WeduzZ.Corp

Sampai tulisan ini dibuat, dari pengujian yang kami lakukan terhadap 36 antivirus luar, hanya 3 yang berhasil mendeteksi keberdaan virus ini. Walaupun baru suspected, artinya yang mendeteksi adalah engine heuristic-nya saja. Logikanya, virus VBScript bisa lebih mudah dideteksi oleh heuristic. Jadi, apa saja dan bagaimana yang dilakukan oleh virus ini?



Secara visual, jika dilihat di baris bagian tengah source code tersebut terdapat beberapa string yang ditulis terbalik seperti penggalan berikut ini “))1,I,nillA(diM(csA=orplA”, yang jika dibalik akan menjadi seperti ini “Alpro=Asc(Mid(Allin,I,1))”. Terlihat sepertinya ini merupakan permainan karakter, kemungkinan bagian dari rutin decryptor. Untuk mencoba membuktikannya, maka file virus tersebut kami jalankan. Dengan sekejap, setelah dijalankan, ia membuat sebuah file baru dengan nama Strukdat.bgs, tak lama kemudian file tersebut dihapus kembali olehnya. Untuk itu, kami coba menangkap isi dari file tersebut dan benar seperti yang diduga, isinya meru-pakan rutin decryptor.

Autorun

File statistics.bgs dan Molin.bgs yang bertugas melakukan infeksi. Pertama, virus tersebut akan membuat file induk pada direktori Windows dengan nama bungas.vbs dan Virusmaker.bat. Selain itu, pada direktori Temp user, C:\Documents and Settings\%username%\Local Settings\Temp, juga akan ada 3 file virus lainnya, yakni bungas.vbs, Virusmaker.bat, dan Virusmaker.bgs. Kesemua file tersebut ber-attribut hidden, read-only, dan system. Jadi, pada setting-an Windows default tidak akan terlihat.

Agar aktif otomatis, ia masuk ke registry dengan mencoba membuat item Run baru pada HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run dengan nama bungas, yang diarahkan pada file induknya yang terdapat pada direktori Temp. Lalu, ia juga mengubah nilai shell explorer, yang juga diarahkan pada file induknya bungas.vbs yang terdapat pada direktori Windows.

Restriction

Untuk mendukung kelangsungan hidupnya, ia akan melumpuhkan dan men-disable beberapa fungsi Windows. Diawali dari setingan Folder Options, ia akan mengeset untuk tidak menampilkan file hidden dan system. Selanjutnya, Regedit (regedit.exe) dan Task Manager (taskmgr.exe) pun tidak luput dari serangannya. Tapi tidak hanya itu saja, beberapa program lain pun tidak dapat dijalankan, seperti rstrui.exe, msconfi g.exe, notepad.exe, wordpad.exe, agentsvr.exe, dan winword.exe.

Jika user mencoba menjalankan program yang diblok oleh virus tersebut, yang terjadi adalah muncul kotak Command Prompt yang berisi pesan “Bungas Operating System”, yang tentunya dibuat oleh si pembuat virus. Dan selanjutnya, program yang dituju tidak dapat diakses.

Ia melakukan tersebut dengan cara meregisterkan nama file program – program tersebut pada registry HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options\, untuk dialihkan ke file pesan virus, yakni Virusmaker.bat yang berada di direktori Windows.

Infeksi Flash Drive

Ia akan mencoba untuk meng-copy-kan dirinya ke removable drive, seperti flash disk dengan menggunakan nama random yang menggunakan kombinasi dari Tanggal+Bulan+Tahun, misalkan 29112008.vbs. Selanjutnya, tak lupa ia pun membuat sebuah file autorun.inf, untuk mempermudah virus tersebut menyebar hanya dengan mengakses drive yang dituju. Namun pada file autorun.inf, ia menggunakan cara lain. Beberapa virus yang memanfaatkan file autorun.inf, biasanya akan ada menu baru jika user mengklik kanan drive flash disk yang terinfeksi dengan nama Autoply. Pada virus ini, autorun-nya didesain menggunakan field “shell\Properties\command”. Jadi, saat user mengklik kanan drive terinfeksi, dan memilih Properties, virusnya akan aktif.

Dan seperti yang terlihat pada source code-nya, virus tersebut juga akan mencoba mendapatkan sharing object yang ada pada jaringan setempat, jika berhasil, ia akan meng-copy-kan file bungas.vbs.

Basmi!

PC Media Antivirus 1.9 sudah dapat mendeteksi dan membasmi virus Bungas.vbs. Untuk hasil maksimal, scan seluruh harddisk di komputer Anda termasuk flash disk yang dimiliki.


Sumber : http://www.pcmedia.co.id/