Agu
12
2020
Today
Cuaca Cilacap 03-08-2020

Berawan
Suhu : 24-300C
Angin : 5-10 km/jam
Cuaca Maritim

Login

Nama Pengguna Kata sandi
Lupa kata sandi anda? Lupa nama pengguna anda?
Nadia Saphira Reinkarnasi Donal Bebek ? Cetak
Selasa, 26 Mei 2009 13:35
Siapa yang tidak kenal Nadia Saphira??? Artis Indonesia yang memulai karier awal-nya sebagai model sebuah majalah remaja, dan kini  sudah termasuk artis muda yang sukses membintangi berbagai film layar lebar, sinetron dan serial TV, seperti Jomblo, Coklat Stroberi, Ada Apa dengan Cinta, Dunia Tanpa Koma, dan yang lain.

Jika anda penggemar Nadia, maka anda perlu berhati-hati karena telah menyebar varian baru virus Bulu Bebek dengan nama “Nadia Saphira”. Jika anda pernah baca artikel vaksin tentang virus Bulu Bebek pada http://www.vaksin.com/2008/1008/bulubebek/bulubebek.html, varian ini merupakan kelanjutan-nya. Pembuat virus sepertinya tidak hanya terinspirasi oleh Donal Bebek tetapi juga merupakan penggemar dari Nadia Saphira. Berdasarkan script yang dibuat oleh si pembuat virus, virus ini diduga berasal dari Sultra (Sulawesi Tenggara). Hebatnya lagi, virus yang penyebarannya cukup tinggi di bulan Mei 2009 ini menurut pantauan Vaksincom masih belum dapat terdeteksi oleh program antivirus, baik yang mengaku sebagai antivirus terbaik di dunia ataupun tidak. Saat artikel ini diluncurkan, antivirus lokal yang mampu mendeteksi virus Nadia Saphira ini hanya Smadav.

Norman Security Suite mendeteksi varian virus Nadia Saphira sebagai W32/VBTroj.AOQB. (lihat gambar 1)


File virus

Ciri-ciri dari file virus ini, diantaranya sebagai berikut :

  • Memiliki ukuran file sebesar “17 kb & 69 kb”.
  • Mempunyai type file “Application”.
  • Berekstensi file “exe & ini”.
  • Memiliki icon folder.
  • Membuat duplikat folder seduai dengan nama folder yang ada dan menyembunyikan folder aslinya.
  • Menghilangkan pilihan “Folder Options”.
  • CD Rom tidak bisa digunakan
  • Command Prompt tidak bisa diakses.

Virus Nadia Saphira dibuat dengan menggunakan bahasa pemrograman visual basic. Jika virus berhasil menginfeksi, maka ia akan membuat beberapa file virus diantaranya :

C:\autorun.inf (pada semua root drive)

C:\NadiaSaphira. ini (pada semua root drive)

  • C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe
  • C:\Documents and Settings\%User% \NadiaSaphira.ini
  • C:\WINDOWS\taskmgr.exe
  • C:\WINDOWS\system32\.exe
  • C:\WINDOWS\system32\allsys.exe
  • C:\WINDOWS\system32\misconfig.exe
  • C:\WINDOWS\system32\MS586.sys
  • C:\WINDOWS\system32\System
  • C:\WINDOWS\system32\wtoolsb.exe
  • C:\WINDOWS\system32\dllcache\.exe
  • C:\WINDOWS\system32\dllcache\System
  • Membuat duplikat file virus pada setiap folder yang ada pada removable drive/usb. (lihat gambar 2)


Hidden folder & membuat duplikat virus

Sama seperti virus Bulu Bebek, virus Nadia Saphira juga tidak memiliki niat jahat dengan menghancurkan data komputer. Tetapi virus ini hanya menyembunyikan folder / sub folder pada drive maupun pada flashdisk / external, untuk mengelabui user virus akan membuat duplikat di setiap folder/sub folder sesuai dengan nama folder yang disembunyikan. Selain itu virus juga membuat type file sesuai dengan type file folder. (lihat gambar 3)


Blok fungsi Windows

Sebagai bentuk pertahanan, virus akan mencoba melakukan usaha blok terhadap beberapa fungsi Windows. Beberapa fungsi Windows yang di blok diantaranya sebagai berikut :

  • Folder Options (dilakukan untuk mencegah akses terhadap file/folder yang disembunyikan)
  • Registry Editor (dilakukan untuk mencegah akses perbaikan registry) (lihat gambar 4)
  • Search/Find (dilakukan untuk mencegah dari pembersihan virus)
  • Command Prompt (dilakukan untuk mencegah dari proses kill virus)

Aktif pada start up

Untuk memastikan agar dapat aktif dengan baik pada saat komputer dijalankan, virus menyisipkan file virus pada startup windows sehingga akan langsung aktif jika kita sudah masuk windows. Setelah aktif, virus memanggil kedua rekannya (virus pendukung) agar sulit dimatikan. File virus yang aktif pada startup yaitu :

  • C:\Documents and Settings\All User\Start Menu\Programs\ Startup\lan. exe

File ini yang kemudian memanggil kedua rekannya (virus pendukung) untuk memperkuat existensinya, yaitu :

  • C:\WINDOWS\system32\misconfig.exe
  • C:\WINDOWS\taskmgr.exe (lihat gambar 5)

 

Registry windows

Agar dapat melakukan blok fungsi “Search” windows, virus akan membuat string registry sebagai berikut :

