Link Download

Bagi sebagian besar pengguna, mungkin artikel ini sudah biasa dan bukan barang yang baru lagi, tetapi bagi pengguna biasa / awam mungkin dapat bermanfaat untuk mencegah virus masuk / menular ke PC kita. Mengingat perkembangan virus dalam negeri yang begitu pesat. Hal ini mungkin karena banyaknya [adanya] source code yang menjelaskan cara pembuatan virus yang dipublikasikan secara umum, yang mungkin maksudnya sekedar tukar informasi saja, tetapi diluar itu kemungkinan banyak yang mengembangkan sendiri untuk membuat virus dan memancing programmer untuk mencoba-coba.

Beberapa hal yang perlu di persiapkan untuk mencegah virus masuk/menular ke komputer kita adalah:

• Gunakan antivirus yang senantiasa di update, paling tidak seminggu sekali, jika online maka aktifkan auto update pada antivirus
• Non aktifkan fasilitas autorun pada komputer kita, sehingga CD-ROM maupun flashdisk yang kita masukkan ke komputer tidak langsung menjalankan file yang ada di dalamnya. Bagi yang belum tahu, bisa dilihat caranya disini
• Tampilkan semua ekstensi file windows, termasuk file system windows. Caranya : Di windows explorer buka menu Tools > Folder Options… kemudian pilih tab view Kemudian pilih (aktifkan) opsi “show hidden files and folder”, hilangkan check pada pilihan “Hide extensions for known file types” juga hilangkan tanda check pada “Hide protected operating system files (Recommended)”.
• Periksa setiap flashdisk yang dimasukkan apakah ada file autorun.inf, jika ada coba dilihat isinya, jika mengacu ke sebuah file .exe, .dll atau .scr yang aneh / hidden, segera hapus file-nya atau scan dengan antivirus
• Ini yang mungkin sangat penting : Jika komputer digunakan oleh banyak orang, minta agar pengguna berhati-hati sebelum menjalankan sebuah file, jangan hanya melihat icon-nya, tapi melihat ekstensinya. Misalnya file itu dengan icon ms word, excel, gambar, mp3 dsb tetapi kok berekstensi .exe, .scr, .vbs, .bat atau tidak sesuai dengan iconnya, harap diwaspadai
• Gunakan tools / program seperti autoruns untuk melihat file/program apa saja yang berjalan ketika windows diaktifkan. Jika ada program yang aneh segera tanyakan kepada orang yang lebih tahu. Tentang autoruns bisa dilihat disini
• Semoga artikel ini bermanfaat, jika ada tambahan/masukan tips silahkan, diharapkan akan menambah keamanan dalam menggunakan komputer

• Komputer mulai berjalan sangat lambat, ini juga bisa terjadi karena banyaknya program yang kita install dan berjalan di background
• Munculnya file-file aneh di folder tertentu. Misalnya file yang bernama sama dengan file dokumen atau nama folder
• Komputer sering restart atau mati sendiri sewaktu-waktu atau kita membuka program khusus seperti Task Manager, anti virus dan lainnya
• Adanya logo tertentu jika kita klik kanan My Computer > Properties
• Hilangnya beberapa opsi di komputer atau program tidak bisa berjalan, seperti tidak bisa membuka Folder Options atau menunya hilang, tidak bisa menjalankan Registry Editor, Membuka kotak Run, Command Prompt dan lainnya
• Program Anti virus dan sejenisnya tidak bisa berjalan
• Terkadang muncul pesan-pesan aneh seperti puisi dan sejenisnya

Jika komputer anda mengalami beberapa indikasi diatas, berikut tips untuk mencari lokasi virus yang kemungkinan menyerang komputer kita.

Sebelumnya ada tools/program yang diperlukan, yaitu Autoruns yang merupakan merupakan bagian dari tools SysinternalsSuit Selengkapnya juga bisa dilihat disini atau bisa juga dibaca Artikel ini, tentang cara memperolehnya.

