mendeteksi dan membasmi virus ini dengan baik. (lihat gambar 8). Jika anda ingin terproteksi dari virus ini dan virus mancanegara lainnya, gunakan antivirus Norman Security Suite (Single User) atau Norman Endpoint Protection (Corporate User) yang dapat mencegah komputer anda terinfeksi virus mancanegara dan virus lokal dengan baik dan khusus pelanggan korporat akan mendapatkan di support ONSITE Gratis oleh Vaksinis (teknisi PT. Vaksincom).

Gambar 8, Task Manager untuk mematikan proses virus (End Process)

Anda dapat mendownload Norman Malware Cleaner pada link berikut :

http://normanasa.vo.llnwd.net/o29/public/Norman_Malware_Cleaner.exe

salam,

Ad Sap (Vaksinis)

info@vaksin.com

Nadia Saphira reinkarnasi Donal Bebek ?

Siapa yang tidak kenal Nadia Saphira??? Artis Indonesia yang memulai karier awal-nya sebagai model sebuah majalah remaja, dan kini sudah termasuk artis muda yang sukses membintangi berbagai film layar lebar, sinetron dan serial TV, seperti Jomblo, Coklat Stroberi, Ada Apa dengan Cinta, Dunia Tanpa Koma, dsb.

Jika anda penggemar Nadia, maka anda perlu berhati-hati karena telah menyebar varian baru virus Bulu Bebek dengan nama “Nadia Saphira”. Jika anda pernah baca artikel vaksin tentang virus Bulu Bebek pada http://www.vaksin.com/2008/1008/bulubebek/bulubebek.html , varian ini merupakan kelanjutan-nya. Pembuat virus sepertinya tidak hanya terinspirasi oleh Donal Bebek tetapi juga merupakan penggemar dari Nadia Saphira. Berdasarkan script yang dibuat oleh si pembuat virus, virus ini diduga berasal dari Sultra (Sulawesi Tenggara). Hebatnya lagi, virus yang penyebarannya cukup tinggi di bulan Mei 2009 ini menurut pantauan Vaksincom masih belum dapat terdeteksi oleh program antivirus, baik yang mengaku sebagai antivirus terbaik di dunia ataupun tidak. Saat artikel ini diluncurkan, antivirus lokal yang mampu mendeteksi virus Nadia Saphira ini hanya Smadav.

Norman Security Suite mendeteksi varian virus Nadia Saphira sebagai W32/VBTroj.AOQB. (lihat gambar 1)

Gambar 1. Norman mendeteksi virus Nadia Saphira sebagai W32/VBTroj.AOQB

File virus

Ciri-ciri dari file virus ini, diantaranya sebagai berikut :

ü Memiliki ukuran file sebesar “17 kb & 69 kb”.

ü Mempunyai type file “Application”.

ü Berekstensi file “exe & ini”.

ü Memiliki icon folder.

ü Membuat duplikat folder seduai dengan nama folder yang ada dan menyembunyikan folder aslinya.

ü Menghilangkan pilihan “Folder Options”.

ü CD Rom tidak bisa digunakan

ü Command Prompt tidak bisa diakses.

Virus Nadia Saphira dibuat dengan menggunakan bahasa pemrograman visual basic. Jika virus berhasil menginfeksi, maka ia akan membuat beberapa file virus diantaranya :

ü C:\autorun.inf (pada semua root drive)

ü C:\NadiaSaphira.ini (pada semua root drive)

ü C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe

ü C:\Documents and Settings\%User%\NadiaSaphira.ini

ü C:\WINDOWS\taskmgr.exe

ü C:\WINDOWS\system32\.exe

ü C:\WINDOWS\system32\allsys.exe

ü C:\WINDOWS\system32\misconfig.exe

ü C:\WINDOWS\system32\MS586.sys

ü C:\WINDOWS\system32\System

ü C:\WINDOWS\system32\wtoolsb.exe

ü C:\WINDOWS\system32\dllcache\.exe

ü C:\WINDOWS\system32\ dllcache\System

ü Membuat duplikat file virus pada setiap folder yang ada pada removable drive/usb. (lihat gambar 2)

