Serangan Virus dari Vietnam

Mei 17, 2008 in Anti virus
Tags: antivirus, vietnam, virus

Di awal tahun 2008 ini pengguna komputer di Indonesia cukup direpotkan oleh serangan virus Vietnam yang masih merupakan varian Sohanad, virus ini juga mempunyai karakteristik yang sama dengan kebanyakan virus local buatan Indonesia, yaitu melakukan blok atas beberapa fungsi utility windows seperti TaskManager, Registry Editor, Folder Option, MS Config dan Command Prompt. Jika dalam computer korban terinstall YM (Yahoo Messenger) makan dia akan menggunakan YM ini sebagai media penyerangannya, yaitu dengan cara secara otomatis mengaktifkan YM anda, dan kemudian mengirimkan pesan-pesan dalam bahasa Vietnam untuk mengklik link yang akan diarahkan untuk mendownload dan menjalankan virus (link ditujukan ke sebuah URL dari sebuah hostingan gratis 0catch.com), alamat linknya adalah http://nhatquanglan1.0catch.com. Tapi sekarang link tersebut sudah dinonaktifkan oleh 0catch.

Varian virus Sohanad sebenarnya sudah muncul sejak tahun 2006, tetapi seperti halnya varian-varian virus yang lain yang hoby bermetamorfosis, sampai sekarang varian-varian Sohanad baru dan cukup merepotkan para vendor antivirus karena sulit terdeteksi.

Dibawah ini adalah salah satu varian Sohanad yang terdeteksi Norman Security Suite, sebagai Dloader.HDZD

Ciridari File Virus ini diantaranya adalah:

• Menggunakan icon folder
• Memiliki ukuran file 249 KB (254.464 Byte)
• Type file “application”
• Ekstensi “.exe”

Efek yang ditimbulkan dari virus Dloader.HDZD antara lain:

• Melakukan blok beberapa fungsi windows (Task Manager, Registry Editor, Folder Option)
• Mematikan fungsi windows seperti System Configuration Utility / MS Config, dan Command Prompt.
• Membuat Schedule tasks pada Windows, dengan membuat 2 file job (at1.job & at2.job), yang kemudian akan mengeksekusi file virus setiap jam 9 pagi setiap hari.
• Mengirimkan pesan dalam bahasa Vietnam dengan link untuk mendownload virus (saat ini link sudah tidak aktif)

Dibawah ini beberapa bentuk pesan yang dikirimkan :

• E may, vao day coi co con nho nay ngon lam http://nhatquanglan1.0catch.com
• Vao day nghe bai nay di ban http://nhatquanglan1.0catch.com
• Biet tin gi chua, vao day coi di http://nhatquanglan1.0catch.com
• Trang Web nay coi cung hay, vao coi thu di http://nhatquanglan1.0catch.com
• Toi di lang thang lan trong bong toi buot gia, ve dau khi da mat em roi? Ve dau khi bao nhieu mo mong gio da vo tan… Ve dau toi biet di ve dau? http://nhatquanglan1.0catch.com
• Khoc cho nho thuong voi trong long, khoc cho noi sau nhe nhu khong. Bao nhieu yeu thuong nhung ngay qua da tan theo khoi may bay that xa… http://nhatquanglan1.0catch.com
• Tha nguoi dung noi se yeu minh toi mai thoi thi gio day toi se vui hon. Gio nguoi lac loi buoc chan ve noi xa xoi, cay dang chi rieng minh toi… http://nhatquanglan1.0catch.com
• Loi em noi cho tinh chung ta, nhu doan cuoi trong cuon phim buon. Nguoi da den nhu la giac mo roi ra di cho anh bat ngo… http://nhatquanglan1.0catch.com
• Tra lai em niem vui khi duoc gan ben em, tra lai em loi yeu thuong em dem, tra lai em niem tin thang nam qua ta dap xay. Gio day chi la nhung ky niem buon… http://nhatquanglan1.0catch.com

Walaupun saat ini link virus tersebut sudah dibanned, namun bukan berarti penyebaran virus tersebut sudah berakhir, karena bisa saja si pembuat virus mengupload varian virus baru ke website lain dan mengarahkan korbannya untuk mendownload ke link tersebut. Karena itu bagi pengguna YM harus lebih berhati-hati, jangan mudah mengklik link apapun yang dikirimkan oleh teman anda, atau orang lain, apalagi orang yang belum anda kenal. Dan perlu dicatat virus ini juga mempunyai kemampuan lebih, jika dalam computer korban tidak terinstall YM, maka dia akan melakukan copy paste link pesan tersebut pada program aplikasi Office yang sedang aktif.