Untuk melakukan pengecekan, pertama-tama silahkan dibuka program Autoruns

, kemudian pilih tab Logon. Daftar yang ditampilkan merupakan file-file atau program yang berjalan bersama Windows ketika kita mengaktifkan komputer. Jika ada file-file yang aneh atau tidak penting maka bisa di non aktifkan, dengan menghilangkan tanda check. Tetapi hati-hati, jangan salah menonaktifkan program, karena bisa berakibat Windows tidak berhasil hidup. Berikut beberapa daftar yang merupakan program atau aplikasi yang dimiliki Windows dan sebaiknya tetap dibiarkan, jangan dihilangkan tanda checknya :

• rdpclip, merupakan aplikasi utama yang menangani masalah Copy File. Menyediakan fungsi bagi Terminal Services server yang mengijinkan copy dan paste antara server dan client. Program is important penting untuk kestabilan dan keamanan komputer, jadi biarkan saja
• userinit, merupakan kunci proses di sistem operasi Windows. Pada proses boot-up aplikasi ini mengatur urutan start up yang diperlukan, seperti Koneksi jaringan, dan Windows Shell. Program ini sangat penting, jangan dimatikan
• explorer, merupakan program manager atau Windows Explorer. Aplikasi ini mengatur Tampilan Windows, Start Menu, taskbar, DEsktop dan File Manager. Jika dimatikan maka tampilan/antarmuka windows tidak akan muncul.
• ctfmon, merupakan proses aplikasi yang dimiliki Microsoft Office, mengatur masalah Alternative User Input Text Input Processor (TIP) dan Microsoft Office XP Language Bar. Program ini tidak harus jalan, tetapi sebaiknya tidak dimatikan.

Ketiga file pertama merupakan aplikasi yang biasanya senantiasa ada di sistem operasi windows ( kecuali windows 9x / ME, yang mungkin hanya userinit dan explorer), dan seharusnya dibiarkan saja, sedang aplikasi keempat muncul jika terdapat aplikasi Microsoft Office di sistem. Dan penting diperhatikan bahwa dua aplikasi pertama diatas ( rdpclip dan userinit ) lokasinya ( kolom Image Path ) ada di C:\Windows\sistem32, aplikasi explorer ada di folder C:\Windows, sedang ctfmon ada di folder C:\Windows\sistem32, dengan asumsi kita install Sistem operasi di Drive C:. Selain keempat file diatas, bisa dicermati lokasi filenya dikolom Image Path, Apakah file tersebut merupakan anti virus, anti spyware, Sound manager, tools untuk printer dan sebagainya. Jika ada aplikasi yang lokasinya di tempat aneh atau di windows system, tetapi kita tidak mengenalinya atau tidak pernah menginstall aplikasi tersebut, bisa jadi merupakan virus.

Ada beberapa hal ketika kita mencermati daftar yang ada dalam Autoruns tersebut. Terkadang virus, Trojan, Malware dan sejenisnya akan menggunakan nama yang sama atau mirip dengan aplikasi yang dimiliki windows seperti explorer, expiorer, exploler, spooler dan sebagainya, maka perlu dicermati nama dan lokasinya. Misalnya ada nama explorer tetapi lokasinya bukan di C:\Windows, maka bisa jadi adalah virus. Selain itu, jika kita hilangkan tanda check program atau aplikasi tertentu kemudian setelah beberapa waktu di refresh kembali lagi atau muncul lagi, maka kemungkinan besar aplikasi tersebut merupakan salah satu virus.

Jika ingin mengetahui deskripsi tentang suatu proses aplikasi, bisa dilihat alamat ProcessLibrary.com. Semoga bermanfaat.

Source code Restore my files

Kategori Delphi, Programming, Software, Virus | 603 views | 3 Comments

Bagi anda yang ingin mempelajari program Restore my files, ini program dan source codenya (dalam Delphi). Untuk dapat menjalankan program dalam delphi, perlu di install komponen KOL ( key objects library ), bisa download di http://kolmck.net/ ( Inggris ) atau http://kolnmck.ru ( dalam bahasa Rusia)

Bagi kebanyakan orang mungkin ketika terdeteksi sebagai virus akan langsung memilih hapus untuk keamanan. Jika data-data yang terkena virus tidak begitu penting, mungkin tidak menjadi masalah. Tetapi jika merupakan data penting, maka sebaiknya atur agar jangan langsung dihapus, bisa di move to quarantine atau move to virus vault, sesuai dengan anti virus yang digunakan. Apakah data masih bisa diselamatkan? Bisa Iya bisa Tidak.

Jika file atau data kita terinfeksi oleh virus lama, kemungkinan masih bisa diselamatkan. Bagaimana langkah-langkahnya ?