Gambar 2. Contoh file virus Nadia Saphira

Hidden folder & membuat duplikat virus

Sama seperti virus Bulu Bebek, virus Nadia Saphira juga tidak memiliki niat jahat dengan menghancurkan data komputer. Tetapi virus ini hanya menyembunyikan folder / sub folder pada drive maupun pada flashdisk / external, untuk mengelabui user virus akan membuat duplikat di setiap folder/sub folder sesuai dengan nama folder yang disembunyikan. Selain itu virus juga membuat type file sesuai dengan type file folder. (lihat gambar 3)

Gambar 3. virus Nadia Saphira in Action (duplikat dan hidden folder)

Blok fungsi Windows

Sebagai bentuk pertahanan, virus akan mencoba melakukan usaha blok terhadap beberapa fungsi Windows. Beberapa fungsi Windows yang di blok diantaranya sebagai berikut :

ü Folder Options (dilakukan untuk mencegah akses terhadap file/folder yang disembunyikan)

ü Registry Editor (dilakukan untuk mencegah akses perbaikan registry) (lihat gambar 4)

ü Search/Find (dilakukan untuk mencegah dari pembersihan virus)

ü Command Prompt (dilakukan untuk mencegah dari proses kill virus)

Gambar 4. virus Nadia Saphira in Action (blok fungsi windows)

Aktif pada start up

Untuk memastikan agar dapat aktif dengan baik pada saat komputer dijalankan, virus menyisipkan file virus pada startup windows sehingga akan langsung aktif jika kita sudah masuk windows. Setelah aktif, virus memanggil kedua rekannya (virus pendukung) agar sulit dimatikan. File virus yang aktif pada startup yaitu :

ü C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe

File ini yang kemudian memanggil kedua rekannya (virus pendukung) untuk memperkuat existensinya, yaitu :

ü C:\WINDOWS\system32\misconfig.exe

ü C:\WINDOWS\taskmgr.exe (lihat gambar 5)

Gambar 5. virus Nadia Saphira in Action (aktif pada startup)

Registry windows

Agar dapat melakukan blok fungsi “Search” windows, virus akan membuat string registry sebagai berikut :

ü HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

nofind = 1

ü HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ Explorer

nofind = 1

Agar dapat melakukan blok fungsi “Folder Options” windows, virus akan membuat string registry sebagai berikut :

ü HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

NoFolderOptions = 1

Agar dapat melakukan blok fungsi “Registry Editor” windows, virus akan membuat string registry sebagai berikut :

ü HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

DisableRegistryTools = 1

Agar dapat melakukan blok fungsi “Command Prompt” windows, virus akan membuat string registry sebagai berikut :

ü HKEY_CURRENT_USER\Software\Microsoft\Command Processor

Autorun =

ü HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor

Autorun =

Walaupun “Folder Options” sudah di blok, tetapi virus mencegah untuk menampilkan file yang tersembunyi. Untuk itu, ia membuat string registry sebagai berikut :

ü HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

CheckedValue = 0

DefaultValue = 0

Agar dapat mengelabui user terhadap file virus dan mencoba mengubah type file exe, virus membuat string sebagai berikut :

ü HKEY_CLASSES_ROOT\exefile

(Default) = File Folder

Info Tip = File Folder

TileInfo = File Folder

Terakhir virus berusaha melakukan blok ekseskusi file “Microsoft Visual Studio Spy Debugging Tools”, virus membuat string sebagai berikut :

ü HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe

Debugger =

ü HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sessmgr.exe

Debugger =

ü HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SPYXX.exe

Debugger =

Metode Penyebaran

Dengan memanfaatkan system autoplay windows, virus ini menggunakan removable drive / usb sebagai sarana penyebaran dirinya. Beberapa file yang akan di buat virus yaitu :

ü autorun.inf

ü NadiaSaphira.ini

ü Membuat file virus dan menggandakan diri pada setiap folder yang ada (lihat gambar 6)

Gambar 6. Script virus untuk autoplay virus

Cara pembersihan virus Nadia Saphira

o Sebaiknya putuskan komputer yang akan dibersihkan dari jaringan.

o Matikan “System Restore” selama proses pembersihan virus (untuk Windows XP / Vista).

o Matikan proses virus yang aktif di memory. Gunakan tools pengganti task manager, seperti CProcess (dapat anda download pada alamat berikut)

http://www.nirsoft.net/utils/index.html

Lakukan kill process, pada beberapa file virus yang aktif yaitu :