Berikut dibawah ini file virus yang dibuat oleh virus Dloader.HDZD

· C:\WINDOWS\SSCVIIHOST.exe

· C:\WINDOWS\system32\autorun.ini

· C:\WINDOWS\system32\setting.ini

· C:\WINDOWS\system32\blastclnnn.exe

· C:\WINDOWS\system32\SSCVIIHOST.exe

· \autorun.inf (pada usb/removable drive)

· \New Folder.exe (pada usb/removable drive)

Berikut string registry yang dibuat oleh virus Dloader.HDZD

Agar dapat aktif saat komputer dijalankan, virus akan membuat string registry sebagai berikut :

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Yahoo Messengger = C:\WINDOWS\system32\ SSCVIIHOST.exe

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon

Shell = Explorer.exe SSCVIIHOST.exe

· HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run

Yahoo Messengger = C:\WINDOWS\system32\ SSCVIIHOST.exe

Untuk melakukan blok terhadap fungsi windows, virus membuat string sebagai berikut :

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ Explorer

NoFolderOptions = 1

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ System

DisableTaskMgr = 1

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ System

DisableRegistryTools = 1

Agar dapat aktif dan memanfaatkan schedule task, virus membuat string berikut :

· HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule

AtTaskMaxHour = 0

Untuk mempermudah proses penyebaran dalam jaringan, virus membuat string berikut :

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ WorkgroupCrawler\Shares

Shares = \New Folder.exe

Selain menggunakan media YM, virus ini juga memanfaatkan media “flashdisk” ataupun “disket”, serta memanfaatkan system autoplay windows agar dirinya dapat aktif secara otomatis ketika sebuah flashdisk dicolokan ke computer. Dan file yang dibuat adalah:

· autorun.inf

· New Folder.exe

Selain itu dalam jaringan intranet virus ini juga memanfaatkan file sharing, dan menyebarkan diri dengan membuat file virus “New Folder.Exe”, kemungkinan ini yang menyebabkan virus ini memberikan efek yang cukup besar karena di Indonesia penggunaan Flash disk termasuk paling tinggi di dunia.

Cara membersihkan virus Dloader.HDZD:

· Sebaiknya lakukan pembersihan melalui mode safe mode.

· Matikan proses virus. Gunakan tools pengganti task manager, seperti Itty Bitty Process Manager

Lakukan kill process, pada beberapa file virus yang aktif yaitu :

· C:\WINDOWS\system32\SSCVIIHOST.exe

· C:\WINDOWS\SSCVIIHOST.exe (jika aktif)

· C:\WINDOWS\system32\blastclnnn.exe (jika aktif)

· New Folder.exe (jika aktif)

· Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

[Version]

Signature=”$Chicago$”

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,”"”%1″” %*”

HKLM, Software\CLASSES\comfile\shell\open\command,,,”"”%1″” %*”

HKLM, Software\CLASSES\exefile\shell\open\command,,,”"”%1″” %*”

HKLM, Software\CLASSES\piffile\shell\open\command,,,”"”%1″” %*”

HKLM, Software\CLASSES\regfile\shell\open\command,,,”regedit.exe “”%1″”"

HKLM, Software\CLASSES\scrfile\shell\open\command,,,”"”%1″” %*”

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, “Explorer.exe”

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Run, Yahoo Messengger

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler\Shares, Shared

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr

HKLM, SYSTEM\CurrentControlSet\Services\Schedule, AtTaskMaskHour

HKU, .DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run, Yahoo Messengger

Gunakan notepad, kemudian simpan dengan nama “Repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

Berikut link “Repair.inf” untuk Dloader.HDZD :

http://www.4shared.com/file/47525698/d650cf29/Repair_Dloader-HDZD.html?dirPwdVerified=90ad42df

Sumber : www.vaksin.com