Tutorial Menghapus Virus Pengeksploitasi Celah Windows

Tutorial Menghapus Virus Pengeksploitasi Celah Windows

Jakarta - Kehadiran virus W32/VBWorm.BEUA atau yang lebih dikenal sebagai virus shortcut yang mengeksploitasi celah keamanan terbilang cukup meresahkan. Sebab, meski berlabel virus lokal, ia tidak hanya memanfaatkan keteledoran pengguna. Namun telah 'naik kelas' dengan menerobos celah keamanan Windows.

Simak 8 langkah praktis untuk mendepak virus yang mampu mengubah folder yang ada di dalam USB flash disk menjadi shortcut tersebut, menurut Adang Jauhar Taufik, analis dari Vaksincom:

1. Nonaktifkan 'System Restore' untuk sementara selama proses pembersihan.

2. Putuskan komputer yang akan dibersihkan dari jaringan.

3. Matikan proses virus yang aktif di memori dengan menggunakan tools 'Ice Sword'. Setelah tools tersebut terinstal, pilih file yang mempunyai icon 'Microsoft Visual Basic Project' kemudian klik 'Terminate Process'. Silahkan download tools tersebut di http://icesword.en.softonic.com/

4. Hapus registri yang sudah dibuat oleh virus dengan cara:
-. Klik menu [Start]
-. Klik [Run]
-. Ketik REGEDIT.exe, kemudian klik tombol [OK]
-. Pada aplikasi Registry Editor, telusuri key [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
-. Kemudian hapus key yang mempunyai data [C:\Document and Settings\%user%].

5. Disable autoplay/autorun Windows. Copy script di bawah ini pada program notepad kemudian simpan dengan nama REPAIR.INF, install file tersebut dengan cara: Klik kanan REPAIR.INF --> INSTALL

[Version]
Signature="$Chicago$"
Provider=Vaksincom

[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del

[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""
HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoDriveTypeAutoRun,0x000000ff,255
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer, NoDriveTypeAutoRun,0x000000ff,255

6. Hapus File induk dan file duplikat yang dibuat oleh virus termasuk di flash disk. Untuk mempercepat proses pencarian, Anda dapat menggunakan fungsi 'Search'. Sebelum melakukan pencarian sebaiknya tampilkan semua file yang tersembunyi dengan mengubah pada setting Folder Options.

Jangan sampai terjadi kesalahan pada saat menghapus file induk maupun file duplikat yang telah dibuat oleh virus. Lalu hapus file induk virus yang mempunyai ciri-ciri:

-. Icon 'Microsoft Visual Basic Project'.
-. Ukuran File 128 KB (untuk varian lain akan mempunyai ukuran yang bervariasi).
-. Ekstesi file '.EXE' atau '.SCR'.
-. Type file 'Application' atau 'Screen Saver'.

Kemudian hapus File duplikat shortcut yang mempunyai ciri-ciri:

>. Icon Folder atau icon
>. Ekstensi .LNK
>. Type File 'Shortcut'
>. Ukuran file 1 KB

Hapus juga file yang .DLL (contoh: ert.dll) dan file Autorun.inf di flash disk atau folder yang di-share. Sementara untuk menghindari virus tersebut aktif kembali, hapus file induk yang mempunyai ekstensi EXE atau SCR terlebih dahulu baru kemudian hapus file Shortcut (.LNK).

7. Tampilkan kembali folder yang telah disembunyikan oleh virus. Untuk mempercepat proses tersebut, silahkan download tools UnHide File and Folder di http://www.flashshare.com/bfu/download.html.

Setelah diinstall, pilih direktori [C:\Documents and settings] dan folder yang ada di flash disk dengan cara menggeser ke kolom yang sudah tersedia. Pada menu [Attributes] kosongkan semua pilihan yang ada, kemudian klik tombol [Change Attributes].

8. Install security patch 'Microsoft Windows Shell shortcut handling remote code execution vulnerability-MS10-046'. Silakan download security patch tersebut di http://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx

Seperti biasa, untuk pembersihan secara optimal dan menecegah infeksi ulang, sebaiknya install dan scan dengan antivirus yang up-to-date dan sudah dapat mendeteksi virus ini dengan baik.

