Posted: 10 September 2009 09:14:00 by Heni BeritaNet.com | Dilihat 2863 kali

Memang tak ada kaitannya dengan unsur religius yang sangat erat di bulan Ramadhan ini, namun virus juga bisa menjadi ‘sok religius’, seperti virus SmallTroj.BEPS, yang dibuat dengan menggunakan bahasa pemrograman VBScript. Berikut tulisan dalam isi virus :

• Halaman utama [Intenet Explorer] menjadi bentuk file C:WindowsHelpLog.html
• Judul [Internet Explorer]  menjadi “Kiamat Sudah Dekat ! by – EXTR3M3-
• Menampilkan program kalkulator pada saat menjalankan “notepad.exe” “rstrui.exe” [system restore]
• Beberapa file bawaan Windows seperti regedit.exe, msconfig.exe, rstrui.exe [System Restore] dan program Notepad akan dihapus, dan diganti dengan CALC.exe, kecuali file TaskMgr.exe dan Regedit.exe.
• Semua file yang ada di [C:Wndowstemp] akan dihapus, dan jika diakses akan muncul aplikasi MS DOS.
• Menampilkan pesan di file [C:Windowsquery.log], dan dalam bentuk file HTML, yang di simpan di direktori [C:WindowsHelplog.HTML]
• Membuat Task Scheduler yang akan menjalankan file virus di direktori [C:Windowssystem32log.wri].
• Terdapat 2 buah file dengan nama  [Autorun.inf] dan [CewekGirls.exe] di flashdisk atau drive lain yang berukuran 151 KB, yang akan di aktifkan secara otomatis setiap kali user mengakses Flash Disk tersebut.

Trik memberisihkan virus SmallTroj.BEPS ini :
1. Putuskan jaringan ke komputer yang terinfeksi
2. Matikan WSCRIPT.exe di Task Manager atau tool pengganti Task Manager, yang dapat di-download di alamat
http://download.sysinternals.com/Files/ProcessExplorer.zip
3. Copy script berikut pada program [Wordpad], lalu simpan dengan nama file REPAIR.INF
4. Klik kanan Repair.INF, lalu install file tersebut

Berikut script yang harus di-copy :
 
[Version]
Signature="$Chicago$"
Provider=Vaksincom Oyee
 
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del
 
[UnhookRegKey]
HKLM, SoftwareCLASSESbatfileshellopencommand,,,"""%1"" %*"
HKLM, SoftwareCLASSEScomfileshellopencommand,,,"""%1"" %*"
HKLM, SoftwareCLASSESexefileshellopencommand,,,"""%1"" %*"
HKLM, SoftwareCLASSESpiffileshellopencommand,,,"""%1"" %*"
HKLM, SoftwareCLASSESregfileshellopencommand,,,"regedit.exe "%1""
HKLM, SoftwareCLASSESscrfileshellopencommand,,,"""%1"" %*"
HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, Shell,0, "Explorer.exe"
HKCU, SoftwareMicrosoftInternet ExplorerMain, Start Page,0, "about:blank"
HKLM, SYSTEMControlSet001ControlSafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SYSTEMCurrentControlSetControlSafeBoot, AlternateShell,0, "cmd.exe"
HKCU, SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced, HideFileExt,0x00010001,0
HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenNOHIDDEN, text,0, "Do not show hidden files and folders"
HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL, Text,0, "Show hidden files and folders"
HKCU, Control PanelDesktop, MenuShowDelay,0, "400"
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerAdvanced, Hidden ,0x00010001,1
HKCU, SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced, FolderContentsInfoTip, 0x00010001,1
HKCU, SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced, ShowSuperHidden, 0x00010001,1
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer, NoDriveTypeAutoRun,0x000000ff,255
HKLM, SOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorer, NoDriveTypeAutoRun,0x000000ff,255
 
[del]
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem,DisableRegistryTools
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem,DisableCMD
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem,DisableTaskMgr
HKLM, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem,DisableTaskMgr
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer,NoFolderOptions
HKLM, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer,NoFolderOptions
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer,NoRun
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer,NoFind
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer,NoControlPanel
HKCU, SoftwareMicrosoftInternet ExplorerMain, Window Title
HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldApp, Disabled
 
5. Hapus File virus berikut :
C:Documents and Settings%user%My DocumentsCeweGirls.exe
C:Windowssystem32ulib.dll
C:Windowssystem32atrun.dll
C:Windowssystem321pconfig.EXE
C:Windowssystem32illegal.vbs
C:Windowssystem32SetupAdmin.dll
C:Windowssystem32cewek.dll
C:Windowssystem32girl.dll
C:Windowssystem32log.wri
C:WindowsHelplog.HTML
C:Windowsquery.log
C:WindowstaskAT%1% (catatan : %1% menunjukan angka [AT1 – AT7]

6. Hapus juga file [Autorun.inf] dan [CewekGirls.exe] yang ada di drive lain termasuk Flash Disk
7. Copy ulang file yang telah dihapus oleh virus dari komputer dengan OS yang sama  yang tidak terinfeksi.
C:WindowsRegedit.exe
C:WindowsSystem32Notepad.exe
C:WindowsSystem32TaskMgr.exe
C:WIndowsPCHealthHelpCtrBinariesmsconfig.exe
C:Windowssystem32restorerstrui.exe

8. Untuk pencegahan infeksi ulang, update antivirus secara berkala atau download Norman_Malware_Cleaner (normanasa.vo.llnwd.net/o29/public/Norman_Malware_Cleaner.exe).