Indo Virus-how To Defeat

W32/Solow (r4n694-24y)

25 April 2007

Awas, komputer anda di hack ayam

Binatang apa yang sangar dan akhir-akhir ini sangat sering dipakai namanya dalam dunia IT dan menurut peneliti memiliki hubungan erat dengan ayam ?? Jawabannya bukan burung elang ..... Brontok, bukan masih kalah sangar, burung Garuda Panca.... hus... itu sih lambang negara :P. Ternyata jawabannya bukan dari jenis unggas, melainkan jenis dinosaurus. Lhoooo, kok dinosaurus ?? Menurut penelitian terakhir merupakan nenek moyangnya ayam. Kalau mau ngadu keren, memang nenek moyangnya ayam ini yang paling sangar dan tidak ada matinya. Mengapa ? Karena di tengarai oleh peneliti bahwa nenek moyang ayam ternyata adalah T-Rex. Tidak percaya ?? Saya juga tidak percaya, tetapi ini jelas bukan HOAX dan memiliki dasar ilmiah yang kuat http://www.france24.com/france24Public/en/news/science/20070415-trex-chicken.html. Mungkin karena keren itulah yang membuat penulis virus (yang ditengarai awalnya menyebar meluas di Thailand namun akhir-akhir ini variannya banyak menyebar dalam pesan Bahasa Indonesia) menggunakan “motto” Hacked by Godzilla pada virus yang diciptakannya.

Jika anda membuka program “Internet Explorer” dan mendapatkan capion text bertuliskan “Hacked by Godzilla” atau Hacked by Zay” kemungkinan besar komputer anda terinfeksi virus Solow, begitulah Norman Virus Control memberikan nama untuk virus yang satu ini (lihat gambar 1 dan 2).

Gambar 1, Solow menambahkan caption text Internet Explorer dengan Hacked by GodZilla

Gambar 2, Norman mendeteksi virus Hacked by Godzilla sebagai W32/Solow

Virus ini sampai saat ini sudah menghasilkan banyak varian dan masing-masing varian mempunyai karakteristik yang sama walaupun ada sedikit perbedaan yang muncul dari aksi yang dilakukannya.

Solow ini sendiri dibuat dari program bahasa pemrograman umum VBScript dengan ukuran sebesar 4 KB dan 8 KB untuk varian terbaru, dan agar dapat menyebar secara otomatis ia akan membuat file Autorun.inf yang berisi skrip untuk menjalankan file induk dari virus tersebut.

JIka virus tersebut aktif ia akan membuat berapa file induk yang akan dijalankan setiap kali komputer dinyalakan diantaranya:

• • •

%Drive%:\MS32DLL.dll.vbs atau r4n694-24y.dll.vbs C:\MS32DLL.dll.vbs atau C:\WINDOWS\r4n694-24y.dll.vbs %Drive%:\Autorun.inf

Catatan:

%Drive% menunjukan Partisi Hard Disk termasuk Flash Disk

Solow akan membuat string pada registri berikut dengan tujuan agar dapat aktif secara otomatis setiap kali komputer dihidupkan.

•

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 r4n694-24y = C:\WINDOWS\r4n694-24y.dll.vbs atau  ms32dll = C:\WINDOWS\MS32DLL.dll.vbs

Untuk Solow varian awal tidak sampai melakukan blok fungsi Windows sehingga lebih mudah untuk dibersihkan sedangkan untuk varian terakhir ia akan berusaha untuk melakukan blok terhadap beberapa fungsi Windows seperti :

 Task manager  Msconfig  Regedit  Folder Option  CMD

Dengan membuat string pada registri berikut: •

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

 NoFind  NoFoldderOptions  NoRun •

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced

 Hidden

•

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

 DisableRegistriTools  DisableTaskMgr

Anda tentu masih ingat dengan kasus Lightmoon, dimana jika anda menjalankan fungsi regedit/msconfig maka akan muncul program notepad dengan isi bahasa ASCII. Solow juga akan melakukan hal yang sama, selain regedit dan msconfig solow juga akan debugger program CMD/setup dan Install. Jadi setiap kali anda menjalankan program regedit/msconfig/cmd dan menjalankan file setup/install maka Solow akan mengarahkan untuk menjalankan program notepad dengan isi bahasa ASCII. Untuk melakukan hal tersebut ia akan membuat string berikut:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe - debugger = notepad • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe - debugger = notepad • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe - debugger = notepad • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe - debugger = notepad • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe - debugger = notepad • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe - debugger = notepad • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

-

debugger = notepad

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe - debugger = notepad

Selain itu Solow juga akan membuat string pada registri berikut: •

HKEY_CLASSES_ROOT\VBSFile

 DefaultIcon = shell32.dll,2

Solow juga akan meninggalkan jejak lainnya yakni dengan merubah nama pemilik Windows menjadi r4n694-24y dan organisasi pemilik Windows menjadi “Don't Panic, System anda sudah kami ambil alih !”. Untuk Solow varian awal tidak akan merubah registri “Owner” dan “Organization”. Untuk melakukan hal tersebut ia akan merubah string registri berikut :

•

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

 RegisteredOrganization = Don't Panic, System anda sudah kami ambil alih !  RegisteredOwner = r4n694-24y (lihat gambar 3)