VBWorm.AGR, Virus Lokal yang menyerang Internet Explorer

Salah satu virus lokal yang patut diwaspadai pengguna komputer adalah VBWorm.AGR. Meski tidak terlalu ganas, virus ini mampu mengacak-acak tampilan Internet Explorer.

Dijelaskan analis antivirus dari Vaksincom, virus ini akan mengubah default page IE ke sebuah blog yang beralamat di http://www.hellspawn.de.be dan memberikan 'bonus' mengubah default search page ke salah satu akun di Friendster.

Virus ini dibuat dengan program bahasa Visual Basic dengan ukuran file sekitar 58 KB, tipe file 'Application' dan ekstensi file 'EXE'.

"Sebenarnya tidaklah terlalu sulit untuk mengenali virus ini, salah satunya adalah dengan melihat halaman awal dan search page dari Internet Explorer. Selain itu, pada saat menjalankan program regedit maka akan muncul pesan error," jelasnya kepada detikINET, Selasa (9/3/2010).

Pada saat virus ini aktif di komputer korban, maka ia akan membuat beberapa file induk yang akan dijalankan pertama kali saat komputer dinyalakan. Agar file tersebut dapat dijalankan secara otomatis, ia akan membuat beberapa string pada registry windows.

"Untuk mempertahankan dirinya, ia akan melakukan blok terhadap beberapa fungsi windows utama seperti Task Manager, Registry Editor, Msconfig atau system restore, cara ini juga dilakukan untuk mengaktifkan dirinya pada saat user mengeksekusi aplikasi tersebut, Virus ini juga akan menyembunyikan file regedit.exe dan notepad.exe," lanjut Adang.

Target utama dari virus ini adalah menyembunyikan folder dan subfolder yang ditemukan. Sementara untuk menyebarkan dirinya ia akan menggunakan media Flash Disk dengan membuat file duplikat sesuai dengan nama file yang disembunyikan.

"Tidak seperti yang dilakukan oleh kebanyakan virus lokal, ia tidak akan menggunakan fitur autorun Windows untuk mengaktifkan dirinya," pungkasnya.

Serangan Virus Kido/Convicker Mulai Menurun

Walaupun tingkat serangan Kido sudah mulai menurun, tetapi malware berbahaya ini tetap memimpin list ‘100 Malware yang Paling Banyak Menyerang” untuk periode 7-14 Mei 2009. Ada beberapa cara yang dapat dilakukan untuk menghilangkan malware yang sudah menduduki puncak list ini selama berbulan-bulan. Cara yang paling mudah adalah dengan melakukan download Kido/Conficker Removal tool yang telah disediakan oleh beberapa website antivirus. Bagi Anda yang ingin download removal tool dari Kaspersky, Anda bisa langsung menuju ke link ini : http://data2.kaspersky-labs.com:8080/special/KidoKiller_v2.zip.

Untuk membaca lebih lanjut mengenai Kido, Anda bisa mengunjungi http://www.chip.co.id/security/conficker-makin-berbahaya.html.

