SystemTools. Beberapa hari yang lalu, sebagian user di kagetkan dengan adanya aplikasi SystemTools yang tanpa mereka sadari aplikasi tersebut adalah “FakeAntivirus” atau “Antivirus Palsu”. Malware sejenis pernah di bahas pada postingan sebelumnya yang berjudul FakeAV-Downloader.G. Laporan di dapat dari user yang mendownload salah satu antivirus lokal dari website resminya yang kemudian justru menjalankan antivirus palsu.
A. Info Malware
Nama: SystemTools
Asal: Belum diketahui
Ukuran File: 397 KB (407,040 bytes)
Packer: -
Pemrograman: Visual C++
Icon: Random
Tipe: Trojan
B. Tentang Malware
Awalnya, kami mendapat laporan mengenai user yang mendapat pesan di Facebook dan isinya adalah sebuah link yang jika dibuka maka akan mendownload sebuah file dengan nama surprise.exe. Setelah file tersebut di jalankan, user merasakan keanehan yang terjadi pada komputernya. Contohnya seperti Firefox tidak bisa di buka, juga Task Manager dan beberapa file aplikasi lainnya.
Selain beberapa aplikasi tidak bisa di buka, wallpaper pada desktop komputer user berubah seperti pada gambar berikut.
Malware tipe Trojan ini mengingatkan kita pada salah satu virus yang sempat menghebohkan Indonesia yaitu Windx-Maxtrox pada tahun 2008 yang juga mengubah desktop. Kesuksesan SystemTools ini menyebar di indonesia adalah:
1. Menyebar melalui Facebook dan salah satu website yang menyediakan fasilitas download gratis.
2. Pada saat pengguna mengunduh SystemTools ini dari Internet, beberapa antivirus luar negeri belum ada yang mendeteksinya sebagai malware.
Dibuat menggunakan C++ tanpa di-pack, malware ini juga memiliki keistimewaan lain. Yaitu kemampuan untuk merubah DateTimeStamp pada informasi headernya. Sehingga hash MD5nya selalu berubah meskipun ukuran filenya sama.
Harga antivirus palsu ini juga tidak tanggung-tanggung.
1 tahun lisensi: $ 59.95
2 tahun lisensi: $ 69.95
Lifetime lisensi: $ 79.95
Lifetime premium support: $ 19.95
C. Companion/File yang dibuat
Setelah aktif di memory, system tools akan membuat beberapa file seperti:
1. Membuat file [nama acak].tmp yang sebenarnya adalah file gambar (BMP / Bitmap) dan nantinya akan dijadikan wallpaper dekstop pada folder C:\Documents and Settings\[nama user]\Local Settings\Temp
2. Membuat file yang akan di jalankan setelah startup dengan nama acak dan file lain tanpa ekstensi pada folder C:\Documents and Settings\All Users\Application Data\[folder dengan nama acak]
D. Hasil Infeksi
Setelah aktif di memory, malware ini akan memblok setiap file aplikasi, kecuali file dengan nama file system seperti pada gambar di bawah:
Malware juga memunculkan pesa-pesan palsu seperti gambar berikut:
Selain menampilkan wallpaper yang berubah seperti yang telah ditampilkan sebelumnya, malware juga terkadang menampilkan pesan Blue Screen Of Death (BSOD) yang menandakan seolah olah sistem komputer sudah benar-benar rusak.
Memaksa user untuk melakukan registrasi agar mendapatkan kode aktivasi dan membersihkan semua malware yang di laporkan oleh SystemTools.
Agar bisa berjalan saat startup, SystemTools membuat value registry baru di:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\[nama acak], “C:\Documents and Settings\All Users\Application Data\[nama folder aca]\[nama acak].exe”
E. Pembersihan
Untuk pembersihan, dapat dilakukan dengan 2 cara. Yaitu dengan cara manual dan cara langsung menggunakan PCMAV.
Cara manual:
1.Cari file task manager (taskmgr.exe) yang terdapat pada folder
C:\WINDOWS\system32\taskmgr.exe
2.Copy file tersebut ke My Documents, dengan klik kanan lalu pilih menu
Send to My Documents.
3.Buka folder My Documents, kemudian Rename file “taskmgr.exe” menjadi “Explorer.exe” dan jalankan file tersebut, maka akan tampil Task Manager.
4.Cari proses dengan nama aneh misalnya “eImHbDk02400.exe” kemudian kill proses tersebut (End Process).
5.Buka Windows Explorer, aktifkan fungsi “Show Hidden Files and Folders” pada “Folder Options” dengan memilih menu Tools – Folder Options – View, pilih Show Hidden Files and Folders, lalu klik OK.
6. Masuk ke folder “C:\Documents and Settings\All Users\Application Data” cari dan hapus folder dengan nama aneh, misalnya “eImHbDk02400″ yang di dalamnya terdapat file dari SystemTools.
7. (Opsional, jika boleh dilakukan atau tidak masalah jika tidak dilakukan) Masuk ke folder “C:\Documents and Settings\[nama user]\Local Settings\Temp“, cari dan hapus file Temporary (tmp) yang ukurannya tidak wajar (2MB ~ ) karena file tersebut adalah file bitmap yang dijadikan wallpaper pada desktop user yang terinfeksi.
8.Aktifkan Kembalikan fungsi “Do not show hidden files and folders“.
