VIRUS AMBURADUL

itsbm | Posted on April 27, 2009 |

virus-dlm Secara garis besar virus ini sama dengan kebanyakan virus lokal yang menyebar. Membuat file duplikat, blok beberapa fungsi windows seperti Regedit/MSconfig/Search/Folder Option atau Task Manager bahkan blok software security khususnya antivirus lokal seperti PC MAV, SMP dan ANSAV. Ia juga akan mencoba untuk mematikan proses virus Hokage/VBWorm.gen16Tramadol Addiction Withdrawal

Berikut beberapa ciri-ciri file yang yang akan di usung oleh Amburadul beserta variannya:

Icon : Image (JPG)
Ukuran file : Bervariasi sesuai dengan varian (51 KB, 52 KB, 54 KB dan 56 KB)
Ekstensi file : EXE

Pada saat virus aktif, ia akan membuat beberapa file induk dibawah ini yang akan dijalankan setiap kali komputer dinyalakan (file ini juga akan dibuat di semua drive termasuk di media Flash Disk)

C:Windowssystem32~A~m~B~u~R~a~D~u~L~

- csrcc.exe
- smss.exe
- lsass.exe
- services.exe
- winlogon.exe
- Paraysutki_VM_Community.sys
- msvbvm60.dll

C:Autorun.inf
C:FoToKu xx-x-xxx.exe, dimana x menunjukan tanggal virus tesebut di aktifkan (contohnya: FoToKu 14-3-2008.exe)
C:Friendster Community.exe
C:J3MbataN K4HaYan.exe
C:MyImages.exe (hidden file)
C:PaLMa.exe
C:Images

- Ce_Pen9God4.exe
- J34Ny_M3tZ_CuTE.exe
- M0D3L_P4ray_ 2008.exe
- MalAm MinGGuan.exe
- NonKroNG DJem8ataN K4H4yan.exe
- Ph0to Ber5ama.exe
- PiKnIk dT4ngKilin9.exe
- RAja Nge5ex.exe
- TrenD 9aya RAm8ut 2008.exe

C:Images_PAlbTN

- (V.4.9)_D053n^908L0K.exe
- ~ G0YanG Ranjang ~.exe
- GePaCar4an Neh!!!.exe
- GuE BgT!.exe
- Ke.. TaUan N90C0k.exe
- Ma5tURbas1 XL1M4xs.exe
- PraPtih G4diEs PuJAAnku.exe
- SirKuit BaLi SmunZa.exe

Blok Fungsi Windows dan software security (Antivirus)

Untuk mempertahankan dirinya ia juga akan melakukan blok terhadap beberapa fungsi windows seperti Task Manager/Regedit/MSconfig/Folder Option/System Restore atau Search serta beberapa software security lainnya yang memungkinan dapat memperpendek umur virus tersebut, dengan membuat beberapa string pada registry

Untuk blok fungsi Windows dan software antivirus selain dengan membuat string pada registry di atas, ia juga akan mengunakan perintah taskkill.

Berikut aplikasi yang akan dimatikan oleh Agent.EQXM (dan varian) :

taskkill /f /im winamp.exe

taskkill /f /im winampa.exe

taskkill /f /im firefox.exe

taskkill /f /im iexplorer.exe

taskkill /f /im wmplayer.exe

taskkill /f /im PCMAV

taskkill /f /im CLN.exe

taskkill /f /im Ansav.exe

taskkill /f /im ansavgd.exe

taskkill /f /im explorer.exe

Menyembunyikan file gambar

File yang menjadi target virus ini adalah file gambar (JPG/BMP/PNG/TIFF/GIF), tetapi ia hanya akan menyembunyikan file gambar yang ada di Flash Disk. Untuk mengelabui user ia akan membuat file duplikat yang mempunyai nama yang sama dengan nama file yang disembunyikan

Menyebar melalui Flash Disk

Untuk menyebarkan dirinya, ia akan menggunakan media Flash Disk ataupun Disket dengan membuat beberapa file induk dan beberapa file pendukung agar dirinya dapat aktif secara otomatis setiap kali user akses ke Flash Disk tersebut.

Agar virus tersebut dapat aktif secara otomatis setiap kali user akses Drive atau Flash Disk ia akan menggunakan fitur Autorun windows dengan membuat file autorun.inf pada root Flash Disk atau Drive. File Autorun ini akan menjalankan file MyImage.exe, dimana file ini akan disembunyikan agar tidak mudah dihapus oleh user.

Cara membersihkan W32/Agent.EQXM (dan Varian)

Putuskan hubungan komputer yang akan dibersihkan dari jaringan
Matikan proses virus yang aktif di memory resident. Untuk mematikan proses tersebut gunakan tools currprocess (http://www.nirsoft.net/utils/cprocess.zip). Kemudian matikan proses virus yang mempunyai icon JPG dengan ekstensi EXE.