Berikut list lengkap ‘100 Malware yang Paling Banyak Menyerang’ yang dilansir oleh Kaspersky Lab. Data yang disajikan di bawah ini didapat dari serangan yang dilakukan ke server Kaspersky.
Malware name Hits
----------------------------------------------------
Net-Worm.Win32.Kido.ih 47.2949%
HEUR:Trojan.Win32.Generic 5.876%
Trojan.Win32.Agent.cfqz 4.4787%
Backdoor.Win32.VB.iqo 3.3321%
Heur.Win32.Trojan.Generic 2.6872%
Trojan.Win32.Agent.cexo 2.6514%
Trojan-Dropper.Win32.Small.axv 2.1139%
Trojan-Downloader.Win32.Agent.ansh 2.1139%
Worm.Win32.AutoRun.ahhp 1.9706%
Trojan-Downloader.Win32.Agent.wxq 1.7198%
not-a-virus:AdWare.Win32.Shopper.ar 1.684%
Trojan-Dropper.Win32.Agent.zje 1.6123%
Trojan-Downloader.Win32.Small.aacq 1.469%
Net-Worm.Win32.Kido.eo 1.2899%
HEUR:Trojan-Downloader.Win32.Generic 1.0391%
Trojan-Downloader.Win32.Small.jro 0.9316%
Trojan.Win32.Dialer.vdz 0.8957%
not-a-virus:AdWare.Win32.Agent.lmz 0.6091%
Trojan-Downloader.Win32.Agent.bjhd 0.5733%
Trojan-Downloader.Win32.Agent.bvxf 0.5733%
Heur.Win32.Invader 0.5016%
Heur.Win32.Downloader 0.43%
not-a-virus:FraudTool.Win32.SystemSecurity.ic0.43%
not-a-virus:AdWare.Win32.Shopper.v 0.3941%
Trojan-Downloader.Win32.Agent.akwa 0.2866%
Trojan-PSW.Win32.Agent.mii 0.2866%
Trojan-Downloader.Win32.Injecter.crw 0.2866%
Packed.Win32.Black.d 0.2508%
Packed.Win32.Krap.i 0.2508%
Trojan-Downloader.Win32.Agent.bxgl 0.2508%
Trojan-PSW.Win32.Agent.mwh 0.215%
HEUR:Trojan.Win32.StartPage 0.215%
Trojan-Downloader.Win32.Agent.bxlq 0.215%
HEUR:Worm.Win32.Generic 0.215%
Worm.Win32.AutoRun.agjn 0.215%
Trojan-GameThief.Win32.WOW.bie 0.215%
Backdoor.Win32.Rbot.kps 0.215%
Trojan-Downloader.JS.Agent.gj 0.1791%
Hoax.MSIL.BadJoke.Agent.s 0.1791%
Trojan.Win32.Agent.ceau 0.1791%
Trojan.Win32.TDSS.acpr 0.1791%
Virus.Win32.Virut.q 0.1791%
not-a-virus:FraudTool.Win32.MalwareDoctor.d 0.1791%
SuspiciousPacker.Multi.Generic 0.1791%
Exploit.Win32.DCom.ad 0.1791%
HEUR:Virus.Win32.Generic 0.1433%
not-a-virus:AdWare.Win32.Shopper.l 0.1433%
Trojan-PSW.Win32.IMMultiPass.od 0.1433%
Virus.Win32.Alman.b 0.1433%
Trojan-Banker.Win32.Banker.agsx 0.1433%
Backdoor.Win32.GirlinRed.bb 0.1433%
Trojan-Downloader.Win32.FraudLoad.ejt 0.1433%
Worm.Win32.AutoRun.agzi 0.1433%
Virus.Win32.Sality.z 0.1433%
Packed.Win32.Krap.n 0.1433%
not-a-virus:AdWare.Win32.Craagle.19 0.1433%
P2P-Worm.Win32.Archivarius.b 0.1433%
MultiPacked.Multi.Generic 0.1433%
not-a-virus:AdWare.Win32.Relevant.n 0.1433%
Trojan-Dropper.Win32.Agent.doi 0.1075%
Trojan.Win32.Genome.afzd 0.1075%
Trojan-Downloader.Win32.Agent.bwdn 0.1075%
Trojan.Win32.Tdss.aces 0.1075%
Trojan-Dropper.Win32.Agent.amtw 0.1075%
not-a-virus:AdWare.Win32.OneStep.z 0.1075%
Trojan-Downloader.Win32.Boltolog.aul 0.1075%
Hoax.Win32.BadJoke.Delf.aa 0.1075%
Trojan-Dropper.Win32.Small.ayg 0.1075%
not-a-virus:AdWare.Win32.OneStep.c 0.1075%
Trojan-Dropper.Win32.Tiny.bs 0.1075%
Trojan-Spy.Win32.Agent.aopj 0.1075%
Trojan-Dropper.Win32.Agent.aoc 0.1075%
Trojan-Dropper.Win32.Agent.rym 0.0717%
Backdoor.Win32.Rbot.acpj 0.0717%
Trojan-Downloader.Win32.VB.mgt 0.0717%
Backdoor.Win32.Bifrose.agir 0.0717%
Virus.Win32.Parite.b 0.0717%
Trojan-Dropper.Win32.SennaOneMaker.20 0.0717%
Trojan.Win32.Tdss.acne 0.0717%
Backdoor.Win32.Poison.fps 0.0717%
not-a-virus:AdWare.Win32.Webdir.e 0.0717%
Heur.Win32.Backdoor.Generic 0.0717%
Trojan-Downloader.Win32.IstBar.gen 0.0717%
Trojan-Downloader.Win32.FraudLoad.vcby 0.0717%
Virus.Win32.Sality.aa 0.0717%
Worm.Win32.VB.cj 0.0717%
Trojan.Win32.Obfuscated.aflp 0.0717%
Multi.Win32.Packed 0.0717%
Worm.Win32.AutoRun.esf 0.0717%
Trojan.Win32.VB.omz 0.0717%
Trojan-Spy.Win32.Ayolog.lx 0.0717%
not-a-virus:Monitor.Win32.KGBSpy.df 0.0717%
Trojan.Win32.Inject.wjs 0.0717%
Trojan.Win32.Small.aasc 0.0717%
not-a-virus:FraudTool.Win32.SpywareRemover2000.0717%
Suspicious.Win32.Packer 0.0717%
not-a-virus:AdWare.Win32.Thingies 0.0358%
Backdoor.Win32.Bifrose.avwo 0.0358%
not-a-virus:AdWare.Win32.WebHancer.i 0.0358%
Trojan-Downloader.Win32.FraudLoad.vskb 0.0358%

