5 Cara Menganalisa Virus

Adang Juhar Taufik, Senior Vaksinis Vaksincom pada saat seminar Vaksincom, memberi penjelasan betapa sederhananya tahapan analisis virus yang menyusup pada komputer bersistem operasi Windows, khususnya jika yang menyerang virus lokal.

“Untuk virus lokal sendiri sebenarnya mudah untuk menganalisisnya, karena pasti karakterisitknya sama,” ujarnya. Adang pun mengatakan bahwa pertama kita harus memiliki internet, untuk mencari tools-tools yang secara gratis bisa diunduh di beberapa situs.

Asia Terjangkit “Wabah” W32.Temphid

Symantec Security Response mendeteksi adanya ancaman rootkit baru yang disebut “Tmphider.” Ancaman ini telah mencuri perhatian karena menggunakan teknik yang belum pernah ditemui sebelumnya dan tidak seperti biasanya, disebarkan melalui drive USB.

Menurut pengamatan, secara global, Indonesia merupakan negara kedua setelah India yang menjadi target utama serangan “Tmphider” tersebut.

“Symantec telah menambah pendeteksi untuk ancaman ini mulai 13 Juli,” sebut juru bicara Symantec pada keterangannya, 20 Juli 2010. “Ada banyak file yang terdiri dari threat installer dan komponen rootkit yang berkaitan dengan ancaman ini,” sebut Symantec.

Beberapa nama file dari komponen-komponen tersebut antara lain adalah ~WTR4141.tmp, ~WTR4132.tmp, Mrxcls.sys, Mrxnet.sys. Selain itu, ancaman tersebut menciptakan file shortcut/link yang berkaitan di dalam sistem. Contohnya adalah Copy of Shortcut to.lnk dan Copy of Copy of Shortcut to.lnk.

Minerva.D: Worm Berbentuk Game

Minerva.D. Bermain game memang menyenangkan, tetapi bagaimana jika game yang dimainkan itu sebenarnya worm? Minerva.D merupakan contoh worm berbentuk game.  Dibuat dengan compiler FreeBASIC,  di-pack dengan UPX dan berukuran 333 KB,  worm ini menyimpan beberapa game yang ditampilkan secara acak setiap kali dijalankan.Game yang ditampilkan Minerva merupakan game yang dibuat dengan Flash, seperti Hangman, Mario Bros, Noughts and Crosses, PinWheel, dan lain-lain.  Sekilas tidak ada yang aneh, tetapi seperti kebanyakan malware lainnya, ia akan memanipulasi registry dan aktif di memory pada saat startup Windows.

Metamorpica: Perusak Sistem Operasi

Metamorpica. Worm ini dibuat dengan menggunakan bahasa pemrograman Visual Basic, berukuran 460 KB tanpa di-pack. Sekilas  tampak seperti program VB sederhana, yang bahkan masih menggunakan icon standar aplikasi Visual Basic. Tetapi jika Anda menjalankannya, efek yang ditimbulkan sangat merugikan. Worm ini akan menduplikasikan dirinya dengan meniru seluruh nama file pada hard disk, dan menghapus file aslinya.  Proses ini dilakukan secara rekursif, dan berakibat fatal karena akan menghapus juga file-file penting yang tidak terproteksi, termasuk file yang digunakan oleh sistem operasi, sehingga Anda harus memulihkan sistem dengan cara restore sistem atau install ulang.  Dengan payload seperti ini, worm ini memang kurang berpotensi menyebar luas melalui pertukaran media disk, karena host yang dikuasainya akan lumpuh dalam waktu singkat.  Tetapi tetap waspada karena file malware juga dapat menyebar dengan cara lain,  seperti  melalui Internet/file sharing.

Restui: Menyembunyikan File Excel

Restui. Merupakan sebuah worm berukuran sekitar 140 KB tanpa di-pack, dibuat dengan bahasa pemrograman Visual Basic, dan memiliki icon menyerupai spreadsheet Microsoft Excel.  Membuat file duplikat dirinya dengan meniru file Excel (extension *.xls)  yang ditemukan, sementara file asli akan disimpan pada folder WINDOWS\system32\MB.