ü C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe

ü C:\WINDOWS\system32\misconfig.exe

ü C:\WINDOWS\taskmgr.exe (lihat gambar 7)

Gambar 7. Kill process virus yang aktif dengan CurrProcess

o Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKCR, batfile\shell\open\command,,,"""%1"" %*"

HKCR, comfile\shell\open\command,,,"""%1"" %*"

HKCR, exefile\shell\open\command,,,"""%1"" %*"

HKCR, piffile\shell\open\command,,,"""%1"" %*"

HKCR, lnkfile\shell\open\command,,,"""%1"" %*"

HKCR, scrfile\shell\open\command,,,"""%1"" %*"

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced,

HKLM, SOFTWARE\Classes\exefile\DefaultIcon,,,""%1""

HKLM, SOFTWARE\Classes\exefile,,,"Application"

HKLM, SOFTWARE\Classes\exefile,infotip,0, "prop:FileDescription;Company;FileVersion;Create;Size"

HKLM, SOFTWARE\Classes\exefile,TileInfo,0, "prop:FileDescription;Company;FileVersion"

HKCU, Software\Microsoft\Command Processor, AutoRun,0,

HKLM, SOFTWARE\Microsoft\Command Processor, AutoRun,0,

HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001,1

HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, DefaultValue, 0x00010001,2

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, nofind

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer, nofind

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sessmgr.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SPYXX.exe

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

o Hapus file virus yang mempunyai ciri-ciri sebagai berikut :

ü Icon application/folder

ü Ext. exe

ü Ukuran 69 kb & 17 kb

Catatan

o Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.

o Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe & *.ini yang mempunyai ukuran 69 KB & 17 KB.

o Hapus file virus yang biasanya mempunyai date modified yang sama. (lihat gambar 8)

Gambar 8. Hapus file virus melalui fitur search windows

o Tampilkan kembali folder yang disembunyikan pada drive atau flashdisk. Gunakan perintah “ATTRIB” pada command prompt.

ü Klik “Start”

ü Klik “Run”

ü Ketik “CMD”, kemudian tekan tombol “Enter”

ü Pindahkan posisi kursor ke drive Flash Disk

ü Kemudian ketik perintah ATTRIB –s –h –r /s /d kemudian tekan tombol “enter (lihat gambar 9)

Gambar 9. Menampilkan file yang disembunyikan

o Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik.

Salam,

W32/Sality.AE

Virus nomor 1 di Indonesia, injeksi file exe/com/scr

Kalau Conficker dapat dikatakan sebagai worm nomor satu di Indonesia, maka predikat virus yang paling merepotkan dan paling banyak ditemui Vaksincom di Indonesia pantas di sandang oleh Sality. Virus yang disinyalir berasal dari Taiwan / Cina ini secara meyakinkan menempati ranking pertama dalam infeksi virus yang diterima oleh Vaksincom bersama-sama dengan Conficker.

Memang menyebalkan jika semua program kita ikut dimakan oleh virus [di infeksi], disamping sulit dalam memberantas virusnya terkadang juga file yang sudah di injeksi tersebut tidak dapat digunakan alias rusak setelah di scan dan dibersihkan oleh antivirus, alhasil harus reinstall semua program yang error atau download ulang file yang sudah di injenksi tersebut.

Salah satu virus yang akan menginjeksi file exe/com/scr ini adalah W32/Sality.AE (lihat gambar 1)

Gambar 1, Norman Security Suite dapat mendeteksi Sality.AE dengan baik

Ukuran file yang sudah terinfeksi W32/Sality.AE akan bertambah besar beberapa KB dan file yang sudah terinfeksi W32/Sality.AE ini masih dapat di jalankan seperti biasa. Biasanya virus ini akan mencoba untuk blok program antivirus atau removal tools saat dijalankan serta mencoba untuk blok task manager atau “registry editor” Windows. Untuk mempermudah dalam proses penyebarannya selain memanfaatkan “File Sharing” dan “Default Share” virus ini juga akan memanfaatkan media Flash Disk dengan cara membuat file acak yang mempunyai ekstensi exe/com/scr/pif serta menambahkan file autorun.inf yang memungkinkan virus dapat aktif secara otomatis setiap kali user mengakses Flash Disk.

