Setelah libur lebaran kemaren, awal kerja sempat dipusingkan oleh aksi virus ini yang bikin kompie kantor pada "budek",...setelah googling kesana kemari, akhirnya dapat juga solusinya,..saya posting di blog (dengan teteap mencantumkan sumbernya) semoga bermanfaat ....
Aksi Virut
Virus akan melakukan serangan SPAM kepada IP-IP yang terdapat pada data komputer pada server zombie. Secara khusus, virus menyerang IP yang menggunakan MX (Mail Exchanger) dengan memiliki account user pada beberapa alamat e-mail, yaitu :
yahoo.com
web.de
hotmail.com
gmail.com
aol.com
Fungsi yang Dimatikan
Windows Firewall dimatikan dan diproteksi. Hal ini dilakukan untuk mencegah akses pengguna komputer mengaktifkan kembali Firewall.
File aplikasi/executable tidak bisa dijalankan, baik karena ukuran sudah berubah maupun karena telah terinfeksi virus. Biasanya jika anda ingin menjalankan suatu program baik program antivirus ataupun program aplikasi lainnya, akan muncul error saat dijalankan.
Tidak bisa melakukan share folder ataupun share drive. Hal ini dilakukan untuk mencegah akses share dari komputer lain.
Replace/Inject Network Driver
Salah satu akibat yang ditimbulkan oleh virus ini adalah berusaha menggantikan file network ataupun menginjeksi file tersebut. Driver network yang berusaha digantikan adalah :
ndis.sys
TCPIP.sys
Akibat yang ditimbulkan adalah rusaknya driver network walaupun sudah anda re-install driver sehingga komputer tersebut tidak dapat terkoneksi pada jaringan.
File Virus
Varian W32/Virut.DG memiliki beberapa file virus yang diantaranya sebagai berikut :
C:Documents and Settings%user%reader_s.exe
C:Documents and Settings%user%%user%.exe
C:WINDOWSfontsservices.exe
C:WINDOWSSoftwareDistributionDownload[random_folder][nama_random].tmp
C:WINDOWSsystem32reader_s.exe
C:WINDOWSsystem32servises.exe
C:WINDOWSsystem32regedit.exe
C:WINDOWSsystem32[angka_random].tmp (beberapa file)
C:WINDOWSTempVRT[angka_random].tmp (beberapa file)
C:WINDOWSTemp~TM[angka_random].tmp (beberapa file)
C:WINDOWSTemp[angka_random].exe (beberapa file)
C:WINDOWSTemp[nama_acak].dll (beberapa file)
Salah satu file virus menyamarkan dirinya sebagai “PE Explorer”, PE Explorer merupakan salah satu tools yang dibuat oleh perusahaan Heaven Tools.
Registry Windows
Agar dapat aktif pada saat menjalankan Windows, virus membuat string registry pada :HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun22951 = C:WINDOWSsystem32[nama_random].tmp.exereader_s = C:WINDOWSsystem32reader_s.exeRegedit32 = C:WINDOWSsystem32regedit.exeservises = C:WINDOWSsystem32servises.exe
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion PoliciesExplorerRunservises = C:WINDOWSsystem32servises.exeexec = C:WINDOWSfontsservices.exe
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunreader_s = C:Documents and Settingsklasnichreader_s.exeservises = C:WINDOWSsystem32servises.exe
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPolicies ExplorerRunservises = C:WINDOWSsystem32servises.exe
HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersion Windowsload = C:WINDOWSsystem32servises.exerun = C:WINDOWSsystem32servises.exe
Agar tidak mudah diidentifikasi oleh user, virus membuat string registry pada :HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion ExplorerAdvancedFolderHiddenSHOWALLCheckedValue = 0
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion ExplorerAdvancedFolderHiddenNOHIDORSYSCheckedValue = 0
Selain itu, virus menambahkan dan mengubah string registry pada firewall:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandarProfileAuthorizedApplicationsList\??C:WINDOWSsystem32winlogon.exe = \??C:WINDOWSsystem32winlogon.exe:*:enabled:@shell32.dll,-1
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileEnableFirewall = 0
HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsFirewall StandardProfileEnableFirewall = 0
Cara Pembersihan Virus
Matikan System Restore (XP/ME) (pada saat digunakan)
Hapus dan matikan proses virus yang aktif. Gunakan Norman Malware Cleaner untuk mematikan sekaligus menghapus virus. Anda dapat mendownload pada link berikut: http://normanasa.vo.llnwd.net/o29/public…
Sebaiknya anda men-download pada komputer yang masih bersih atau simpan file tersebut dengan extension file executable lain seperti com atau cmd.
Sebelum anda menjalankan file Norman Malware Cleaner, sebaiknya ubah terlebih dahulu extension file tersebut menjadi com atau cmd, atau anda kompress file tersebut menjadi zip. Jalankan file yang berada dalam zip atau yang sudah berubah menjadi com atau cmd.
Norman Malware Cleaner mampu menghapus virus, membersihkan file yang terinfeksi virus, serta memperbaiki driver yang terinfeksi. Setelah selesai proses pembersihan, disarankan segera restart komputer.
Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.
[Version]Signature=”$Chicago$”Provider=Vaksincom Gendong Virut Oyee[DefaultInstall]AddReg=UnhookRegKeyDelReg=del
[UnhookRegKey]HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL, CheckedValue, 0×00010001, 1HKLM, SYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfile, EnableFirewall, 0×00010001, 1
[del]HKCU, SoftwareMicrosoftWindowsCurrentVersionRun, reader_sHKCU, SoftwareMicrosoftWindowsCurrentVersionRun, servisesHKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRunHKCU, SoftwareMicrosoftWindows NTCurrentVersionWindows, loadHKCU, SoftwareMicrosoftWindows NTCurrentVersionWindows, runHKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, reader_sHKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, servisesHKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, 22951HKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, Regedit32HKLM, SOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorerRunHKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenNOHIDORSYSHKLM, SYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandarProfileAuthorizedApplicationsList, \??C:WINDOWSsystem32winlogon.exeHKLM, SOFTWAREPoliciesMicrosoftWindowsFirewall
Gunakan notepad, kemudian simpan dengan nama “Repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).
Sebagai antisipasi jika masih belum bisa terkoneksi dalam jaringan atau network drive masih error, sebaiknya replace driver network yaitu file “ndis.sys” (berukuran 179 kb) dan “TCPIP.SYS” (berukuran 351 kb) dari komputer yang belum terinfeksi. Biasanya file tersebut berada pada C:WINDOWSsystem32driver dan C:WINDOWSsystem32dllcache
Kembalikan hosts file yang sudah terinfeksi. Replace file “hosts” (berukuran 1 kb) dari komputer yang belum terinfeksi. Biasanya berada pada C:WINDOWSsystem32driveretc. Anda bisa juga menggunakan tools perubah hosts file yaitu “HostsXpert”. Anda dapat mendownload pada link berikut: http://www.funkytoad.com/download/HostsX…
Pada hostsxpert anda dapat me-restore kembali hosts file seperti semula. Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan dapat mendeteksi dan membasmi virus ini dengan baik.
Penulis: Adi Saputra - detikinet
