Selang beberapa waktu terjadinya gempa yang mengguncang Tasikmalaya, di dunia cyber, sebuah virus yang memperingatkan soal gempa dan tsunami terus merajalela. Akhir-akhir ini sebuah virus lokal buatan dalam negeri yang bernama resmi SmallTroj.BEPS menyebar via flashdisk. Virus tersebut dalam aksinya akan merusak data, dan disela-sela aksinya terkadang menyisipkan sebuah pesan yang ingin disampaikan ke semua pengguna komputer. Pesan yang disampaikannya berisi pesan moral yang sungguh bijaksana dan menganjurkan pada kebaikan. Namun cara penyampaiannya yang tidak dibenarkan, karena dapat merugikan orang lain (sipemilik data) dan akan merugikan juga bagi agama tertentu. Karena pesan yang ditampilkan virus tersebut telah mencomot ayat-ayat dari kitab suci milik salah satu agama yang berpemeluk terbesar di Indonesia sebagai dalil untuk pembenaran atas tindakan penyebaran virus. Salah satu pesannya adalah yang masih berkaitan dengan berbagai bencana di Indonesia. Virus ini dikembangkan menggunakan program Visual Basic Script (VBS). Berikut ini cuplikan pesannya yang berbunyi: ‘Kapan manusia akan sadar? Insaf kembali kepada jalan yang benar. Gempa, banjir, Tsunami, bukankah pertanda kiamat? Tapi selain itu, sekarang banyak tanda-tanda kiamat lain yang sudah terlihat, bahkan akan terjadi.’ Konon virus ini masih masuk dalam keluarga SmallTroj yang memiliki penyebaran cukup tinggi di Indonesia dan menempati urutan no 4 dalam daftar 10 besar virus Agustus 2009 versi Vaksincom.
Berikut adalah pesan lengkap yang ditampilkan virus SmallTroj.BEPS yang berjulukan Virus Kiamat :
EXTR3M3
Selamat Datang !
Perhatian !
Kapan manusia akan sadar ? Insaf kembali kepada jalan yang benar. Gempa, banjir, Tsunami, bukankah pertanda kiamat? Tapi selain itu, sekarang banyak tanda-tanda kiamat lain yang sudah terlihat, bahkan akan terjadi. Jika Anda seorang muslim yang beriman dan bertaqwa kepada Allah SWT. Kenapa harus takut mencegah perbuatan tercela? Satu orang berbuat maksiat, semua akan mendapat malapetaka!
Apabila bumi diguncangkan dengan goncangan (yang dashyat), dan bumi telah mengeluarkan beban-beban berat (yang dikandung)nya, dan manusia bertanya: Mengapa bumi (menjadi begini)?, pada hari itu bumi menceritakan beritanya, karena sesungguhnya Tuhanmu telah memerintahkan (yang sedemikian itu) kepadanya. Pada hari itu manusia ke luar dari kuburnya dalam keadaan bermacam-macam, supaya diperlihatkan kepada mereka (belasan) pekerjaan mereka. Barangsiapa yang mengerjakan kebaikan seberat dzarrahpun, niscaya dia akan melihat (balasan)nya. Dan barangsiapa yang mengerjakan kejahatan dzarrahpun, niscaya dia akan melihat (balasan)nya pula (QS. Al Zalzalah: 1 – 8)
Beberapa ciri pada PC yang terinfeksi virus ini;
- Dapat mengubah Baris Judul aplikasi Internet Explorer yang terletak di pojok kiri atas dengan kalimat “Kiamat Sudah Dekat ! by – EXTR3M3-“
- Akan mengubah sejumlah file di Windows, seperti Notepad.EXE, Rstrui.EXE (System Restore), dan Msconfig.EXE dengan aplikasi Calc.EXE (Calculator). Sehingga file-file program Windows tersebut tidak akan bisa dijalankan.
- Dapat mengubah halaman utama Intenet Explorer. Virus ini akan menampilkan sebuah pesan yang cukup panjang dalam format HTML. Pesan tersebut di simpan dalam direktori “C:\Windows\Help\Log.html”.
- Beberapa file bawaan Windows seperti regedit.exe, msconfig.exe, rstrui.exe [System Restore] dan program Notepad akan dihapus, dan diganti dengan CALC.exe, kecuali file TaskMgr.exe dan Regedit.exe.
