Perhatian para pengguna komputer dalam beberapa bulan terakhir ini banyak tersita pada Stuxnet, Sality, Virut dan Shortcut. Termasuk perkembangan virus lokal yang secara tidak langsung menantang kreativitas programmer-programmer untuk memunculkan program antivirus lokal seperti Artav yang digawangi oleh anak SMP :) . Perhatian user yang cukup besar terhadap virus lokal jangan sampai mengakibatkan lengah dengan keberadaan virus mancanegara, seperti salah satu virus yang sedang menyebar saat ini. Virus ini termasuk golongan trojan/backdoor, ia akan aktif jika komputer target terkoneksi internet dan salah satu senjata pamungkasnya yang berbahaya dan membuat pusing pengguna komputer adalah melakukan download virus lain. Hebatnya, nama dan jenis virus yang didownload akan berbeda-beda untuk setiap komputer target baik dari nama maupun ukurannya, hal inilah yang menyebabkan banyak program antivirus sekalipun kesulitan untuk melakukan deteksi dan pembersihan. Jika file tersebut berhasil di download, maka secara otomatis akan di aktifkan di komputer dan melakukan serangkaian kode jahat yang sudah ditanam didalam tubuhnya.
Secara umum virus ini cukup merepotkan, ia akan selalu melakukan koneksi ke internet untuk memanggil alamat website yang sudah ditentukan yang akan ditampilkan secara terus menerus sehingga mengakibatkan komputer menjadi lambat pada saat di akses, terlebih virus ini akan menginjeksi file yang mempunyai ekstensi EXE, DLL dan HTM/HTML baik berupa file program maupun file system Windows sehingga diperlukan langkah pembersihan khusus.
Meski terbilang baru, namun virus Ramnit menyebar dengan sangat cepat. Berikut adalah ciri-ciri komputer yang terjangkit virus tersebut.
1. Virus akan membuat browser Internet Explorer menampilkan halaman yang berisi penawaran iklan, game, dan terkadang gamabar porno dalam jumlah yang banyak secara terus menerus selama komputer terkoneksi internet.
2. Gejala selanjutnya adalah, icon removable media berubah menjadi icon folder. Setelah itu pengguna tidak dapat mengakses flashdisk tersebut dengan peringatan Access is denied. Dan terakhir muncul pula pesan Compressed (zipped) Folders pada saat mengklik drive tersebut.
3. Muncul banyak file dengan nama file ‘Copy of Shortcut to (1).lnk’ s/d ‘Copy of Shortcut to (4).lnk’ di flashdisk pengguna. File ini digunakan oleh virus untuk menggandakan dirinya ketika dieksekusi pengguna.
4. Salah satu hal yang unik dan membuat virus ini sangat mudah aktif dan sulit dibasmi adalah setiap kali user melakukan klik kanan. Selain menampilkan menu klik kanan, secara tidak langsung pengguna komputer juga telah menjalankan virus ini.
Ciri-ciri file induk virus
Sebagai informasi, virus ini akan menyebar menggunakan Removable media (USB Flash) dengan memanfaatkan fitur autorun Windows. Agar virus dapat aktif secara otomatis, ia akan membuat file autorun.inf, selain itu ia akan membuat 4 (empat) buah file shortcut dengan nama ”Copy of Shortcut to (1).lnk” s/d “Copy of Shortcut to (4).lnk”. Jika user menjalankan salah satu ke 4 file shortcut tadi maka secara otomatis akan menjalankan file virus yang sudah dipersiapkan di direktori [%USB Flash%:\RECYCLER\%nama_acak%.exe].
Virus ini juga akan menginjeksi file yang mempunyai ekstensi EXE, setiap file EXE yang terinjeksi akan mempunyai ukuran 107 KB lebih besar dari ukuran asalnya. Pada saat menjalankan file EXE yang sudah terinjeksi maka virus akan membuat file duplikat yang di simpan di direktori sama dengan format %nama_file_asal%mgr.exe (contohnya: jika user menjalankan file yang sudah di injeksi dengan nama ”ATF-Cleaner.exe” maka akan muncul file duplikat virus dengan nama ”ATF-Cleanermgr.exe” dengan ukuran 105 kb, file duplikat ini dideteksi sebagai Trojan.Packed.21232. Ramnit akan menduplikasikan file tersebut di dalam folder yang sama.
Registri Windows
Untuk memastikan agar dirinya dapat aktif secara otomatis pada saat komputer diaktifkan, ia akan membuat dan merubah beberapa registri berikut:
* HKEY_CURRENT_USER\Software\CE8SIIFGSU
* HKEY_CURRENT_USER\Software\Microsoft\Handle
* HKEY_CURRENT_USER\Software\NtWqIVLZEWZU\%acak%
* HKEY_CURRENT_USER\Software\XML
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SSHNAS
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
o CE8SIIFGSU = C:\DOCUME~1\%user%\LOCALS~1\Temp\Nh1.exe
o Microsoft Driver Setup = C:\Windows\ggdrive32.exe
* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones
Menampilkan website
Komputer yang sudah terinfeksi virus akan selalu melakukan koneksi internet dan memanggil website secara terus menerus dengan isi yang berbeda-beda, koneksi yang dilakukan secara terus menerus ini mengakibatkan komputer menjadi lambat pada saat digunakan. Dalam beberapa kasus virus ini juga menyebabkan “Virtual Memory Minimum Too Low”
by: af'idatul m
Tidak ada komentar:
Posting Komentar