Dengan masih menyimpan file asli, worm mampu menampilkan spreadsheet yang sebenarnya saat pengguna mengeksekusi file worm, hal ini dilakukan agar pengguna tidak curiga.  Kemungkinan masih terdapat bug pada pemrograman worm ini yang dapat merugikan pengguna, karena ada kalanya beberapa file Excel yang dicopy oleh worm ke folder WINDOWS\System32\MB akan rusak dan berukuran 0 bytes, jika ini terjadi, worm hanya menampilkan spreadsheet kosong.

Autoit-ReplaceIcon: Worm Dengan Icon yang Beragam

Autoit-ReplaceIcon. Worm unik ini berbasis script AutoIt dan memiliki kemampuan polymorphic. Ukuran filenya dapat bervariasi, demikian pula file autorun.inf yang diciptakan. Bahkan keterangan bahasa pada saat klik kanan – Properties – Version – Language, juga dapat berbeda-beda pada masing-masing file worm yang tercipta. Nama file worm yang menyebar melalui media disk juga tampak acak walaupun selalu berekstensi *.exe dan terdiri dari 6 karakter. Contohnya:

VIRUS === Amis: Menyamar Sebagai File Mp3

Amis. Tipuan dengan teknik social engineering masih menjadi senjata ampuh malware agar pengguna menjalankannya, sebagaimana yang dilakukan oleh worm ini.  Dengan icon menyerupai aplikasi Winamp dan membuat file tampak memiliki ekstensi *.mp3, sekilas file worm tersebut merupakan file mp3 biasa yang siap untuk didengarkan.  Tetapi jika pengguna cukup waspada, file worm ini mudah dikenali dari type, size, maupun tampilan property yang tampak saat cursor mouse diarahkan pada file tersebut (seperti pada gambar).Worm ini dibuat dengan menggunakan bahasa pemrograman Visual Basic, berukuran sekitar 22 KB dalam keadaan di-pack.  Saat aktif, ia akan menutup aplikasi-aplikasi yang memiliki caption antara lain:

FaLoNgel: Beranak Pinak Dalam Hard Drive

FaLoNgel. Melihat screenshot diatas, kehadiran worm ini jelas mudah diketahui, karena ia memanipulasi registry tertentu yang menyebabkan icon yang tampil pada desktop dan menu start menjadi lebih besar dari ukuran default.  Tetapi membersihkannya bukanlah perkara mudah, karena ia akan beranak pinak didalam hard drive membuat ribuan file. Lebih buruk lagi, ia dapat menghapus file-file dengan ekstensi antara lain *.doc, *.html, *.htm, *.db, *.ocx dan menggantinya dengan duplikat worm.Worm ini dibuat dengan menggunakan bahasa pemrograman Visual Basic, berukuran sekitar 35 KB dalam keadaan di-pack.  Ia akan men-disable Comand Prompt, Task Manager, Regedit, juga mengubah beberapa tampilan warna pada Windows.  Folder Windows akan dipenuhi dengan file HTML buatan worm Dengan nama FaLoNgelXXXX.htm dimana XXXX adalah angka yang mencapai ribuan.

TolakBHP: Menyuarakan Protes Lewat Worm

TolakBHP. Malware diciptakan dengan berbagai motif, seperti worm yang satu ini, yang menampilkan pesan menolak komersialisasi pendidikan.  Pesan seperti pada gambar di atas akan tampil saat worm dijalankan, dan setiap kali komputer yang terinfeksi memulai Windows.  Terdapat dua tombol pilihan, jika yang dipilih adalah tombol  “Sepakat Tolak BHP” maka pesan akan tertutup, tetapi jika yang dipilih adalah  “Tidak! Brow”, maka komputer akan shutdown dengan sendirinya.Worm ini menyebar pada root drive dan removable disk dengan nama file: Tolak BHP.flv.exe,  berukuran sekitar 656 KB, dibuat dengan bahasa pemrograman Visual Basic, tanpa di-pack, dan memiliki icon menyerupai file Media Player.

Senseii: Menyembunyikan Drive C

Senseii. Malware berjenis worm VB Script ini berukuran sekitar 59 KB, memiliki cukup banyak payload, seperti menampilkan pesan seperti pada gambar saat  start Windows, atau menyembunyikan drive C melalui manipulasi registry, menyebabkan drive C tidak terlihat pada Windows Explorer.Worm akan menyebar pada removable disk dengan nama senseii.vbe dan desktop.vbs, tidak ketinggalan membuat file autorun.inf yang bertujuan untuk menjalankan worm secara otomatis jika Autorun aktif.