Hati2 Phising pada Yahoo Messenger dan IM laennya..

Bagi pengguna Yahoo messenger, harap hati2 jika menerima pesan seperti ini

jika menemukan kata2 seperti menyuruh untuk membuka link web tersebut htpp://www.summer-picz.com..
Mulanya saya kaget karena teman saya yang udah off, tiba-tiba nongol dan mengirimkan pesan seperti itu.. saya jadi heran dan was-was, makanya saya coba cari tau, dan ternyata itu model phising yang dilakukan Summer Picz

Web ini menampilkan sebuah kotak login yang mengajak pengunjungnya untuk mengisi user name dan password, bisa Yahoo! atau MSN atau Google. Penipuannya dilakukan dengan mengirimkan pesan lewat Internet Messenger seperti Yahoo!, MSN, atau GTalk. Jadi bila seseorang telah tertipu untuk mengisi informasi loginnya, si “penjahat” ini akan mencuri informasi loginnya lalu menyebarkan link web ini ke teman-temannya korban lewat pesan di messenger. Sehingga teman-teman si korban tidak menyadari bahwa si pengirim bukanlah temannya.

So, berhati2lah jika menemukan pesan sperti itu.. ^^

berita terkait : http://wheeqo.web.id/blog/hati-hati-web-phising-summer-picz Read More...

Nita Worm

Saat ini penyebaran virus mancanegara mulai menggeser keberadaan virus lokal, dimulai dengan kasus virus arp spoofing yang akan memalsukan Mac Address gateway dalam LAN serta dapat melakukan update secara otomatis guna memperbaharui dirinya kemudian dilanjutkan dengan spyware yang menyamarkan sebagai antivirus atau anti spyware seperti Antivirus XP 2008 atau Antivirus XP 2009 serta XP Antispayware dan masih banyak varian lainnya. Lalu terakhir Vaksincom menerima banyak laporan komputer yang mengalami masalah Generic Host Process (GHP) Error yang disinyalir merupakan serangan terhadap port RPC Dcom.


Maraknya penyebaran virus mancanegara bukan indikasi menurunnya pembuat virus lokal, karena dalam kenyataannya kuantitas pembuat virus lokal tidak mengalami penurunan dan malahan menurut virus statistik virus yang diterima oleh Vaksincom rata-rata setiap bulan ditemukan 100 virus lokal baru. Http://www.vaksin. com/hall_ of_fame.htm

Walaupun demikian, dengan dengan tetap mengusung semangat Hari Pahlawan, para VM seakan tak putus untuk terus berkreasi guna menghasilkan virus baru.

Kali ini giliran virus VBTroj.NYH atau biasa disebut dengan virus Tati yang disebarkan untuk turut menyemarakan dunia maya.

Ciri Umum VBTroj.NYH

Berikut beberapa ciri yang dapat dijumpai jika komputer terinfeksi VBTroj.NYH diantaranya:

1. Muncul pesan error saat membuka file dengan menggunakan program "notepad" seperti *.txt, *.ini, *.log, *.inf. (lihat gambar 1)

Gambar 1, Pesan error saat membuka file txt

2. Muncul header tambahan pada jendela internet explorer dengan menambahkan pesan "(^_^)NITA_WORM ==> Infected Your PC ..again..!!! "

(lihat gambar 2)

Gambar 2, Header Internet Explorer yang di permak oleh Nita Worm

3. Muncul 3 menu palsu pada menu "send to" yakni "Image, My Picture dan Send to". Ke tiga menu palsu tersebut jika di klik maka secara otomatis akan menjalankan file virus. (lihat gambar 3)

Gambar 3, 3 menu palsu yang di buat oleh VBTroj.NYH

4. Muncul pesan error saat menjalankan fungsi windows tertentu atau saat menjalankan removal tools seperti regedit, msconfig, cmd, ansav atau avigen antivirus sehingga membuat file tersebut tidak dapat di jalankan. (lihat gambar 4)

Gambar 4, Pesan error saat menjalankan fungsi Windows

5. Membuat folder "NITA_WORM was here.exe" sebagai default install pada saat menginstall suatu program atau aplikasi. (lihat gambar 5)

Gambar 5, VBTroj.NYH akan membuat folder "NITA_WORM was here.exe" sebagai default instalasi

6. Munculnya file duplikat di setiap folder termasuk di media penyimpanan "Flash Disk" yang mempunyai ukuran file 108 KB dengan icon "Folder".

