Virus Stuxnet

Jakarta - Virus Stuxnet, atau dikenal juga dengan sebutan Winsta, melahap semua lahan kosong di hardisk hingga penuh. Menurut Alfons Tanujaya, analis antivirus dari Vaksincom, kepada detikINET, Jumat (30/7/2010), Indonesia adalah negara dengan korban Stuxnet terbanyak kedua di dunia setelah Iran.

Virus yang awalnya menyebar dari berbagai situs porno, program bajakan dan konten 'abu-abu' lainnya itu cukup meresahkan. Berikut adalah langkah-langkah membasmi virus itu, seperti dituturkan oleh analis antivirus Vaksincom Adi Saputra:

1. Menggunakan Dr Web CureIt

Adi menyarankan korban Winsta alias Stuxnet itu untuk mengunduh piranti lunak penghapus virus. Removal Tools bernama Dr.Web CureIt itu bisa diunduh dari situs FreeDrWeb.com

2. Perbaiki Registri

Kemudian, Adi menyarankan perbaikan pada regitri Windows yang sudah dimodifikasi oleh virus. Caranya, pertama-tama, salin script di bawah ini ke file Wordpad.

[Version]
Signature="$Chicago$"
Provider=Vaksincom Oyee
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del

[UnhookRegKey]
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, ShowSuperHidden,0x00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, SuperHidden,0x00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, HideFileExt,0x00010001,0
HKLM, SOFTWARE\CLASSES\batfile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\CLASSES\comfile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\CLASSES\exefile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\CLASSES\piffile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

[del]
HKLM, SYSTEM\CurrentControlSet\Services\MRxCls
HKLM, SYSTEM\CurrentControlSet\Services\MRxNet
HKLM, SYSTEM\ControlSet001\Services\MRxCls
HKLM, SYSTEM\ControlSet002\Services\MRxNet
HKLM, SYSTEM\CurrentControlSet\Services\Enum\Root\LEGACY_MRXClS
HKLM, SYSTEM\CurrentControlSet\Services\Enum\Root\LEGACY_MRXNET
HKLM, SYSTEM\ControlSet001\Services\Enum\Root\LEGACY_MRXClS
HKLM, SYSTEM\ControlSet002\Services\Enum\Root\LEGACY_MRXNET

Kemudian, simpan file dengan nama 'repair.inf'. Gunakan pilihan Save as type menjadi Text Document agar tidak terjadi kesalahan. Lalu, klik kanan file 'repair.inf', pilih 'Install' dan restart komputer.

"Bersihkan temporary file, hal ini agar dapat mencegah sisa trojan yang mencoba aktif kembali. Gunakan tools seperti ATF Cleaner atau gunakan fitur Windows yaitu Disk Clean-Up," tulis Adi.

3. Solusi Darurat

Selain itu, berikut adalah script darurat yang bisa digunakan untuk mencegah agar Winsta tidak kembali menginfeksi. Simpan script berikut dengan nama Winsta.bat (tipe file: Text)

@echo off
del /f c:\windows\system32\winsta.exe
rem rd c:\windows\system32\winsta.exe
md c:\windows\system32\winsta.exe
del /f c:\windows\system32\drivers\mrxnet.sys
rem rd c:\windows\system32\drivers\mrxnet.sys
md c:\windows\system32\drivers\mrxnet.sys
del /f c:\windows\system32\drivers\mrxcls.sys
rem rd c:\windows\system32\drivers\mrxcls.sys
md c:\windows\system32\drivers\mrxcls.sys
attrib +r +h +s c:\windows\system32\winsta.exe
attrib +r +h +s c:\windows\system32\drivers\mrxnet.sys
attrib +r +h +s c:\windows\system32\drivers\mrxnet.sys

Setelah selesai, klik ganda file Winsta.bat yang dihasilkan. Untuk pembersihan yang optimal dan mencegah infeksi ulang, scan kembali menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik.

dikutip dari DetikInet.

Readmore »

Virus Rontokbro

Jakarta - Bagi pengguna komputer pasti tidak asing dengan Rontokbro, virus lokal yang bisa dibilang sebagai 'biang kerok'. Nah, setelah lama tenggelam, Rontokbro kini kembali muncul dengan jurus yang sedikit berbeda.

Menurut analis virus dari Vaksincom, Adang Jauhar Taufik, teknik baru ini dilancarkan agar ia tidak mudah dicurigai user.

Rontokbro dianggap sebagai 'biang kerok' sebab ia menjadi inspirasi tersendiri bagi para pembuat virus lokal yang beredar saat ini. Walau virus lokal sekarang memiliki beragam daya serang tetapi ada sebagian taktik yang biasa digunakan Rontokbro. Seperti melumpuhkan fungsi Windows, membuat file duplikat sampai aktif pada mode 'safe mode' atau 'safe mode with command prompt'.

"Sama seperti varian sebelumnya, Rontokbro yang baru dibuat dengan Visual Basic berukuran 118 KB. Kali ini ia tidak memakai icon 'Folder' untuk mengelabui user karena saat ini user sudah mengetahui kelemahan tersebut, tetapi ia akan menyamarkan dirinya dengan icon aplikasi sehingga tidak mengundang kecurigaan, sebagai pendukung ia akan menggunakan type file sebagai Application," tukasnya.

Adang menambahkan, pada saat user menjalankan file yang sudah terinfeksi maka akan menampilkan jendela Windows Explorer kemudian akan membuat beberapa file induk yang akan diaktifkan secara otomatis pada saat komputer dinyalakan.

Agar tidak dicurigai user, untuk setiap file induk yang dibuat akan mempunyai nama yang sama dengan nama file system Windows seperti [smss.exe, winlogon.exe, services.msc atau lsass.exe] tetapi jika Anda jeli maka dengan mudah akan diketahui bahwa sebenarnya file tersebut merupakan file virus hanya dengan melihat lokasi penyimpanan file tersebut.

Melumpuhkan

Untuk mempertahankan dirinya, virus yang dideteksi Norman Security Suite sebagai W32/Rontokbro.GOL itu akan melumpuhkan beberapa fungsi Windows seperti Task Manager, Regedit atau Folder Options.

"Tujuannya untuk mempersulit user melumpuhkan dirinya, selain itu komputer akan merestart secara otomatis setiap kali user menjalankan tools, file atau folder yang mempunyai nama tertentu (biasanya berhubungan dengan security)," kata Adang.

Aksi lain dari virus ini adalah membuat file duplikat di setiap folder dan subfolder, file duplikat ini akan mempunyai nama yang sama dengan folder atau subfolder target, Anda tidak perlu khawatir karena virus ini hanya akan membuat file duplikat di Flash Disk saja.

"Sama seperti yang dilakukan oleh versi sebelumnya, ia akan mengambil semua alamat email yang didapatkan di komputer target, alamat ini akan disimpan di sebuah folder berikut dalam bentuk file dengan ekstensi INI," ia menandaskan.
( ash / rns )


dikutip dari DetikInet.

Readmore »