USB Worm attack bagian II

Sesuai dengan janji saya pada bagian pertama, pada bagian kedua ini saya akan menjabarkan technical detail virus yang tergolong canggih ini. Baiklah, dimulai dari scanning flashdisk milik seorang teman, saya hapus semua yang terkait dengan virus ini namun saya karantina 1 file yang mengandung virus. File ini saya namakan sample_virus.exe. Untuk informasi, saya jabarkan sekalian proses infeksi pada flashdisk hingga kemudian bisa terinstall di komputer.
Scan Flashdisk
Seperti yang pernah saya utarakan, bahwa hanya 2 buah antivirus terkenal (kebetulan memang hanya ada 2 komputer yang terinstall 2 buah antivirus tersebut) yaitu Avast Antivirus dan Avira Antivir yang mendeteksi keberadaan virus ini pada sebuah flashdisk milik teman. Terdeteksi oleh Avast sebagai Win32:Trojan-gen {Other} dan oleh Antivir sebagai R/Crypt.PEPM.Gen, sedangkan oleh Ansav dikenal dengan nama W32/Sensus. Saya tidak langsung menghapus semua file virus dengan antivirus, namun saya menghapusnya secara manual. Berikut langkah-langkahnya:

1. Buka command prompt
2. Pindah ke drive letter milik flashdisk (misal F:), ketikkan F:
3. Reset semua attribute file dan folder pada flashdisk, lakukan pada command prompt seperti berikut: F:>attrib -s -r -h /s /d
4. Buka My Computer –> Search, tentukan tempat pencarian hanya pada flashdisk (drive F: saja), lalu masukkan query *.exe pada kolom pencarian. Hal ini untuk mencari file dengan ekstensi .exe. Pastikan File yang dihapus hanyalah file dengan icon Word Document.
5. Yang saya lakukan berikutnya adalah mengambil satu contoh file virus dan mengurungnya dengan kompresi file (saya menggunakan 7zip) dan dipassword.
6. Cek file autorun.inf, perhatikan path tempat virus bersemayam.
7. Cek direktori RECYCLER\[subfolder] apakah ada file berekstensi .exe, kalau ada langsung hapus.
8. Safe and Remove Hardware –> Cabut flashdisk.

Percobaan Install Virus
Virus yang barusan saya karantina akan dianalisa kerjanya, maka saya sengaja menjalankan virus tersebut pada sistem  Windows XP di VMware. Setelah diinstall, saya menjalankan Process Explorer dari SysInternals dan hasilnya menunjukkan bahwa virus menjalankan file-file berikut:

• services.exe
• WINWORD.exe

Semua proses ini akan menjadi janggal ketika saya tidak menginstall apa-apa pada sistem operasi Windows XP tersebut, karena memang masih fresh install. Yang mengejutkan, services.exe membawahi program ping.exe untuk melakukan ping ke www.putera.com sebanyak 30000 kali, hmm..DoS?
Dari ketiga proses tersebut, analisa dilanjutkan untuk mencari keberadaan ketiga file tersebut.

• File services.exe terdapat pada direktori C:\>Program Files\mIRC\IRC Bot\
• File WINWORD.EXE terdapat pada direktori C:\>Program Files\Microsoft Office\

Khusus file services.exe, direktori C:\>Program Files\mIRC\IRC Bot\ akan tidak terlihat, saya menggunakan metode attrib seperti sebelumnya untuk mengeluarkan direktori IRC Bot. Setelah mengetahui cara kerja virus, saya melakukan pemberangusan proses yang berjalan di belakang layar tersebut menggunakan Process Explorer. Dengan memilih Kill Process Tree pada ketiga proses, maka proses yang “nebeng” ketiga program tersebut ikut diberangus. Untuk sementara virus tidak berjalan, namun “sisa-sisa kotoran” virus ini masih ada di komputer kita.
Pembersihan
Sebelum dilakukan pembersihan, yang paling penting adalah mematikan System Restore. Pembersihan kali ini menggunakan program Autoruns keluaran SysInternals. Saya menjalankan program Autoruns dan mencari file-file yang dimaksud satu persatu pada tab-tab menu program Autoruns. Berikut adalah file-file yang harus dibuang dari list.

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Acha.exe
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AmyMastura.exe
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\csrsz.exe
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\registry.exe
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wscript.exe
• Adobe Gamma Loader.com (pada menu Startup)

Sedangkan direktori tempat bersemayam virus-virus ini pun harus segera diberangus.

• C:\>Program Files\mIRC\IRC Bot\*.*
• C:\>Program Files\Microsoft Office\WINWORD.EXE
• C:\>Documents and Settings\[user]\Start Menu\Programs\Startup\Adobe Gamma Loader.com

Untuk PC yang terinstall Microsoft Office, silakan copy file WINWORD.EXE dan CTFMON.EXE dari PC yang lain karena file sudah terinfeksi oleh virus tersebut.
Selanjutnya adalah pembersihan di Registry. Untuk mempermudah kerja kita, saya sarankan menggunakan plugin RegistryFX dari Ansav Antivirus, sangat powerful. Silakan download Ansav Antivirus. Setelah itu jalankan Ansav dan pilih Plugins –> RegistryFX, saya menjalankan sesuai pilihan yang sudah ada. Lalu pada Registry:

• [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
  • Shell = “Explorer.exe, %ProgramFiles%\Microsoft Office\WINWORD.EXE”

Hapus value %ProgramFiles%\Microsoft Office\WINWORD.EXE, karena value ini yang selalu menjalankan WINWORD.EXE setelah sistem start. Lalu jalankan lagi fungsi Windows Defender, Automatic Updates, Windows Firewall, dan lainnya.
Demikian penjelasan detil teknis terhadap virus yang meresahkan kampus belakangan ini. Semoga bermanfaat.