Untuk blok task manager atau Registry tools, W32/Sality.AE ini akan membuat string pada registry berikut:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system

• DisableRegistryTools

• DisableTaskMgr

Pada saat file yang terinfeksi W32/Sality.AE, ia akan mendekrip dirinya dan mencoba untuk kopi beberapa file *.dll (acak) file DLL kemudian akan menginjeksi file lain yang aktif di memori serta file lain yang terdapat di komputer dan jaringan (file sharing) serta menginfeksi file *.exe yang terdapat dalam list registry berikut sehingga memungkinkan virus dapat aktif secara otomatis setiap kali komputer dinyalakan.

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run

• HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

Berikut beberapa contoh file *.dll yang akan di drop oleh W32/Sality.AE.

• C:\Windows\system32\syslib32.dll

• C:\Windows\system32\oledsp32.dll

• C:\Windows\system32\olemdb32.dll

• C:\Windows\system32\wcimgr32.dll

• C:\Windows\system32\wmimgr32.dll

Selain membuat file DLL, sality juga akan membuat file *.sys [acak] di direktori “C:\Windows\system32\drivers” [contoh: kmionn.sys]

Blok Antivirus dan software security

Seperti yang sudah dijelaskan di atas bahwa untuk mempermudah proses penyebaran ia juga akan mencoba untuk mematikan proses yang berhubungan dengan program security khususnya antivirus dengan cara mematikan proses yang mempunyai nama dibawah ini:

ALG	InoRPC
aswUpdSv	InoRT
avast! Antivirus	InoTask
avast! Mail Scanner	ISSVC
avast! Web Scanner	KPF4
AVP	LavasoftFirewall
BackWeb Plug-in - 4476822	LIVESRV
bdss	McAfeeFramework
BGLiveSvc	McShield
BlackICE	McTaskManager
CAISafe	navapsvc
ccEvtMgr	NOD32krn
ccProxy	NPFMntor
ccSetMgr	NSCService
F-Prot Antivirus Update Monitor	Outpost Firewall main module
fsbwsys	OutpostFirewall
FSDFWD	PAVFIRES
F-Secure Gatekeeper Handler Starter	PAVFNSVR
fshttps	PavProt
FSMA	PavPrSrv
PAVSRV	Symantec Core LC
PcCtlCom	Tmntsrv
PersonalFirewal	TmPfw
PREVSRV	tmproxy
ProtoPort Firewall service	UmxAgent
PSIMSVC	UmxCfg
RapApp	UmxLU
SmcService	UmxPol
SNDSrvc	vsmon
SPBBCSvc	VSSERV
WebrootDesktopFirewallDataService	WebrootFirewall
	XCOMM

Selain mematikan proses antivirus di atas, ia juga akan berupaya untuk blok agar user tidak dapat mengakses web dari beberapa antivirus berikut:

• Cureit

• Drweb

• Onlinescan

• Spywareinfo

• Ewido

• Virusscan

• Windowsecurity

• Spywareguide

• Bitdefender

• Panda software

• Agnmitum

• Virustotal

• Sophos

• Trend Micro

• Etrust.com

• Symantec

• McAfee

• F-Secure

• Eset.com

• Kaspersky

W32/Sality.AE juga akan mencoba untuk merubah regisrty berikut:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Setting\"GlobalUserOffline" = "0"

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\"EnableLUA" = "0"

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\xxx [xxx adalah acak, contoh : abp470n5]

• HKEY_CURRENT_USER\Software\[USER NAME]914

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMI_MFC_TPSHOKER_80

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_IPFILTERDRIVER

Selain itu ia juga akan mencoba untuk merubah beberapa string registry Windows Firewall berikut dengan menambahkan value dari 0 menjadi 1:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center

• AntiVirusDisableNotify

• AntiVirusOverride

• FirewallDisableNotify

• FirewallOverride

• UacDisableNotify

• UpdatesDisableNotify

dan membuat key “SVC” serta string berikut dengan value 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc

• AntiVirusDisableNotify

• AntiVirusOverride

• FirewallDisableNotify

• FirewallOverride

• UacDisableNotify

• UpdatesDisableNotify

Tak cuma itu W32/s\Sality.AE juga akan menghapus key “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ALG”.