- Semua file yang ada di [C:\Wndows\temp] akan dihapus, dan jika diakses akan muncul aplikasi MS DOS.
- Menampilkan pesan di file [C:\Windows\query.log], dan dalam bentuk file HTML, yang di simpan di direktori [C:\Windows\Help\log.HTML]
- Membuat Task Scheduler yang akan menjalankan file virus di direktori [C:\Windows\system32\log.wri].
- Terdapat 2 buah file dengan nama [Autorun.inf] dan [CewekGirls.exe] di flashdisk atau drive lain yang berukuran 151 KB, yang akan di aktifkan secara otomatis setiap kali user mengakses Flash Disk tersebut
- Trik memberisihkan virus SmallTroj.BEPS ini :
- Putuskan jaringan ke komputer yang terinfeksi
- Matikan WSCRIPT.exe di Task Manager atau tool pengganti Task Manager, yang dapat di-download di alamat
- http://download.sysinternals.com/Files/Process Explorer.zip
- Copy script berikut pada program [Wordpad], lalu simpan dengan nama file REPAIR.INF
- Klik kanan Repair.INF, lalu install file tersebut
Sedangkan script yang harus di-copy kan :
[Version]
Signature=”$Chicago$”
Provider=Vaksincom Oyee
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del
[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,”&qu ot;”%1″” %*”
HKLM, Software\CLASSES\comfile\shell\open\command,,,”&qu ot;”%1″” %*”
HKLM, Software\CLASSES\exefile\shell\open\command,,,”&qu ot;”%1″” %*”
HKLM, Software\CLASSES\piffile\shell\open\command,,,”&qu ot;”%1″” %*”
HKLM, Software\CLASSES\regfile\shell\open\command,,,”reg edit.exe “%1″”
HKLM, Software\CLASSES\scrfile\shell\open\command,,,”&qu ot;”%1″” %*”
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, “Explorer.exe”
HKCU, Software\Microsoft\Internet Explorer\Main, Start Page,0, “about:blank”
HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, “cmd.exe”
HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, “cmd.exe”
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Adva nced, HideFileExt,0×00010001,0
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Adva nced\Folder\Hidden\NOHIDDEN, text,0, “Do not show hidden files and folders”
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Adva nced\Folder\Hidden\SHOWALL, Text,0, “Show hidden files and folders”
HKCU, Control Panel\Desktop, MenuShowDelay,0, “400″
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer\Advanced, Hidden ,0×00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Adva nced, FolderContentsInfoTip, 0×00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Adva nced, ShowSuperHidden, 0×00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer, NoDriveTypeAutoRun,0x000000ff,255
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Expl orer, NoDriveTypeAutoRun,0x000000ff,255
[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Syst em,DisableRegistryTools
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Syst em,DisableCMD
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Syst em,DisableTaskMgr
HKLM, Software\Microsoft\Windows\CurrentVersion\Policies\Syst em,DisableTaskMgr
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer,NoFolderOptions
HKLM, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer,NoFolderOptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer,NoRun
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer,NoFind
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Expl orer,NoControlPanel
HKCU, Software\Microsoft\Internet Explorer\Main, Window Title
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\WinO ldApp, Disabled
Hapus File virus berikut :
C:\Documents and Settings\%user%\My Documents\CeweGirls.exe
C:\Windows\system32\ulib.dll
C:\Windows\system32\atrun.dll
C:\Windows\system32pconfig.EXE
C:\Windows\system32\illegal.vbs
C:\Windows\system32\Setup\Admin.dll
C:\Windows\system32\cewek.dll
C:\Windows\system32\girl.dll
C:\Windows\system32\log.wri
C:\Windows\Help\log.HTML
C:\Windows\query.log
C:\Windows\task\AT%1% (catatan : %1% menunjukan angka [AT1 – AT7]
Hapus juga file [Autorun.inf] dan [CewekGirls.exe] yang ada di drive lain termasuk Flash Disk
Copy ulang file yang telah dihapus oleh virus dari komputer dengan OS yang sama yang tida.exe
C:\Windows\System32\TaskMgr.exe
C:\WIndows\PCHealth\HelpCtr\Binaries\msconfig.exe
C:\Windows\system32\restore\rstrui.exe
Untuk pencegahan infeksi ulang, update antivirus secara berkala atau download http://www.norman.com/Virus/Virus_removal_tools
0 komentar:
Posting Komentar