Source : Kaspersky Lab

Virus lokal w32/agent.fuvr

ARP Spoofing: Keganasan W32/Agent.FUVR
Tutup celah keamanan di jaringan komputer yang Anda kelola dan waspadai keganasan virus W32/Agent.FUVR yang memanfaatkan teknik ARP Spoofing.

Sebelum Windows XP SP2 diluncurkan, cara favorit virus menyebarkan dirinya adalah dengan mengeksploitasi celah keamanan sistem operasi, seperti Windows 98, 2000 / NT Workstation, Windows Server NT/2000, dan Windows XP. Hal ini terlihat ketika CodeRed dan Slapper sukses masuk ke IIS Server berbasis Microsoft serta Apache di Linux.

Pengembang sistem operasi dan aplikasi­ tidak tinggal diam. Mereka menganalisis penyebab celah keamanan tersebut dapat dieksploitasi oleh virus. Sebagai informasi, celah keamanan adalah kelemahan dalam sistem sehingga dapat dimanfaatkan oleh pihak yang tidak bertanggung jawab. Celah keamanan akan selalu ada dan ditemukan setiap harinya. Celakanya, virus yang meng­eksploitasi celah keamanan akan menguasai komputer yang diserangnya sekalipun perangkat tersebut terlindungi dengan antivirus yang di-update. Solusinya, Anda harus rajin melakukan patching untuk menutup celah keamanan tersebut.

Mengapa celah keamanan itu selalu ada? Apakah sengaja diciptakan oleh pembuat aplikasi agar bisnis mereka tetap berjalan? Penjelasannya, software adalah ciptaan­ manusia. Apapun yang dihasilkan oleh manusia, tentu tidak sempurna. Pengembangan software terkini dapat menghasilkan ukuran file yang cukup besar.­ Sangat sulit rasanya menciptakan sebuah aplikasi yang sempurna dan terbebas dari celah keamanan.

Oleh karena itu, pertanyaan yang tepat diajukan berkaitan dengan keamanan data adalah, apakah hacker ingin mengeksploitasi sistem operasi tersebut atau tidak? Dan, apakah sistem operasi tersebut cukup menantang untuk diserang? Banyak fakta yang mendukung kenyataan di atas, seperti keberhasilan sis­tem­ operasi Macintosh yang dieksploitasi dalam kompetisi hacking.

Jawabannya: Automatic Patching
Keberhasilan CodeRed dan Slapper menyerang sebuah sistem disebabkan server yang berhasil ditaklukkan belum melakukan patching secara berkala. Hal ini karena tenggang­ waktu antara ditemukannya celah keamanan dan keluarnya patch sangat panjang, mencapai waktu lebih dari 30 hari. Akibatnya, virus yang mengeksploitasi celah keamanan memiliki tenggang waktu sekitar 30 hari untuk merusak sistem tanpa ada yang mencegahnya. Untuk diketahui bersama, waktu yang dibutuhkan oleh virus mencapai penyebaran secara maksimal ke seluruh dunia adalah kurang dari satu minggu.