1. Sebelumnya, jika data kita cukup penting dan terdeteksi sebagai virus jangan dihapus, tetapi pilih move to vault atau masukkan ke karantina ( move to quarantine ), agar nantinya bisa di buka lagi. Jika antivirus langsung menghapus, atur kembali di bagian setting-nya.
2. Catat nama/jenis virus yang terdeteki menginfeksi file. Biasanya antivirus mengetahui virus yang menginfeksi. Perlu diingat bahwa setiap anti virus sering memberikan nama tersendiri dengan virus yang ditemukannya. Jadi satu virus bisa memiliki nama hampir sebanyak anti virus yang ada.
3. Cari informasi tentang nama virus di Internet, gunakan google. Atau bisa juga ketika kita online menggunakan fasilitas informasi bawaan anti virus yang ada, sehingga lebih akurat.
4. Temukan karakteristik virus tersebut dan cara mengatasinya.

Virus List

Keterangan mengenai daftar nama virus dan sifat-sifatnya bisa didapatkan di beberapa vendor anti-virus, antara lain :

• McAfee Virus Informatin, lihat disini
• VirusList by Kaspersky lab, lihat disini
• Trend Micro Security Information, disini
• ClamAV Virus Database Search, disini

Virus Removal

Virus Removal merupakan tool atau aplikasi khusus yang dibuat untuk melumpuhkan, memperbaiki atau untuk menangani virus-virus tertentu. Biasanya para pembuat anti-virus juga membuat berbagai virus removal untuk tipe-tipe virus tertentu. Hampir semua virus removal ini dapat di download secara gratis. Berikut daftar alamat bebrapa anti-virus yang menyediakan removal :

• Virus Removal from AVG <<>>
• McAfee Avert Stinger <<>>
• F-Secure Free Virus Removal Tools <<>>
• BitDefender Removal tools <<>>
• Kaspersky Removal Tools <<>>
• McAfee Virus Removal Tools <<>>
• Avast Virus Cleaner <<>>
• Symantec Spyware & Virus Removal Tools <<>>
• Microsoft® Windows® Malicious Software Removal Tool <<>>
• Norman Malware Cleaner <<>>
• Repair utilities dari Panda Security <<>>

Perlu diingat bahwa tidak semua tools diatas berfungsi untuk menyelamatkan data yang terinfeksi, sebagian merupakan tools untuk mendeteksi dan menghapus virus tertentu. Karena mungkin memang data yang terinfeksi tidak bisa dikembalikan lagi. Pastikan selalu membaca keterangan yang disertakan.

1. Cari lokasi virus, terutama asal virus ini berjalan di komputer (induknya). Jika mengalami kesulitan, bisa dibaca artikel tentang Tips mendeteksi keberadaan Virus
2. Setelah diperoleh, diperhatikan ( catat) keterangan seperti ukuran file, tanggalnya ( walaupun virus bisa berubah-ubah ukuran dan tanggalnya, tetapi sebagian ukuran dan tanggalnya selalu sama. Bisa dicari file yang sejenis dan dicatat lokasinya.
3. Setelah didapat, gunakan salah satu Bootable CD dan restart komputer agar booting dari CD ( Anda mungkin perlu menyetting BIOS-nya dulu agar Boot pertama kali CD/DVD-ROM).
4. Buka program file manager, yang tersedia. Jika windowsnya NT, XP atau diatasnya, pastikan program tersebut mendukung membaca format NTFS
5. Cari file/ virus dan hapus atau jika masih ragu, direname saja dari *.exe menjadi *.vrs misalnya. Untuk menyakinkan, gunakan fasilitas search untuk mencari file dengan ukuran yang sama atau tanggal yang hampir sama. Jika ditemukan bisa direname
6. Kembali restart komputer dan cek lagi

Referensi / Download :

• BartPE
• Ultimate Boot CD
• Creating bootable Windows 2000/XP/2003 Disc (Nero 6)
• List of Live Distro

Dengan mengatahui beberapa tipe tersebut, semoga bisa lebih berhati-hati. Berikut beberapa tipe file yang sering/bisa terinfeksi virus dan sebagian bisa menyebarkannya kembali ketika file tersebut dijalankan :

Binary Executable Files

Binary Executable Files (Portable Executable / PE) merupakan file yang isinya diterjemahkan sebagai program oleh komputer. File ini terdiri dari beberapa tipe di windows :