Pilih menu Tools – Folder Options – View, pilih “Do not show hidden files and folders“, dan klik OK.
9.Log Off Komputer.
10.Komputer kembali normal.
Pembersihan menggunakan PCMAV:
Jalankan PCMAV dan scan seperti biasa dan lakukan scan menyeluruh.
PCMAV 4.7 Update Build3
Untuk membasmi virus ini ataupun varian virus lainnya, PCMAV 4.7 Update Build3 telah hadir dengan penambahan 120 pengenal varian virus baru. Bagi Anda pengguna PCMAV 4.7, sangat disarankan segera melakukan update, agar PCMAV Anda dapat mengenali dan membasmi virus lebih banyak lagi.
Untuk mendapatkan dan menggunakan update PCMAV ini, Anda cukup menjalankan PCMAV.exe, komputer harus dalam keadaan aktif terhubung ke Internet. Jika koneksi Internet menggunakan proxy, tentukan konfigurasi proxy pada file proxy.txt . Fitur Automatic Updates dari PCMAV akan secara otomatis men-download dan meng-update database dari PCMAV. Anda juga dapat mengupdate kapan saja dengan klik kanan icon PCMAV pada system tray dan pilih Update.
Bagi Anda yang ingin mendapatkan file update tersebut secara manual, Anda bisa men-download file-nya melalui beberapa link ini:
SendSpace.com
ZippyShare.com (mirror)
Rapidshare.com (mirror)
Letakkan file hasil download tersebut (update.vdb) ke dalam folder \vdb. Jika sebelumnya telah terdapat file update yang lama, Anda cukup menimpanya. Pastikan sekali lagi, bahwa nama file update adalah update.vdb, jika berbeda, cukup ubah namanya. Dan nanti saat Anda kembali menjalankan PCMAV, ia sudah dalam keadaan kondisi ter-update.
Daftar tambahan virus hingga PCMAV 4.7 Update Build3:
Aksika-Indramayu
Aksika-Indramayu.txt
AlamarPica.vbs
Angelo.G
Angelo.G.host
AnitaLoroaji
AnitaLoroaji.inf
Autoit-Arif
Autoit-Cyrillic
Autoit-ReplaceIcon.D
Autoit-ReplaceIcon.E
Autoit-ReplaceIcon.F
Autoit.FD
Autoit.FD.ini
Autoit.FE
Autoit.FE.serv
Bajigur.vbs
Bajigur.vbs.bat
Bajigur.vbs.host
Bajigur.vbs.inf
Bali.B
Batam
Batam-BlackRider
Batam-BlackRider.inf
Batam.inf
BlackLove.E
CintaFitri.B
CintaFitri.B.inf
Cobax.exe.C
CoolStory
DarkWar
Dhoos
Dhoos.dll
Dhoos.url.A
Dhoos.url.B
Dhoos.url.C
DirLock.C
DirLock.C.host
Enigma
FakeAV
FakeAV-Downloader.K
FakeAV-Downloader.K.dat
FakeAV-Downloader.K.dll.A
FakeAV-Downloader.K.dll.B
FakeAV-Downloader.K.dll.C
FakeAV-Downloader.K.job
FakeAV-Downloader.K.lnk.A
FakeAV-Downloader.K.lnk.B
FakeAV-Downloader.K.lnk.C
FakeAV-Downloader.K.lnk.D
FakeAV-Downloader.K.ref
FakeAV-Downloader.K.rtf
FakeAV-Downloader.K.setup
FakeAV-Downloader.K.unins
FakeAV-Downloader.K.url
Fakhricker.vbs
FeSilva.vbs
FeSilva.vbs.inf
FnI-DiaryMimi.vbs
FnI-DiaryMimi.vbs.inf
Gabest.B
GavGent-HVM31
GrepoZipTsunami.vbs
GrepoZipTsunami.vbs.inf
GXRG-Snow.vbs
GXRG-Snow.vbs.host
GXRG-Snow.vbs.inf
GXRG.vbs
GXRG.vbs.inf
H323
H323.bat
Halted
IsroCiremai
IyanHapacker
JonBennett
JonBennett.inf
KefiUnique.vbs
KefiUnique.vbs.txt
KefiUnique.vbs.upd
Lz32.vbs.B
Lz32.vbs.C
Ossep.vbs
Ossep.vbs.inf
RadimPicha
RadimPicha.dll
RadimPicha.inf
RadimPicha.pass
Ramnit.A.Variant
Ramnit.B.Variant
Ramnit.C.Variant
Ramnit.D.Variant
Ramnit.E.Variant
Ramnit.F.variant
Recycler.BO
Recycler.BO.dll
Ronkor.C
Ronkor.C.htt
Ronkor.C.txt
Rose-Loren.E
Serviks.vbs.C
Serviks.vbs.C.doc
Serviks.vbs.C.host
SystemTools
Temps
Temps.INF
TripleExe
TripleExe.inf
VB-Shortcut-1.lnk
VBVN
ViewFiles
XSample.vbs
XSample.vbs.inf
XSample.vbs.ini
XSample.vbs.lnk.A
XSample.vbs.lnk.B
XSample.vbs.lnk.C
XSample.vbs.lnk.D
XSample.vbs.lnk.E
XSample.vbs.lnk.F
XSample.vbs.mp3
0 komentar:
Posting Komentar