Dengan database terakhir Norman Virus Control dan Norman Security Suite telah mendeteksi virus ini sebagai VBTroj.NYH (lihat gambar 6)

Gambar 6, Norman Security Suite mendeteksi Nita worm sebagai Trojan:W32/VBTroj. NYH

File induk VBTroj.NYH

Virus ini dibuat dengan menggunakan program bahasa Visual Basic dengan ukuran file sebesar 108 KB, untuk mengelabui user ia akan menggunakan icon Folder.

Pada saat virus ini dijalankan ia akan membuat beberapa file induk di bawah ini yang akan dijalankan pertama kali pada saat komputer di hidupkan:

· C:\New Folder.exe (akan di buat disemua Drive)

· C:\Documents and Settings\%user% \Start Menu\Programs\ Startup

o Startup.exe

o New Folder

o New Folder(x), dimana x menunjukan angka (1-19)

· Copy file C:\Windows\system32 \msvbvm60. dll ke direktori berikut:

o %Flash Disk%>:\msvbvm60.dll

o C:\Documents and Settings\All Users\Documents\ My Videos\msvbvm60. dll

o C:\Documents and Settings\All Users\Documents\ My Videos\msvbvm60. dll

Untuk memastikan agar file tersebut dapat dijalankan setiap kali komputer dinyalakan, ia juga akan membuat string pada registry berikut:

· HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\CurrentV ersion\Run

o loader = \WinSys.exe

· HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Run

o loader = \shell.exe

Sebagai pelengkap ia juga akan blok beberapa fungsi windows seperti regedit/msconfig/ task manager/folder option termasuk beberapa tools virus lokal seperti Ansav atau Avigen dengan memunculkan pesan error berikut saat menjalankan fungsi atau tools tersebut. (lihat gambar 8)

Gambar 8, Pesan error yang muncul saat menjalankan fungsi Windows / tools

Untuk melakukan hal tersebut ia akan membuat string pada registry berikut:

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A-VIGen32. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A-VSafeRun. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A2HIJACKFRE E.EXE

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\ansav. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\CMD. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\dxdiag. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\msconfig. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\nod32kui. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\Notepad. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\ProMo. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\Regedit. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\Regedit32. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\TaskMgr. exe

o debugger = explorer.exe

· HKLM\SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\VB6. EXE

o debugger = explorer.exe

· HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A2HIJACKFRE E.EXE

o debugger = explorer.exe

· HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced

o Hidden = 0

o HideFileExt = 1

o ShowSuperHidden = 0

· HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced

o DisableThumbnailCac he = 1

· HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\CurrentV ersion\Explorer

o ShowDriveLettersFir st = 4

· HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced\ HideFileExt"

· HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced\ Hidden"

· HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\CurrentV ersion\Explorer\ Advanced\ ShowSuperHidden"

VBTroj.NYH juga akan blok fungsi klik kanan dengan membuat string pada registry berikut:

HKCU\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer

o NoViewContextMenu

Ubah Header Internet Explorer

Untuk menunjukan keberadaannya ia akan merubah judul pada program internet explorer dengan menambahkan pesan "(^_^)NITA_WORM ==> Infected Your PC ..again..!!! ". Untuk merubah judul IE ini VBTroj.NYH akan membuat string pada regsitry berikut:

· HKCU\Software\ Microsoft\ Internet Explorer\Main

o Window Title = (^_^)NITA_WORM ==> Infected Your PC ..again..!!!