ALG atau Application Layer Gateway Service adalah services yang memberikan support untuk plug-in protokol aplikasi dan meng-enable konektivitas jaringan / protokol. Service ini boleh saja dimatikan. Dampaknya adalah program seperti MSN Messenger dan Windows Messenger tidak akan berfungsi. Service ini bisa dijalankan, tetapi hanya jika menggunakan firewall, baik firewall bawaan Windows atau firewall lain. Jika tidak komputer yang terinfeksi virus ini akan mengalami celah keamanan yang serius.

Blok akses “safe mode”

Dalam rangka “mempertahankan” dirinya, W32/Sality.AE juga akan mencoba untuk blok akses ke mode “safe mode” sehingga user tidak dapat booting pada mode “safe mode” dengan menghapus key yang berada di lokasi di bawah ini :

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot

Injeksi file exe/com/scr

Tujuan utama dari virus ini adalah mencoba untuk menginjeksi program instalasi dan file yang mempunyai ekstensi exe/com/scr yang ada di drive C - Y terutama file hasil instalasi (file yang berada di direktori C:\Program Files) dan file-file portable (file yang langsung dapat dijalankan tanpa perlu instal), ia juga akan menginfeksi file yang mempunyai ekstensi “.exe” yang terdapat dalam list registry berikut sehingga memungkinkan virus dapat aktif secara otomatis setiap kali komputer dinyalakan.

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run

• HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

File yang berhasil di injeksi biasanya ukurannya akan bertambah sekitar 68 - 80 KB dari ukuran semula. Program yang telah terinfeksi ini akan tetap dapat di jalankan seperti biasa sehingga user tidak curiga bahwa file tersebut sebenarnya telah di infeksi oleh W32/Sality.AE. Salah satu kecanggihan Sality adalah kemampuannya menginjeksi file tumpangannya sehingga ukuran file bervirus tidak seragam, jelas lebih sulit diidentifikasi dibandingkan virus lain yang menggantikan file yang ada sehingga ukuran filenya akan sama besar.

Harap berhati-hati, tidak semua program antivirus dapat membersihkan file yang sudah terinfeksi W32/Sality.AE, bisa-bisa file tersebut akan rusak setelah di scan dan di bersihkan oleh antivirus tersebut.

Tidak mau kalah dengan virus mancanegara lain, untuk memperlancar aksinya ia akan mencoba untuk melakukan koneksi ke sejumlah alamat web yang sudah ditentukan dengan tujuan untuk memanggil/mendownload trojan/virus lainnya yang di sinyalir merupakan varian dari versi sebelumnya yang memungkinkan virus ini dapat mengupdate dirinya.

[http://]pedmeo222nb.info

[http://]pzrk.ru

[http://]technican.w.interia.pl

[http://]www.kjwre9fqwieluoi.info

[http://]bpowqbvcfds677.info

[http://]bmakemegood24.com

[http://]bperfectchoice1.com

[http://]bcash-ddt.net

[http://]bddr-cash.net

[http://]btrn-cash.net

[http://]bmoney-frn.net

[http://]bclr-cash.net

[http://]bxxxl-cash.net

[http://]balsfhkewo7i487fksd.info

[http://]buynvf96.info

[http://]89.119.67.154/tes[xxx]

[http://]oceaninfo.co.kr/picas[xxx]

[http://]kukutrustnet777.info/home[xxx]

[http://]kukutrustnet888.info/home[xxx]

[http://]kukutrustnet987.info/home[xxx]

[http://]kukutrustnet777.info

[http://]www.kjwre9fqwieluoi.info

[http://]kjwre77638dfqwieuoi.info

http://mattfoll.eu.interia.pl/[sensor]

http://st1.dist.su.lt/l[sensor]

http://lpbmx.ru/[sensor]

http://bjerm.mass.hc.ru/[sensor]

http://SOSiTE_AVERI_SOSiTEEE.[sensor]

Mengeksploitasi Default Share dan Full Sharing

W32/Sality.AE akan menyebar dengan cepat melalui jaringan dengan memanfaatkkan default share windows atau share folder yang mempunyai akses full dengan cara menginfeksi file yang mempunyai ekstensi exe/com/scr. Karena itu, Vaksincom menyarankan pengguna komputer untuk menonaktifkan Default Share (C$, D$ .. dst) dan hindari Full Sharing folder anda di jaringan.