Pengembang aplikasi dan sistem operasi belajar dari kejadian tersebut. Tenggang waktu untuk mengeluarkan sebuah patch semakin dipersempit dan puncaknya ketika Service Pack 2 Windows XP diluncurkan. Sejak itu, virus yang mengeksploitasi celah keamanan menurun drastis dan penyebarannya cukup terhambat. Hal ini semakin baik ketika Windows Vista di luncurkan. Berbeda dengan Windows sebelumnya, konfigurasi awal Vista adalah “Automatic Update”. Jadi, setiap kali Windows Vista di instalasikan ke PC, secara otomatis, PC tersebut sudah dapat melakukan automatic update untuk patching dirinya sehingga memungkinkan terjadi­nya Zero Day Vulnerability.

Perkembangan selanjutnya menunjukkan masalah ancaman virus masih jauh dari selesai dan pembuat malware berusaha mencari teknik terbaru untuk mencapai tujuannya, yaitu mengusai komputer atau sistem yang ada. Kini yang menjadi target utama eksploitasi adalah non-sistem operasi yang popu­ler, seperti Adobe, Firefox, IE, Winamp, dan sebagainya. Prinsipnya, pembuat malware ingin­ mendapatkan dampak maksimal. Celakanya, yang memiliki celah keamanan bukan hanya aplikasi saja, tetapi juga hardware dan sistem IP Address.

Hal ini terlihat dari perkembangan virus terbaru yang memanfaatkan celah keamanan ARP (Address Resolution Protocol) atau dikenal APR (ARP Poison Routing). Virus ini sukses menyebar di seluruh dunia dan celakanya, tidak ada cara yang efektif untuk menjamin jaringan komputer tidak dieksploitasi oleh virus ini kecuali memaksimalkan hardware jaringan yang terpasang dengan menerapkan feature “DHCP Snooping”.

Indikasi
Jika koneksi Internet di kantor mengalami kelambatan atau ketika Anda menjalankan Yahoo Messenger lalu mendapatkan pesan “An error has occured in the script on this page”, kemungkinan besar jaringan yang Anda gunakan telah terinfeksi virus W32/Agent.FUVR.

Aksi virus W32/Agent.FUVR adalah sebagai berikut :

* Windows XP tanpa antivirus / antivirus tidak terupdate. Tidak ada gejala apa-apa dan dapat langsung terinfeksi, sekaligus menjadi host virus di jaringan.


* Windows XP dengan antivirus di-update dan mampu mendeteksi virus ini.Ketika menjalankan sejumlah aplikasi, seperti IE, Firefox, Safari, Yahoo Messenger, dan MSN Messenger akan mendapatkan pesan ada virus terdeteksi di Windows.


* Windows Vista. Ketika menjalankan aplikasi IE, Firefox, Yahoo Messenger, MSN Messenger akan mendapatkan pesan untuk men-download error script dari website http://root.51113.com/root.gif, http://hk.www404.cn:53/ads.js, dan http://err.www404.cn:443/014.html.


Antivirus saja tidak cukup
Hampir semua program antivirus dapat mendeteksi virus tersebut. Norman Virus Control mendeteksinya sebagai W32/Agent.FUVR. Sebagai Trojan-Downloader.JS.Agent.byh terdeteksi oleh Kaspersky. HEUR/Exploit.HTML oleh Avira, Mal/ObfJS-X oleh Sophos, dan JS_PSYME.CPZ oleh antivirus Trend Micro. Dapat Anda perhatikan, virus ini tidak dapat menginfeksi komputer yang terlindungi apliaksi antivirus yang telah di-update.

Namun, sangat sulit rasanya melindungi seluruh komputer di jaringan walau pun telah terpasang antivirus yang telah update. Masalah lainnya, jika ada komputer atau notebook yang dihubungkan ke jaringan intranet dan perangkat tersebut telah terinfeksi virus ini, dalam waktu singkat, perangkat tersebut dapat memalsukan dirinya sebagai router atau geteway lalu menyebarkan dirinya ke seluruh komputer lain dalam jaringan.

Selain itu, virus W32/Agent.FUVR memiliki kemampuan mengupdate dirinya secara otomatis. Hal ini sangat berbahaya, karena dapat menaklukkan semua program antivirus yang ada.

Lalu, bagaimana menutup celah keamanan yang disebabkan jaringan komputer mengandung kelemahan ARP Spoofing? Solusinya segeralah beralih menggunakan perangkat yang mendukung DHCP Snooping. Solusi lainnya yang cukup menghemat biaya yaitu dengan menggunakan perintah “arp-s” dari DOS Prompt guna mengunci IP dan Mac Address gateway di tiap PC. Namun solusi ini akan menjadi kendala jika PC yang akan dikonfigurasi jumlahnya ribuan dan tersebar di banyak lokasi.