• EXE (Executable / Application)Tipe file ini merupakan file yang sering terinfeksi virus dan sebagian besar virus juga berupa exe. Banyak virus yang bisa menempel di file ini dan begitu dijalankan, virus aslinya menyebar dan menginfeksi komputer. Oleh karena itu, sebaiknya ketika kita memiliki master program, maka di zip saja atau di rename untuk mengurangi resiko terinfeksi virus. Beberapa virus yang menginfeksi EXE misalnya w32/Virut, Troxa, Sality dan lainnya (baca juga ini).
• DLL (Dynamic Link Library) dan OCX yang formatnya sebenarnya sama dengan tipe EXE, hanya saja tidak langsung dijalankan, melainkan digunakan oleh file lain seperti EXE. Sehingga virus juga bisa menginfeksi tipe file ini.
• SCR (Screensaver) File ini juga seperti format exe, hanya saja ber ekstensi scr, yang maksudnya adalah file screensaver. Sehingga ketika dijalankan, screensaver akan tampil. Oleh karena itu, virus sering menduplikasi dirinya dengan tipe ini dan menempatkan dirinya sebagai screensaver, sehingga ketika screensaver aktif, sebenarnya virus itu yang aktif.
• COM file (Command File), bisa berupa Text atau Binary File yang dijalankan under DOS / MS-DOS. Generasi awal virus sepertinya berupa file COM ini.
• SYS (Device Driver), merupakan file Binary yang digunakan untuk Driver

Document Files

File Dokumen yang sering terinfeksi virus adalah file Microsoft Office terutana DOC ( Word), XLS (Excel) dan MDB ( Access Database). Virus biasanya berupa virus Macro, yang aktif jika dokumen tersebut dijalankan dan bisa menginfeksi template file ( file DOT) sehingga semua file yang dibuka selanjutnya akan terkena virus.

Sekitar bulan september 2007, file PDF mulai dimanfaatkan oleh pembuat virus untuk menyertakan kode-kode tertentu dalam dokumen tersebut. Biasanya berupa trojan. Seperti juga diberitakan Avira tanggal 6 Mei 2008, kelemahan PDF dimanfaatkan untuk menyisipkan kode virus, sehingga ketika PDF dijalankan virus yang berupa trojan tersebut bisa menginstall dirinya ke komputer.

File-File Script

File script merupakan file yang berisi script / kode-kode program dan bisa diterjemahkan oleh komputer secara langsung untuk mengontrol software/aplikasi lainnya. Beberapa file ini antara lain :

• BAT (Batch File), merupakan file script di MS-DOS dan Windows
• VBS (VBScript), script windows dengan bahasa VISUAL BASIC yang terbatas
• JS (Javascript), file ini tidak bisa langsung aktif, tetapi dijalankan oleh web browser, melalui file HTML

Tipe File-file Lainnya

Beberapa tipe atau file lainnya yang juga bisa terinfeksi, menyebarkan, menjalankan atau disusupi kode virus antara lain :

• HTM, HTML, CHM (HTML Help) file-file ini bisa menyertakan kode program Javascript, sehingga tidak jarang file ini terinfeksi Virus (trojan)
• INF Merupakan text file (jenis lain file INI) untuk menginstall Device Driver. Virus sering mengubah/memodifikasi file tipe ini (file Autorun.inf) untuk mengaktifkan virus dan menyebarkan lewat media seperti Flash Disk.
• Folder.htt File ini merupakan file konfigurasi Folder yang bisa berisi script kode. Terkadang virus memodifikasi isinya untuk menjalankan kode tertentu. Hal ini bisa juga terjadi pada file Desktop.ini ( Konfigurasi dekstop)

Referensi
http://en.wikipedia.org/wiki/Computer_virus
http://en.wikipedia.org/wiki/Executable_file
http://en.wikipedia.org/wiki/List_of_file_formats
http://en.wikipedia.org/wiki/Cross-site_scripting
http://www.bindshell.net/papers/xssv/
http://en.wikipedia.org/wiki/COM_file
http://en.wikipedia.org/wiki/Dynamic-link_library
http://www.virusbtn.com/news/2007/10_24.xml
http://www.avira.com/en/security_news/protection_from_pdf_exploits.html
http://en.wikipedia.org/wiki/Script_%28computer_programming%29