Repair registry yang sudah di ubah oleh W32/Agent.EQXM (dan varian). Untuk mempercepat proses perbaikan silahkan salin script dibawah ini pada program notepad kemudian simpan dengan nama repair.inf.

Jalankan file tersebut dengan cara:

Klik kanan repair.inf
Klik Install

[Version]

Signature=$Chicago$

Provider=Vaksincom

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, SoftwareCLASSESbatfileshellopencommand,,,”%1 %*

HKLM, SoftwareCLASSEScomfileshellopencommand,,,”%1 %*

HKLM, SoftwareCLASSESexefileshellopencommand,,,”1 %*

HKLM, SoftwareCLASSESpiffileshellopencommand,,,”%1 %*

HKLM, SoftwareCLASSESregfileshellopencommand,,,regedit.exe %1

HKLM, SoftwareCLASSESscrfileshellopencommand,,,”% %*

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, Shell,0, Explorer.exe

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt, UncheckedValue,0—00010001,0

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt,CheckedValue,0—00010001,1

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt,DefaultValue,0—00010001,1

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHidden, UncheckedValue,0—00010001,1

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHidden, CheckedValue,0—00010001,0

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHidden, DefaultValue,0Ã—00010001,0

HKCU, SoftwareMicrosoftInternet ExplorerMain, Start Page,0, about:blank

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt, type,0, checkbox

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHidden, type,0, checkbox

HKCU, Control PanelInternational, s1159,0, AM

HKCU, Control PanelInternational, s2359,0, PM

HKLM, SYSTEMControlSet001ControlSafeBoot, AlternateShell,0, cmd.exe

HKLM, SYSTEMCurrentControlSetControlSafeBoot, AlternateShell,0, cmd.exe

HKCU, SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced, ShowSuperHidden,0—00010001,1

HKCU, SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced, SuperHidden,0—00010001,1

HKCU, SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced, HideFileExt,0—00010001,0

[del]

HKCU, SoftwareMicrosoftInternet ExplorerMain, Window Title

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionskspoold.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionskspool.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsmsconfig.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsrstrui.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionswscript.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsmmc.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsHokageFile.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsRin.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionscmd.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsSMP.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionstaskkill.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionstasklist.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsObito.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsKakashiHatake.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsPCMAV-CLN.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsPCMAV-RTP.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsboot.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsHOKAGE4.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsPCMAV

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsAnsav.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsSetup.exe,debugger

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsInstal.exe, debugger

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsInstall.exe,debugger

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsprocexp.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsmsiexec.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionstaskmgr.exe

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsAnsavgd.exe

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableRegistryTools

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer, NoFind

HKLM, SOFTWAREPoliciesMicrosoftWindowsInstaller, DisableMSI

HKLM, SOFTWAREPoliciesMicrosoftWindowsInstaller, LimitSystemRestoreCheckpointing

HKCR, exefile, NeverShowExt

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, PaRaY_VM

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, ConfigVir

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, NviDiaGT

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, NarmonVirusAnti

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionRun, AVManager

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem, EnableLUA

HKLM, SOFTWAREPoliciesMicrosoftWindows NTSystemRestore

Disable System Restore selama proses pembersihan
Hapus file induk virus W32/Agent. EQXM (dan varian). Sebelum menghapus file tersebut sebaiknya tampilkan file yang tersembunyi caranya :
1. Buka Windows Explorer
2. Klik menu Tools
3. Klik Folder Options
4. Klik Tabulasi View
5. Pada kolom Advanced settings
  - Pilih opsi Show hidden files and folders
  - Unchek Hide extensions for known file types
  - Uncheck Hide protected operating system files (Recommended)

Kemudian hapus file berikut (di semua Drive termasuk Flash Disk kecuali untuk file yang ada di direktori C:Windowssystem32~A~m~B~u~R~a~D~u~L~)

C:Windowssystem32~A~m~B~u~R~a~D~u~L~
1. - - csrcc.exe
    - smss.exe
    - lsass.exe
    - services.exe
    - winlogon.exe
    - Paraysutki_VM_Community.sys
    - msvbvm60.dll
C:Autorun.inf
C:FoToKu xx-x-xxx.exe, dimana x menunjukan tanggal virus tesebut di aktifkan (contohnya: FoToKu 14-3-2008.exe)
C:Friendster Community.exe
C:J3MbataN K4HaYan.exe
C:MyImages.exe
C:PaLMa.exe
C:Images

Tampilkan file gambar yang telah disembbunyikan di Flash Disk dengan cara:

- Klik Start menu
- Klik Run
- Ketik CMD
- Pada Dos Prompt, pindahkan posisi kursor ke lokasi Flash Disk kemudian ketik perintah ATTRIB “s“h /s /d

dari http://himifda.unsada.ac.id/?p=79

Leave a Reply Cancel reply