Selain merubah judul internet explorer untuk menunjukan ekstensinya VBTroj.NYH juga akan mencoba untuk merubah type file "setup information" (inf) dan "System file" (sys) menjadi NITA_WORM dengan terlebih dahulu merubah string pada registry berikut: (lihat gambar 2 di atas)

HKLM\SOFTWARE\ Classes

- sysfile = NITA_WORM

HKLM\SOFTWARE\ Classes\inffile

- FriendlyTypeName = NITA_WORM

Ubah default folder installasi program

VBTroj.NYH juga akan merubah default folder program installer dari "..\Program Files" menjadi "...\NITA_WORM was here.exe". Untuk melakukan hal ini ia akan membuat string pada registry berikut: (lihat gambar 5 di atas)

· HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\CurrentV ersion

o ProgramFilesDir = NITA_WORM was here.exe

Untuk mengelabui user, VBTroj.NYH juga akan membuat menu palsu (icon Folder) pada menu utama "send to" setiap kali user melakukan klik kanan pada suatu file yakni "Send to / My Picture dan Image", untuk melakukan hal ini ia akan membuat file virus di direktori : (lihat gambar 3 di atas)

· C:\Documents and Settings\%user% \SendTo

o Image.xe

o My Picture.exe

o Send to.exe

Membuat file diplikat dan media penyebaran

Sebagai tujuan akhir dari VBTroj.NYH ini adalah membuat file duplikat disetiap folder/subfolder termasuk di media Flash Disk dengan ciri-ciri:

· Menggunakan icon Folder

· Ukuran 108 KB

· Ekstensi EXE

· Type File "Application"

Membuat duplikati di media penyimpanan "Flash Disk" adalah salah satu upaya yang akan di lakukan oleh VBTroj.NYH untuk menyebarkan dirinya.

Cara membersihkan VBTroj.NYH

1. Putuskan hubungan komputer yang akan dibersihkan dari LAN

2. Matikan "system restore" selama proses pembersihan.

3. Matikan proses virus yang mempunyai icon folder dengan menggunakan tools pengganti task manager seperi tools Ice sword. Silahkan download tools tersebut di alamat berikut: (lihat gambar 9)

http://202.38. 64.10/%7Ejfpan/ download/ IceSword120_ en.zip

Gambar 9, Mematikan proses VBTroj.NYH dengan menggunakan Ice Sword

4. Hapus registry yang sudah di buat oleh virus. Untuk mempercepat proses penghapusan salin script dibawah ini pada program notepad kemudian simpan dengan nama "repair.vbs" kemudian jalankan file tersebut (klik 2x file repair.vbs)

------- awal script -------

Dim oWSH: Set oWSH = CreateObject( "WScript. Shell")

on error resume Next

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\Software \CLASSES\ batfile\shell\ open\command\ ","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\Software \CLASSES\ comfile\shell\ open\command\ ","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\Software \CLASSES\ exefile\shell\ open\command\ ","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\Software \CLASSES\ piffile\shell\ open\command\ ","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\Software \CLASSES\ scrfile\shell\ open\command\ ","""%1"" /S"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SYSTEM\ ControlSet001\ Control\SafeBoot \AlternateShell" ,"cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SYSTEM\ ControlSet002\ Control\SafeBoot \AlternateShell" ,"cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SYSTEM\ ControlSet003\ Control\SafeBoot \AlternateShell" ,"cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SYSTEM\ CurrentControlSe t\Control\ SafeBoot\ AlternateShell" ,"cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Winlogon\ Shell","Explorer .exe"

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\Software \Microsoft\ Windows\CurrentV ersion\Run\ loader")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Run\ loader")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer" )

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoSetFolders" )

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoFolderOptions" )

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoTrayContextMen u")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoViewContextMen u")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoSaveSettings" )

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoRecentDocsMenu ")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ Nofind")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ Explorer\ NoRun")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ System\DisableTa skMgr")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ System\DisableCM D")

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Windows\CurrentV ersion\Policies\ System\DisableRe gistryTools" )

oWSH.RegDelete( "HKEY_CURRENT_ USER\Software\ Microsoft\ Internet Explorer\Main\ Window Title")

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SOFTWARE \Classes\ inffile\Friendly TypeName" ,"C:\Windows\ System32\ setupapi. dll,-2000"