Virus ini namanya services.exe ( mungkin banyak yang bernama seperti ini). Lokasinya di folder C:Windows dan C:\Windows\System32617152D (yang beratribut hidden sistem, atau folder sejenis yang dibuat secara acak) , sehingga tidak terlihat jika setting optionsnya tidak diubah. Juga menggandakan diri dengan nama lain. Ukurannya sangat kecil hanya 18 KB. Beberapa hal yang saya alami kemarin:

• Ketika ingin di close (Kill) melalui Process Explorer, tidak bisa. Termasuk juga mungkin Task Manager
• Otomatis menulis di registry, ketika kita hapus ( lewat aplikasi autorun ) maka otomatis menulis registry lagi (ini ciri khas virus pada umumnya )
• Ketika mau menjalankan autorun lagi (setelah ditutup), eh ternyata aplikasi langsung error dan ketika dijalankan ulang, tiba-tiba aplikasi autorun hilang (di delete oleh virus ini)
• Antivirus yang digunakan ( saya dengan AVG Free ) nggak jalan, begitu dijalankan sama, langsung error. Maka saya coba install ulang, ternyata filenya rusak. Saya coba lagi… eh sama seperti sebelumnya File Installer-nya malah hilang…
• Akhirnya saya hapus melalui boot CD, dan dicari file dengan ukuran sekitar 18 KB. Dan setelah selesai dan dilihat, ternyata sudah nggak ada lagi.
• Karena anti virusnya rusak, maka saya install ulang lagi. Ternyata ketika menjalankan file installernya tidak muncul apa-apa…. wah jangan-jangan… yaa ternyata benar, komputer kembali terinfeksi virus yang sama. Jadi harus hapus lagi dari Boot CD. Kemudian saya cari file installer antivirus yang berasal dari sumber lain.
• Virus ini juga menginfeksi / merusak aplikasi yang lain, seperti Comodo Firewall
• Kemarin walau sudah update AVG dengan data terakhir, ternyata juga belum bisa mendeteksi virus ini

Sebelumnya saya anggap virus ini biasa saja, hanya tekniknya yang menginfeksi file exe dan [sepertinya] tidak merubah ukurannya aslinya, hanya tanggalnya yang berubah membuat penasaran. Dan ternyata file installer yang ada di flasdisk juga terinfeksi ( terbukti ketika menginstall antivirus di komputer teman, nggak mau jalan dan ternyata malah terinfeksi). Semoga artikel ini bermanfaat dan membuat kita lebih berhati-hati.

Update ( 03 Oktober 2007 )

Sampai saat ini (artikel ini ditulis) virus ini sudah bisa terdeteksi oleh AVG AntiVirus (update terbaru, minimal 1 hari yg lalu), dan bisa di-heal. Tetapi hanya virus utamanya saja yang terdeteksi (services.exe), sedangkan file exe yang terinfeksi virus ini belum bisa terdeteksi. Hebatnya juga, virus ini bisa menginfeksi file exe, dan file yang terinfeksi sebagian bisa berjalan normal seperti tidak ada apa-apa. Tetapi virus ini menambah ukuran file sekitar 18-20 KB dan tanggal filenya ( time stamp) berubah ke tanggal saat file itu terinfeksi. Ini terbukti banyak file exe di flashdisk saya yang terinfeksi dan ketika dijalankan maka virus services.exe juga akan dihasilkan, tetapi karena Anti Virus sudah mendeteksi, virus bisa langsung di heal.

Jika ada rekan yang mempunyai waktu luang dan tertarik untuk membuat aplikasi untuk merestore file yang terinfeksi akan sangat bagus, karena saya lihat file exe sebenarnya masih utuh, hanya disusupi oleh virus ini. Untuk melihatnya bisa digunakan hex Editor, seperti Hexapad.

Update ( 22 April 2008 )

Untuk memberantas virus ini, bisa digunakan Ultimate Boot CD for Windows (UBCD4Win) versi 3.12 atau yang terakhir 3.13. Caranya Booting komputer dengan CD ini, kemudian scan dengan antivirus bawaan Antivir Personal. Maka virus dapat diheal, termasuk file exe yang terinfeksi. Tetapi jika file exe terinfeksi, saya belum tahu tools untuk mengembalikannya.