Cara Mengatasi Autorun.inf

Cara mengatasi virus Autorun.inf

Jika anda membuka program “Internet Explorer” dan mendapatkan capion text bertuliskan “Hacked by Godzilla” atau Hacked by Zay” kemungkinan besar komputer anda terinfeksi virus Solow, begitulah Norman Virus Control memberikan nama untuk virus yang satu ini (lihat gambar 1 dan 2).

Gambar 1, Solow menambahkan caption text Internet Explorer dengan Hacked by GodZilla

Gambar 2, Norman mendeteksi virus Hacked by Godzilla sebagai W32/Solow

Virus ini sampai saat ini sudah menghasilkan banyak varian dan masing-masing varian mempunyai karakteristik yang sama walaupun ada sedikit perbedaan yang muncul dari aksi yang dilakukannya.

Solow ini sendiri dibuat dari program bahasa pemrograman umum VBScript dengan ukuran sebesar 4 KB dan 8 KB untuk varian terbaru, dan agar dapat menyebar secara otomatis ia akan membuat file Autorun.inf yang berisi skrip untuk menjalankan file induk dari virus tersebut.

JIka virus tersebut aktif ia akan membuat berapa file induk yang akan dijalankan setiap kali komputer dinyalakan diantaranya:

• %Drive%:\MS32DLL.dll.vbs atau r4n694-24y.dll.vbs

• C:\MS32DLL.dll.vbs atau C:\WINDOWS\r4n694-24y.dll.vbs

• %Drive%:\Autorun.inf

Catatan:

%Drive% menunjukan Partisi Hard Disk termasuk Flash Disk

Solow akan membuat string pada registri berikut dengan tujuan agar dapat aktif secara otomatis setiap kali komputer dihidupkan.

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

§ r4n694-24y = C:\WINDOWS\r4n694-24y.dll.vbs

atau

§ ms32dll = C:\WINDOWS\MS32DLL.dll.vbs

Untuk Solow varian awal tidak sampai melakukan blok fungsi Windows sehingga lebih mudah untuk dibersihkan sedangkan untuk varian terakhir ia akan berusaha untuk melakukan blok terhadap beberapa fungsi Windows seperti :

§ Task manager

§ Msconfig

§ Regedit

§ Folder Option

§ CMD

Dengan membuat string pada registri berikut:

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

§ NoFind

§ NoFoldderOptions

§ NoRun

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced

§ Hidden

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

§ DisableRegistriTools

§ DisableTaskMgr

Anda tentu masih ingat dengan kasus Lightmoon, dimana jika anda menjalankan fungsi regedit/msconfig maka akan muncul program notepad dengan isi bahasa ASCII. Solow juga akan melakukan hal yang sama, selain regedit dan msconfig solow juga akan debugger program CMD/setup dan Install. Jadi setiap kali anda menjalankan program regedit/msconfig/cmd dan menjalankan file setup/install maka Solow akan mengarahkan untuk menjalankan program notepad dengan isi bahasa ASCII. Untuk melakukan hal tersebut ia akan membuat string berikut:

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

- debugger = notepad

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

- debugger = notepad

Selain itu Solow juga akan membuat string pada registri berikut:

· HKEY_CLASSES_ROOT\VBSFile

§ DefaultIcon = shell32.dll,2

Solow juga akan meninggalkan jejak lainnya yakni dengan merubah nama pemilik Windows menjadi r4n694-24y dan organisasi pemilik Windows menjadi “Don't Panic, System anda sudah kami ambil alih !”. Untuk Solow varian awal tidak akan merubah registri “Owner” dan “Organization”. Untuk melakukan hal tersebut ia akan merubah string registri berikut :

· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

§ RegisteredOrganization = Don't Panic, System anda sudah kami ambil alih !

§ RegisteredOwner = r4n694-24y (lihat gambar 3)

Gambar 3, Solow merubah nama organisasi dan pemilik Windows

Selain merubah registered owner dan registered organization, Solow juga akan menambahkan caption text pada program “Internet Explorer” dengan tulisan “Hacked by Gozilla” atau “Hacked by zay” , untuk melakukan hal tersebut ia akan membuat string registri berikut:

· HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title

§ Window Title = Hacked by Zay

Atau

§ Window Title = Hacked by Godzilla (lihat gambar 4)

Gambar 4, Solow Menambah caption Text Internet Explorer

Jika komputer anda sudah terinfeksi Solow maka anda tidak akan dapat membuka Drive pada komputer anda. Untuk melakukan hal tersebut Solow akan membuat string pada registri berikut :