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\ansav. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A-VIGen32. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A-VSafeRun. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\CMD. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\dxdiag. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\msconfig. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\nod32kui. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\Notepad. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\ProMo. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\Regedit. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\Regedit32. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\tasklist. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\TaskMgr. exe\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\VB6. EXE\")

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows NT\CurrentVersion\ Image File Execution Options\A2HIJACKFRE E.EXE\")

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SOFTWARE \Microsoft\ Windows\CurrentV ersion\ProgramFi lesDir"," C:\Program Files"

oWSH.Regwrite "HKEY_LOCAL_ MACHINE\SOFTWARE \Classes\ exefile\Info Tip","prop:FIleDesc ription;Company; FileVersion; Create;Size"

oWSH.RegDelete( "HKEY_CLASSES_ ROOT\sysfile" )

oWSH.RegDelete( "HKEY_LOCAL_ MACHINE\SOFTWARE \Classes\ sysfile")

oWSH.Regwrite "HKEY_CURRENT_ USER\Control Panel\Desktop\ CursorBlinkRate" ,"530"

------- akhir script -------

5. Hapus file duplikat yang dibuat oleh VBTroj.NYH termasuk ke media Flash Disk. Untuk mempercepat proses mencarian sebaiknya gunakan fungsi "Search windows". Jangan sampai terjadi kesalahan dalam penghapusan file duplikat tersebut, hapus file yang mempunyai ciri-ciri:

o Menggunakan icon folder

o Ukuran 108 KB

o Type File "Application"

o Ekstensi EXE

6. Untuk Pembersihan optimal dan mencegah infeksi ulang, scan dengan antivirus Norman Virus Control yang sudah dapat mendeteksi dan membasmi virus ini. Jika anda menggunakan antivirus lain, silahkan gunakan removal tools Noman Malware Cleaner (Gratis).

Silahkan download antivirus Norman Virus Control trial di alamat berikut :

http://www.norman. com/Download/ Trial_versions/

Silahkan download removal tools Norman Virus Control di alamat berikut :

http://download. norman.no/ public/Norman_ Malware_Cleaner. exe

Sumber : Vaksincom

Read More...

6 Langkah Membersihkan Virus 'JeNGKol'

Jakarta - Salah satu ciri komputer terinfeksi virus JeNGKol adalah komputer akan logoff jika user menjalankan file .INF dan saat user mengedit file VBS.

Virus ini akan menyembunyikan file berekstensi .DOC, dengan cara membuat file duplikat sesuai dengan nama file yang disembunyikan untuk mengelabui user. Bagaimana cara membersihkan virus ini? Ikuti langkah berikut ini:

1. Putuskan komputer yang akan dibersihkan dari jaringan (LAN).
2. Nonaktifkan "System Restore" selama proses pembersihan (Windows XP).
3. Matikan proses virus. Untuk mematikan proses virus ini dapat menggunakan tools pengganti task manager seperti "Process explorer". Silahkan downlod tools tersebut di: http://download.sysinternals.com/Files/ProcessExplorer.zip.

4. Hapus registri yang dibuat oleh virus. Untuk mempermudah proses penghapusan silahkan salin script di bawah ini pada program notepad kemudian simpan dengan nama repair.vbs, kemudiai Jalankan file tersebut (klik 2x).

Dim oWSH: Set oWSH = CreateObject("WScript.Shell")
on error resume Next
oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command\","""%1"" %*"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command\","""%1"" %*"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command\","""%1"" %*"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command\","""%1"" %*"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\AlternateShell","cmd.exe"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\AlternateShell","cmd.exe"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\AlternateShell","cmd.exe"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell","Explorer.exe"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\Shell\Edit\Command\","C:\Windows\System32\notepad.exe %1"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\DefaultIcon\","C:\Windows\System32\WScript.exe,2"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command\","C:\windows\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFileAssociate")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistriTools")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegedit")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\RunLogonScriptSync")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\HideLegacyLogonScripts")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\HideLogoffScripts")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\HideStartupScripts")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\RunStartupScriptSync")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run\JeNGKoL")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\NeverShowExt")
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\","VBScript Script File"
oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VBSFile\FriendlyTypeName","VBScript Script File"
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistriTools")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegedit")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\RunLogonScriptSync")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NOFind")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NORun")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveAutoRun")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\WinOldApp\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Msconfig.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit32.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\attrib.exe\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\command.com\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe\debugger")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe\debugger")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations\")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer\DisallowRun\")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer\Run\")
oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ActiveDesktop\")
oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\")