Mengatasi sistem terinfeksi
Jika sistem jaringan yang Anda gunakan terinfeksi virus ini, Anda dapat melakukan beberapa tindakan. Tindakan pertama yaitu mencari komputer yang terinfeksi dengan bantuan tools gratis Mac Scanner (www.colasoft.com/mac_scanner/mac_scanner.php). Anda dapat menjalankan tool ini di komputer yang terhubung ke jaringan intranet. Lalu lihat IP yang memiliki Mac Address yang sama dengan Gateway atau Proxy (gambar 1).



Dalam gambar 1, terlihat Gateway IP 192.168.1.1 memiliki MAC Address yang sama dengan IP 192.168.1.106, yaitu 00:01:6C:CD:D5:24. Langkah selanjutnya memutuskan hubungan IP 192.168.1.106 dari jaringan dan membersihkan virus yang ada di dalam perangkat tersebut.

Sebagai langkah pamungkas, Anda dapat­ menggunakan perintah “arp -s [IP Gateway / Proxy] [MAC Address Gateway / Proxy]” untuk menetapkan static IP dan MAC Address di setiap komputer. Jika Anda memiliki banyak komputer yang terhubung ke jaringan, disarankan memanfaatkan perangkat jaringan, seperti switch yang telah mendukung feature DHCP Snooping. Oleh karena itu, cek apakah switch yang digunakan telah memiliki feature ini. Jika mendukung, langsung atur paremeternya guna menghindari keganasan virus W32/Agent.FUVR.

Top Virus Maret 2009

Tiga peringkat teratas kali ini, ditempati oleh virus import, berturut-turut adalah Conficker, Recycler, dan Autoit. Conficker yang berada di urutan pertama memang memiliki kemampuan menyebar yang luar biasa, dan sampai saat ini ia masih terus bergerak untuk menginfeksi setiap komputer di seluruh dunia, termasuk Indonesia. Daftar lengkapnya sebagai berikut:

1. Conficker


Daftar domain yang di-black list oleh Conficker.Virus luar berteknologi canggih ini memang menyebar luar biasa. Bentuknya yang merupakan file DLL (Dynamic Link Library) membedakannya dengan kebanyakan virus lain yang berupa EXE. Kemampuan yang dimilikinya juga bisa disetarakan dengan rootkit. Serta, sifatnya ber-polymorphic membuatnya memiliki tubuh yang berubah-ubah. Pada komputer terinfeksi, user tidak akan dapat membuka situs yang “berbau” antivirius atau Microsoft update. Virus ini juga aktif menyebar di Indonesia dengan menggunakan media removable disk misalkan flash disk. Pada flash disk terinfeksi, Anda akan menemukan file autorun.inf dan direktori RECYCLER yang di dalamnya terdapat sub-direktori dengan nama misalkan S-5-3-42-2819952290-8240758988-879315005-3665, dan pada direktori inilah terdapat file virus Conficker dengan nama biasanya jwgkvsq.vmx yang sebenarnya adalah file DLL.

2. Recycler varian


File virus bersembunyi dibalik Recycle Bin palsu.Yang menjadi ciri khas dari virus ini adalah teknik bagaimana ia menyebar. Yakni “ngumpet” dalam direktori Recycler/Recycler/Recycle Bin. Ia juga diketahui menerapkan teknik code injection agar kode virus bisa “nyangkut” pada explorer.exe. Ini dilakukannya untuk mempersulit user maupun program antivirus sekalipun untuk membunuhnya.

3. Autoit varian


Menyebarkan pesan ke setiap contact person yang ada di Y!M.Hampir kebanyakan varian dari virus import berbasis script ini menggunakan icon mirip seperti folder. Virus ini memiliki kemampuan untuk melakukan auto update ke beberapa situs. Ia juga dapat memanfaatkan Yahoo! Messenger sebagai media perantara penyebarannya dengan mengirimkan pesan berisi link ke setiap contact person yang ada di Y!M korban.