-  HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer

nofind = 1

-  HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer

nofind = 1

 

Agar dapat melakukan blok fungsi “Folder Options” windows, virus akan membuat string registry sebagai berikut :

-  HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer

NoFolderOptions = 1

 

Agar dapat melakukan blok fungsi “Registry Editor” windows, virus akan membuat string registry sebagai berikut :

-  HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ System

DisableRegistryTool s = 1

 

Agar dapat melakukan blok fungsi “Command Prompt” windows, virus akan membuat string registry sebagai berikut :

-  HKEY_CURRENT_ USER\Software\ Microsoft\ Command Processor

Autorun = 

-  HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Command Processor

Autorun = 

 

Walaupun Folder Optionssudah di blok, tetapi virus mencegah untuk menampilkan file yang tersembunyi. Untuk itu, ia membuat string registry sebagai berikut :

-  HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced\ Folder\Hidden\ SHOWALL

CheckedValue = 0

DefaultValue = 0

 

Agar dapat mengelabui user terhadap file virus dan mencoba mengubah type file exe, virus membuat string sebagai berikut :

-  HKEY_CLASSES_ ROOT\exefile

(Default) = File Folder

Info Tip = File Folder

TileInfo = File Folder

 

Terakhir virus berusaha melakukan blok ekseskusi file “Microsoft Visual Studio Spy Debugging Tools”, virus membuat string sebagai berikut :

-  HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\msiexec. exe

Debugger =

-  HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\sessmgr. exe

Debugger =

-  HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\SPYXX. exe

Debugger =

 

Metode Penyebaran

Dengan memanfaatkan system autoplay windows, virus ini menggunakan removable drive / usb sebagai sarana penyebaran dirinya. Beberapa file yang akan di buat virus yaitu :

  • autorun.inf
  • NadiaSaphira.ini
  • Membuat file virus dan menggandakan diri pada setiap folder yang ada (lihat gambar 6)

Cara pembersihan virus Nadia Saphira

o    Sebaiknya putuskan komputer yang akan dibersihkan dari jaringan.

o    Matikan “System Restore” selama proses pembersihan virus (untuk Windows XP / Vista).

o    Matikan proses virus yang aktif di memory. Gunakan tools pengganti task manager, seperti CProcess (dapat anda download pada alamat berikut)

http://www.nirsoft.net/utils/index.html

Lakukan kill process, pada beberapa file virus yang aktif yaitu :

  • C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe
  • C:\WINDOWS\system32 \misconfig.exe
  • C:\WINDOWS\taskmgr.exe (lihat gambar 7)

o    Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

 

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

                       

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

 

[UnhookRegKey]

HKCR, batfile\shell\ open\command, ,,"""%1"" %*"

HKCR, comfile\shell\ open\command, ,,"""%1"" %*"

HKCR, exefile\shell\ open\command, ,,"""%1"" %*"

HKCR, piffile\shell\ open\command, ,,"""%1"" %*"

HKCR, lnkfile\shell\ open\command, ,,"""%1"" %*"

HKCR, scrfile\shell\ open\command, ,,"""%1"" %*"

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced,

HKLM, SOFTWARE\Classes\ exefile\DefaultI con,,,""%1""

HKLM, SOFTWARE\Classes\ exefile,, ,"Application"

HKLM, SOFTWARE\Classes\ exefile,infotip, 0, "prop:FileDescriptio n;Company; FileVersion; Create;Size"

HKLM, SOFTWARE\Classes\ exefile,TileInfo ,0, "prop:FileDescriptio n;Company; FileVersion"

HKCU, Software\Microsoft\ Command Processor, AutoRun,0,

HKLM, SOFTWARE\Microsoft\ Command Processor, AutoRun,0,

HKLM,SOFTWARE\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced\ Folder\Hidden\ SHOWALL, CheckedValue, 0x00010001,1

HKLM,SOFTWARE\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced\ Folder\Hidden\ SHOWALL, DefaultValue, 0x00010001,2

 

[del]

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Policies\ System, DisableRegistryTool s

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Policies\ Explorer, NoFolderOptions

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Policies\ Explorer, nofind

HKLM, SOFTWARE\Microsoft\Windows\ CurrentVersion\ Policies\ Explorer, nofind

HKLM, SOFTWARE\Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\msiexec. exe

HKLM, SOFTWARE\Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\sessmgr. exe

HKLM, SOFTWARE\Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\SPYXX. exe

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

o    Hapus file virus yang mempunyai ciri-ciri sebagai berikut :

  • Icon application/ folder
  • Ext. exe
  • Ukuran 69 kb & 17 kb

Catatan

o    Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.

o    Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe & *.ini yang mempunyai ukuran 69 KB & 17 KB.

o    Hapus file virus yang biasanya mempunyai date modified yang sama.  (lihat gambar 8)

 

o    Tampilkan kembali folder yang disembunyikan pada drive atau flashdisk. Gunakan perintah “ATTRIB” pada command prompt.

  • Klik “Start”
  • Klik “Run”
  • Ketik “CMD”, kemudian tekan tombol “Enter”
  • Pindahkan posisi kursor ke drive Flash Disk
  • Kemudian ketik perintah ATTRIB –s –h –r /s /d kemudian tekan tombol “enter (lihat gambar 9)

o    Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik.

Sumber : Vaksincom



Share on
Facebook! Twitter! Joomla Free PHP
 

Posting komentar anda