5. Hapus file duplikat yang dibuat oleh virus dengan ciri-ciri:

• Menggunakan icon JPEG atau VBS
• Ukuran 14 KB
• Type file JPEG Image atau VbScript Script File

Untuk mempermudah proses pencarian virus, silahkan gunakan fungsi Search windows.

6. Untuk pembersihan optimal dan mencegah infeksi ulang, lindungi komputer Anda dengan anti virus yang sudah dapat mendeteksi dan membasmi virus ini Read More...

7 Langkah Membasmi Virus 'K0pL4xZ'

Jakarta - Virus "K0pL4xZ" yang terdeteksi sebagai VBWorm.QTT mengincar pengguna komputer, khususnya yang memiliki banyak file Office, dengan cara mengganti icon dan tipe file Microsoft Office.

Namun untungnya, virus ini tidak sampai menghancurkan file Office. Virus ini dibuat dengan menggunakan Visual Basic. Agar tak disangka virus, ia menyamar dengan menggunakan icon "Windows Media Player Classic" dengan tipe file application (exe). Untuk membersihkannya, ikuti langkah berikut ini:

1. Putuskan komputer yang akan dibersihkan dari jaringan (LAN).
2. Matikan "System Restore" selama proses pembersihan.
3. Matikan proses virus yang aktif di memory. Gunakan tools KillVB untuk mematikan proses di memory. Silahkan downlod tools tersebut di: http://www.compactbyte.com/brontok/killvb.zip

4. Fix registry yang sudah diubah oleh virus. Untuk mempercepat proses perbaikan registry salin script dibawah ini pada program notepad, kemudian simpan dengan nama "Repair.inf". Jalankan file tersebut dengan cara:

- Klik kanan repair.inf
- Klik Install

[Version]
Signature="$Chicago$"
Provider=Vaksincom Oyee

[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del

[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""
HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"
HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SOFTWARE\Classes\exefile,,,application
HKCU, Software\Microsoft\Internet Explorer\Main, start page,0, "about:blank"
HKCU, Software\Microsoft\Internet Explorer\Main, Search Page,0, "about:blank"
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt, UncheckedValue,0x00010001,0
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"
HKLM, SOFTWARE\Classes\txtfile, FriendlyTypeName,0, "@C:\Windows\system32\notepad.exe,-469"
HKLM, SOFTWARE\Classes\Word.Document.8,,,"Microsoft Word Document"
HKLM, SOFTWARE\Classes\Word.Document.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-01500 48383C9}\wordicon.exe,1"
HKLM, SOFTWARE\Classes\PowerPoint.Show.8,,, "Microsoft PowerPoint Presentation"
HKLM, SOFTWARE\Classes\PowerPoint.Show.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-015 0048383C9}\pptico.exe,1"
HKLM, SOFTWARE\Classes\Excel.Sheet.8,,,"Microsoft Excel Worksheet"
HKLM, SOFTWARE\Classes\Excel.Sheet.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-01500483 83C9}\xlicons.exe,1"
HKLM, SOFTWARE\Classes\Access.Application.11,,,"Microsoft Office Access Application"
HKLM, SOFTWARE\Classes\Access.Application.11\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-01 50048383C9}\accicons.exe,1"
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, Hidden, 0x00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, HideFileExt, 0x00010001,0
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, ShowSuperHidden, 0x00010001,1
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden,WarningIfNotDefault,0,"@ shell32.dll,-28964"

[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoFolderOptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableRegistryTools
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableTaskMgr
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DIsablecmd
HKCU, Software\Microsoft\Internet Explorer\Main, Window Title
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer,NoFolderOptions
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System,DisableRegistryTools
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System,DisableTaskMgr
HKLM, SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
HKCU, Software\Microsoft\Windows\CurrentVersion\Run, System
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop
HKCU, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, shell
HKCU, Software\Policies\Microsoft\Windows\System, DisableCMD
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt, WarningIfNotDefault
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Run, cintaku
HKLM, SOFTWARE\Classes\exefile, FriendlyTypeName

5. Hapus file "C:\Windows\desktop.ini" (file yang berfungsi untuk mengubah icon Windows menjadi icon Control Panel). Gunakan dos prompt untuk menghapus file tersebut.