Gambar 3, Solow merubah nama organisasi dan pemilik Windows

Selain merubah registered owner dan registered organization, Solow juga akan menambahkan caption text pada program “Internet Explorer” dengan tulisan “Hacked by Gozilla” atau “Hacked by zay” , untuk melakukan hal tersebut ia akan membuat string registri berikut:

•

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title

 Window Title = Hacked by Zay Atau  Window Title = Hacked by Godzilla (lihat gambar 4)

Gambar 4, Solow Menambah caption Text Internet Explorer

Jika komputer anda sudah terinfeksi Solow maka anda tidak akan dapat membuka Drive pada komputer anda. Untuk melakukan hal tersebut Solow akan membuat string pada registri berikut :

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2de6727b -e43a-11db-9ad6-806d6172696f}\Shell\AutoRun\command  Default = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2de6727e -e43a-11db-9ad6-806d6172696f}\Shell\AutoRun\command  Default = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs

Aktif secara otomatis saat mencolokkan Flash Disk Sebagai media penyebarannya, Solow masih menggunakan Disket/Flash Disk dengan membuat file Autorun.inf dan r4n694-24y.dll.vbs atau MS32DLL.dll.vbs . File Autorun.inf ini berisi script untuk

menjalankan file r4n694-24y.dll.vbs atau MS32DLL.dll.vbs sehingga Solow akan aktif secara otomatis setiap kali user mencolokkan Disket/Flash Disk tanpa perlu menjalankan file tersebut.

Kedua file ini juga akan dibuat di setiap Drive yang ada dengan tujuan agar ia dapat aktif secara otomatis dengan hanya mengkases Drive tersebut.

Cara membersihkan Solow secara manual •

Putuskan jhubungan komputer yang akan dibersihkan dari jaringan.

• Matikan / Disable “System Restore” untuk sementara selama proses pembersihan berlangsung <Jika menggunakan Windows ME/XP>. • Matikan proses virus yang aktif di memori. Untuk mematikan proses virus ini anda dapat menggunakan tools “proceexp” http://download.sysinternals.com/Files/ProcessExplorer.zip, kemudian matikan proses “wsscript” (lihat gambar 5)

Gambar 5, Mematikan proses “WSScript”

•

Hapus file induk dan autorun.inf di disetiap drive termasuk flash disk

 %Drive%:\>MS32DLL.dll.vbs atau r4n694-24y.dll.vbs  “C:\MS32DLL.dll.vbs” atau “C:\WINDOWS\r4n694-24y.dll.vbs”  %Drive%:\>Autorun.inf Catatan: %Drive% menunjukan Partisi Hard Disk termasuk Flash Disk

Untuk mempermudah proses penhapusan anda dapat menggunakan tools Pocket Killbox http://www.bleepingcomputer.com/files/killbox.php kemudian hapus file tersebut diatas dengan menentukan lokasi file tersebut berada. (lihat gambar 6)

Gambar 6, Menghapus file induk Solow

• Hapus string registri yang dibuat oleh virus, untuk mempercepat proses penghapusan, salin skrip dibawah ini pada program notepad dan simpan dengan nama Repair.inf kemudian jalankan dengan cara:

 Klik kanan Repair.inf  Klik Install

[Version] Signature="$Chicago$" Provider=Vaksincom Oyee

[DefaultInstall] AddReg=UnhookRegKey DelReg=del

[UnhookRegKey] HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*" HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*" HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*" HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*" HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1"" HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*" HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe" HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe" HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe" HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe" HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1 HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOwner,0, "Owner" HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOrganization,0, "Organization"

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistriTools HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NOFind HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NORun HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced, hidden HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, r4n694-24y HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, ms32dll HKCR, VBSFile, DefaultIcon HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Msconfig.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

• Untuk pembersihan optimal dan mencegah infeksi ulang gunakan Norman Virus Control dengan update terakhir yang dapat mendeteksi dan membasmi virus ini dengan baik. •

Aktifkan kembali / enable “System Restore” <jika menggunakan Windows ME/XP>

Tips menghadapi autorun Flash Disk Kebanyakan virus yang beredar akan membuat file Autorun.inf/Desktop.ini/Folder.htt disetiap Drive termasuk di Disket/Flash Disk dengan tujuan agar virus tersebut dapat aktif secara otomatis setiap kali user akses ke Drive tersebut.

Berikut tips yang dapat dilakukan agar skrip tersebut tidak akan dijalankan setiap kali user akses ke Drive tersebut yakni:

• • • •

Klik [Start] Klik tombol [Run] Pada dialog box “Run” ketik “GPEDIT.MSC” kemudian tekan tombol “enter” Pada layar “Group Policy” klik “Administrative Templates” pada menu “User Configuration” (lihat gambar 7)

Gambar 7, Membuka Group Policy Windows

• •

Kemudian klik “System” Pada menu “system” tersebut klik kanan “Turn off Autoplay” kemudian pilih “Properties”

•

Pada layar “Turn off Autoplay properties” o Klik tabulasi “Setting” o Pilih option “Enable” o Pada menu “Turn off Autoplay on” pilih “All Drives” o Klik Tombol “Apply” o Klik Tombol “OK” (lihat gambar 8)

Gambar 8, Mematikan Autorun Drive •

Kemudian tutup layar “Group Policy”

Aj Tau

[email protected]

PT. Vaksincom Jl. Tanah Abang III / 19E

Jakarta 10160

Ph : 021 3456850 Fx : 021 3456851