Selain menyebar dengan menggunakan jaringan, ia juga akan memanfaatkan flash disk yakni dengan cara kopi dirinya dengan nama file acak dengan ekstensi exe/cmd/pif serta membuat file autorun.inf agar dirinya dapat aktif secara otomatis tanpa harus menjalankan file yang sudah terinfeksi virus, selain itu ia juga akan menginfeksi file yang mempunyai ekstensi exe/com/scr yang terdapat dalam flash disk tersebut.

Selain itu Sality.AE juga akan menambahkan string [MCIDRV_VER] dan DEVICEMB=xxx, dimana xxx menunjukan karakter acak ke dalam file C:\Windows\system.ini. (lihat gambar 2 dan 3)

Gambar 2, File system.ini sebelum di ubah oleh W32/Sality.AE

Gambar 3, File system.ini setelah di ubah oleh W32/Sality.AE

Cara membersihkan W32/Sality.AE

1. Putuskan hubungan komputer yang akan dibersihkan dari jaringan dan internet

2. Matikan System Restore selama proses pembersihan berlangsung.

3. Matikan Autorun dan Default Share. Silahkan download file berikut kemudian jalankan dengan cara:

   • Klik kanan repair.inf

   • Klik install

http://www.4shared.com/file/82762498/f5dc1edd/repair.html?dirPwdVerified=feea1d94

4. Matikan program aplikasi yang aktif di memori agar proses pembersihan lebih cepat terutama program yang ada dalam daftar startup.

5. Sebaiknya scan dengan menggunakan removal tools dengan terlebih dahulu merubah ekstensi dari removal tools tersebut dengan ekstensi lain [contoh: CMD] agar tidak di infeksi ulang oleh W32/Sality.AE. Dalam contoh di bawah, nama file “Norman_Malware_Cleaner.exe” di rename menjadi “Norman_Malware_Cleaner.cmd” supaya tidak di infeksi Sality. (lihat gambar 4)

Gambar 4, File “Norman_Malware_Cleaner.exe” yang telah di rename ekstensinya menjadi “Norman_Malware_Cleaner.cmd”, kotak biru

Selalu gunakan Norman Malware Cleaner terbaru untuk membersihkan dan membasmi virus baru. Download Norman Malware Cleaner terbaru dari “

http://download.norman.no/public/Norman_Malware_Cleaner.exe

Gambar 5, Gunakan Norman Malware Cleaner untuk mendeteksi dan membasmi Sality.

Catatan:

• Agar removal tersebut tidak terinfeksi oleh W32/Sality.AE, Sebaiknya ubah ekstensi dari removal tools tersebut menjadi ekstensi lain [contohnya: CMD] (lihat gambar 4 di atas)

• Sality.AE ini akan mencoba untuk menginfeksi file yang mempunyai ekstensi EXE dan SCR serta COM, file yang sudah berulang kali di infeksi oleh virus ini terkadang akan mengalami kerusakan jika dibersihkan oleh program antivirus, oleh karena itu jika terdapat program yang error setelah di scan oleh antivirus sebaiknya install ulang program tersebut.

PENTING !!!

Harap Backup data penting anda sebelum melakukan pembersihan virus. PT. Vaksincom tidak bertanggung jawab atas kerugian yang diakibatkan oleh proses pembersihan virus ini baik langsung maupun tidak langsung !!!

6. Agar komputer yang sudah terinfeksi W32/Sality.AE dapat booting “safe mode”, silahkan restore registry yang sudah di ubah oleh virus.

Silahkan download file berikut kemudian jalankan sesuai OS yang terinfeksi W32/Sality.AE tersebut.

http://www.4shared.com/file/82761423/934fb170/_2__Sality.htmldirPwdVerified=feea1d94

7. Fix registry lain yang di ubah oleh virus, silahkan download tools berikut kemudian jalankan file tersebut dengan cara:

• Klik kanan repair.inf

• Klik install

http://www.4shared.com/file/82874724/f485f1dd/repair.html?dirPwdVerified=3b1f2fa9

8. Restart komputer dan scan ulang dengan menggunakan removal tools untuk memastikan komputer telah bersih dari virus.

9. Untuk pembersihan optimal dan mencegah infeksi ulang sebaiknya install dan scan dengan antivirus yang dapat mendeteksi Sality dengan baik.

Salam,

Aj Tau