6. Cari dan hapus file induk virus di Hard Disk dan Flash Disk dengan terlebih dahulu menampilkan file yang tersembunyi. Untuk mempercepat pencarian gunakan fungsi "Search Windows".

Berikut beberapa file induk yang akan dibuat oleh Koplaxz:

• C:\Documents and Settings\%user%\Start Menu\Programs\Startup

Winhelp.exe

• C:\Documents and Settings\%user%\Start Menu\Programs

Hellloo_Gheea.exe

• C:\Documents and Settings\%user%\My Documents

Jangan_Dihapus_Apalagi_Dibuka.exe

• C:\Documents and Settings\%user%\Start Menu

Koplaxz Kudo Shop.exe

• C:\Documents and Settings\%user%\Start Menu\Programs

Hellloo_Gheea..exe

• C:\Windows

TourWindowsXP.exe

svchost.exe

Kudo.com

command32.pif

KopLaXz@KudoShop.exe

• C:\F4HM1_KudO_M4n4j3r.exe
• C:\G0d3G.exe
• C:\Ghe@_i_miss_u.3gp.exe (All Drive)
• C:\K0pL4xZ.exe
• C:\K 0 P L 4 X Z.exe
• C:\KopLaXz@KudoShoP.exe (All Drive)
• C:\R0n13G4N_G3Ndut_S3xY.exe
• C:\R3eve5.exe
• C:\K0pL4xZ@KudoShop (All Drive)

folder.htt

msvbvm60.dll

K0pL4xZ.exe

• C:\K0pl4xZ@KudoShop\K0pL4xZ.exe
• C:\[spasi] WINDOWS\System_FriendZ_KopLaXz32

F4HM1_KudO_M4n4j3r.exe

G0d3G.exe

K 0 P L 4 X Z.exe

R0n13G4N_G3Ndut_S3xY

R3eve5.exe

• C:\ [spasi] Windows\Zx4Lp0K.html
• C:\WIndows\system32\smkn2majalengka.scr
• C:\Windows\system32\PCMAV.exe
• C:\Windows\system32\Asholest.exe
• C:\Documents and Settings\%user%\SendTo\KoPLaXzKudo(e-mail).exe
• C:\Autorun.inf (semua Drive)
• C:\Desktop.ini (semua Drive)
• C:\A Letter 4 Ghe@.txt (semua Drive)
• C:\K0pL4xZ@kUdO_5h0P.txt
• C:\Documents and Settings\All Users\Desktop\A Letter 4 Ghe@.inf
• C:\WIndows\desktop.ini

Kemudian hapus file induk virus yang mempunyai ciri-ciri:

• Icon "Windows Media Player" clasic / 3GP Video Format
• Ukuran 31 KB
• Ekstensi EXE, PIF, COM dan SCR
• Type file "Application"

Hapus juga file berikut:

• C:\Autorun.inf (setiap root drive: c:\ atau D:\)
• C:\Desktop.ini (setiap root drive: c:\ atau D:\)
• C:\A Letter 4 Ghe@.txt (setiap root drive: c:\ atau D:\)
• C:\K0pL4xZ@kUdO_5h0P.txt (setiap root drive: c:\ atau D:\)
• C:\K0pL4xZ@KudoShop (disetiap root drive dan Flash Disk)
• C:\Documents and Settings\All Users\Desktop\A Letter 4 Ghe@.inf
• C:\[spasi] WINDOWS
• C:\[spasi] WIndows\Zx4Lp0K.html

7. Untuk pembersihan optimal dan mencegah infeksi ulang, scan dengan menggunakan anti virus yang up-to-date. Read More...