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2de6727b-e43a-11db-9ad6-806d6172696f}\Shell\AutoRun\command

§ Default = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs

· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2de6727e-e43a-11db-9ad6-806d6172696f}\Shell\AutoRun\command

§ Default = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL wscript.exe MS32DLL.dll.vbs

Aktif secara otomatis saat mencolokkan Flash Disk

Sebagai media penyebarannya, Solow masih menggunakan Disket/Flash Disk dengan membuat file Autorun.inf dan r4n694-24y.dll.vbs atau MS32DLL.dll.vbs . File Autorun.inf ini berisi script untuk menjalankan file r4n694-24y.dll.vbs atau MS32DLL.dll.vbs sehingga Solow akan aktif secara otomatis setiap kali user mencolokkan Disket/Flash Disk tanpa perlu menjalankan file tersebut.

Kedua file ini juga akan dibuat di setiap Drive yang ada dengan tujuan agar ia dapat aktif secara otomatis dengan hanya mengkases Drive tersebut.

Cara membersihkan Solow secara manual

· Putuskan jhubungan komputer yang akan dibersihkan dari jaringan.

· Matikan / Disable “System Restore” untuk sementara selama proses pembersihan berlangsung .

· Matikan proses virus yang aktif di memori. Untuk mematikan proses virus ini anda dapat menggunakan tools “proceexp” http://download.sysinternals.com/Files/ProcessExplorer.zip, kemudian matikan proses “wsscript” (lihat gambar 5)

Gambar 5, Mematikan proses “WSScript”

· Hapus file induk dan autorun.inf di disetiap drive termasuk flash disk

§ %Drive%:\>MS32DLL.dll.vbs atau r4n694-24y.dll.vbs

§ “C:\MS32DLL.dll.vbs” atau “C:\WINDOWS\r4n694-24y.dll.vbs”

§ %Drive%:\>Autorun.inf

Catatan:

%Drive% menunjukan Partisi Hard Disk termasuk Flash Disk

Untuk mempermudah proses penhapusan anda dapat menggunakan tools Pocket Killbox http://www.bleepingcomputer.com/files/killbox.php kemudian hapus file tersebut diatas dengan menentukan lokasi file tersebut berada. (lihat gambar 6)

Gambar 6, Menghapus file induk Solow

· Hapus string registri yang dibuat oleh virus, untuk mempercepat proses penghapusan, salin skrip dibawah ini pada program notepad dan simpan dengan nama Repair.inf kemudian jalankan dengan cara:

§ Klik kanan Repair.inf

§ Klik Install

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOwner,0, "Owner"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOrganization,0, "Organization"

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistriTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NOFind

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NORun

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced, hidden

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, r4n694-24y

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, ms32dll

CKCR, VBSFile, DefaultIcon

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Msconfig.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistriEditor.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

· Untuk pembersihan optimal dan mencegah infeksi ulang gunakan Norman Virus Control dengan update terakhir yang dapat mendeteksi dan membasmi virus ini dengan baik.

· Aktifkan kembali / enable “System Restore”

Tips menghadapi autorun Flash Disk

Kebanyakan virus yang beredar akan membuat file Autorun.inf/Desktop.ini/Folder.htt disetiap Drive termasuk di Disket/Flash Disk dengan tujuan agar virus tersebut dapat aktif secara otomatis setiap kali user akses ke Drive tersebut.

Berikut tips yang dapat dilakukan agar skrip tersebut tidak akan dijalankan setiap kali user akses ke Drive tersebut yakni:

• Klik [Start]

• Klik tombol [Run]

• Pada dialog box “Run” ketik “GPEDIT.SMC” kemudian tekan tombol “enter”

• Pada layar “Group Policy” klik “Administrative Templates” pada menu “User Configuration” (lihat gambar 7)

Gambar 7, Membuka Group Policy Windows

• Kemudian klik “System”

• Pada menu “system” tersebut klik kanan “Turn off Autoplay” kemudian pilih “Properties”

• Pada layar “Turn off Autoplay properties”

  • Klik tabulasi “Setting”

  • Pilih option “Enable”

  • Pada menu “Turn off Autoplay on” pilih “All Drives”

  • Klik Tombol “Apply”

  • Klik Tombol “OK” (lihat gambar 8)

Gambar 8, Mematikan Autorun Drive

• Kemudian tutup layar “Group Policy”

Aj Tau


sumber: www.vaksin.com/2007/0407/solow.htm