Proklamasi: Semangat Perjuangan ala Malware

Proklamasi. Sesaat kita terlupa oleh banyaknya malware yang siap menyerang user melalui email seperti Antivirus Palsu dan ancaman paling besar adalah melalui flash disk seperti Ramnit yang saat ini masih banyak menyebar di masyarakat. Akan tetapi, masih ada saja virus maker lokal yang membuat malware tanpa melupakan ciri khas utamanya yaitu pesan-pesan yang menandakan kehadirannya, seperti salah satu malware yang kami beri nama Proklamasi sesuai dengan pesan yang dibuatnya seperti pada gambar di atas.

A. Info File
Nama Worm : Proklamasi Asal : Indonesia Ukuran File : 72.0 KB (73,728 bytes) Packer : ~ Pemrograman : MS Visual Basic 5.0-6.0 Icon : Salah satu Antivirus lokal Tipe : Worm
B. About Malware
Sedikit flash back ke salah satu malware yang pernah di bahas di VirusIndonesia.com awal januari 2010 http://virusindonesia.com/2010/01/08/zhola-pcmav-22c-update-build1/ yang hadir dengan menggunakan icon salah satu antivirus lokal.  Ciri utamanya adalah mengeluarkan pesan palsu setelah worm di jalankan. Dan tanpa sadar, user sudah terinfeksi oleh worm yang satu ini. Worm Proklamasi juga menggunakan teknik social engenering dengan menggunakan icon yang sama seperti antivirus lokal tersebut. Yang berbeda adalah source code yang digunakan bukan hasil modifikasi seperti worm Zhola, selain itu worm ini juga dikhawatirkan akan menyebar luas karena setelah kami mendapatkan sampelnya, hanya beberapa antivirus luar negeri yang mampu mendeteksinya sebagai malware menggunakan teknik heuristik.
Efek yang didapatkan setelah worm ini aktif cukup berbeda karena bagi user yang sudah terinfeksi akan lebih mengenal beberapa lagu-lagu Bondan Prakoso & F2B.
C. Companion/File yang dibuat
Setelah aktif di memori, worm Proklamasi akan membuat beberapa file dan dua buah folder pada setiap drive termasuk removable disk:

• Lirik Bondan Prakoso & F2B – Kita Selamanya.exe
• Lirik Bondan Prakoso & F2B – Tetap Semangat.exe
• Lirik Bondan Prakoso & F2B – Ya Sudahlah.exe
• Lirik Bondan Prakoso & F2B – Tidurlah.exe
• Lirik Bondan Prakoso & F2B – Berawal Dari Mimpi.exe
• Lirik Bondan Prakoso & F2B – For All.exe
• Lirik Bondan Prakoso & F2B – SOS.exe
• Lirik Bondan Prakoso & F2B – Kroncong Protol.exe
• Lirik Bondan Prakoso & F2B – No With Me.exe
• Lirik Bondan Prakoso & F2B – Respect.exe
• Lirik Bondan Prakoso & F2B – Expresikan.exe
• Lirik Bondan Prakoso & F2B -waktu.exe
• Lirik Bondan RIP (Rhyme In Peace).exe
• Trik Bisnis Online Murah Meriah.exe

Folder yang dibuat dengan nama “autorun.inf” dan “Smadavlock” serta di dalamnya terdapat 1 buah file dengan nama readme.exe. Meskipun tidak menggunakan autorun.inf, Proklamasi juga menggunakan shorcut yang berfungsi untuk memanggil file readme.exe pada kedua folder tersebut.
D. Hasil Infeksi
Terdapat 3 proses Proklamasi yang ada di dalam berjalan di memory. Keadaan akan semakin memburuk dengan munculnya peringatan Windows File Protection
Agar berjalan otomatis bersamaan dengan proses startup windows, Proklamasi membuat beberapa hots antara lain seperti:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\DeltaRTP
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\DelRTP
C:\WINDOWS\dllhoss.exe
C:\WINDOWS\Temp.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\systray.exe
E. Pembersihan
Malware ini telah dikenali dan dapat dibersihkan pada PCMAV 5.2 Update Build1 ini berikut ini.
PCMAV 5.2 Update Build1
Untuk membasmi virus ini ataupun varian virus lainnya, PCMAV 5.2 Update Build1 telah hadir dengan penambahan 105 pengenal varian virus baru. Bagi Anda pengguna PCMAV 5.2, sangat disarankan segera melakukan update, agar PCMAV Anda dapat mengenali dan membasmi virus lebih banyak lagi.
Untuk mendapatkan dan menggunakan update PCMAV ini, Anda cukup menjalankan PCMAV.exe, komputer harus dalam keadaan aktif terhubung ke Internet. Jika koneksi Internet menggunakan proxy, tentukan konfigurasi proxy pada file proxy.txt . Fitur Automatic Updates dari PCMAV akan secara otomatis men-download dan meng-update database dari PCMAV. Anda juga dapat mengupdate kapan saja dengan klik kanan icon PCMAV pada system tray dan pilih Update.
Bagi Anda yang ingin mendapatkan file update tersebut secara manual, Anda bisa men-download file-nya melalui beberapa link ini:
SendSpace.com
ZippyShare.com (mirror)
RapidShare.com (mirror)
Letakkan file hasil download tersebut (update.vdb) ke dalam folder \vdb. Jika sebelumnya telah terdapat file update yang lama, Anda cukup menimpanya. Pastikan sekali lagi, bahwa nama file update adalah update.vdb, jika berbeda, cukup ubah namanya. Dan nanti saat Anda kembali menjalankan PCMAV, ia sudah dalam keadaan kondisi ter-update.


Sumber : pcmedia