4. Yuyun.vbs


Pesan dari virus Yuyun.vbs.Virus yang diciptakan menggunakan Visual Basic Script ini berukuran sekitar 9KB. Pada komputer terinfeksi ia akan membuat banyak sekali file duplikat di setiap folder yang ia temukan dengan nama file autorun.inf, Thumb.db, dalam kondisi ber-attribut hidden, dan sebuah shortcut dengan nama Microsoft. Jika shortcut tersebut diakses, dia memang akan menuju ke suatu folder, tapi dibalik itu virus tersebut juga akan aktif. File Thumb.db disini juga bukan merupakan file milik Windows, tapi melainkan file script virus. Pada komputer terinfeksi juga akan ditemukan sebuah file pesan virus pada direktori Temp user. Di direktori ini juga akan ditemukan file lain yakni script virus yang sudah dalam kondisi ter-decrypt. Karena perlu Anda ketahui bahwa virus ini memang hadir dalam kondisi ter-enkripsi.

5. PisangBakar


Pesan yang disampaikan oleh si PisangBakar. Icon yang digunakan virus ini mirip dengan aplikasi WinAmp atau file mp3. Ia dibuat menggunakan Visual Basic dengan ukuran tubuh sekitar 182KB, di-pack menggunakan UPX. Saat menginfeksi komputer, ia akan mencari file .MP3 untuk kemudian dibuat duplikatnya dengan menyerupai nama yang sama, namun dengan extension .EXE. Begitu pula saat menginfeksi flash disk, ia akan membuat sebuah folder baru dengan nama “Lagu baru” yang di dalamnya berisi file “Marley-Bird Of Paradise.Exe”. Pada root drive C: akan ditemukan file “Info Pisang Bakar.Txt” yang berisi pesan dari si pembuat virus, selain itu ada juga file “Pisang Bara.Exe”.

6. Vires varian


Pesan dari virus Vires atau Latifah.Vires atau dikenal juga dengan nama Latifah,dibuat menggunakan visual basic, di-pack menggunakan UPX. Virus ini menyerupai icon seperti layaknya dokumen Microsoft Word. Pada komputer terinfeksi akan ada file C:\L@tif@h.html yang berisi pesan dari pembuat virus.

7. WSar.D


WSar.D menyerupai folder.Seperti varian sebelumnya, ia masih dibuat menggunakan VB. Varian ini memiliki ukuran sekitar 108KB, murni tanpa di-pack. Karena icon yang digunakan adalah icon mirip folder, saat beraksi, ia akan mencari folder pada setiap drive yang ada di komputer korban, dan membuat duplikat dirinya dengan nama sama seperti folder asli.

8. Labunreke


Salah satu file batch yang dibuat oleh virus. Virus lokal yang satu ini akan menyembunyikan file dokumen Microsoft Word, file MP3, JPG, dan 3GP milik Anda. Selain itu pada komputer korban, ia akan mencoba membuat beberapa user account baru seperti kacian, bundrekev, dan la_kalasi. Pada saat startup juga akan menampilkan pesan seperti “Selamat, PC Anda sedang terinfeksi. Data-data loe semuanya aman koq, tapi gue sembunyiin…. ^_^“. Dan masih ada beberapa hal jail lainnya. So, hati-hati jika menemukan file executable yang mirip WinAmp atau file MP3 dengan ukuran sekitar 421KB.

9. Malingsi varian


Virus Malingsi menyerang virus lain.Virus bertubuh gemuk dengan ukuran besar, contoh pada salah satu varian memiliki ukuran 705.312 bytes. Ia dibuat menggunakan Visual Basic yang di-pack menggunakan PECompact. Sepertinya virus ini ditujukan untuk menyerang virus lain, ini terlihat dari pesan yang ada di tubuhnya. Virus ini berkembang biak dan menyebar menggunakan perantara mIRC, yang bertindak sebagai Bot.

10. FreeMine


Isi file autorun.inf dari virus Freemine.Virus lokal ini dibuat menggunakan Visual Basic dengan ukuran file sekitar 68KB tanpa di-pack. Ciri virus ini, iconnya menyerupai Microsoft Word. Saat aktif di memory, ia akan mempertahankan kelangsungan hidupnya dengan men-terminate setiap aplikasi yang ada dalam daftar black-list di tubuhnya, seperti contohnya Process Explorer. Ia juga dapat menyebar melalui media removable disk, dan pada removable disk terinfeksi akan terdapat file autorun.inf dan Free_Mine.exe.