_tdysoft inside_

W32/VBWorm.QXE (bulubebek)

Giliran Donal Bebek yang menyerang komputer Indonesia

Rupanya Donal Bebek tidak mau kalah dengan Kenshin, Doraemon dan Naruto. Setelah melihat “saingannya” dari Jepang beraksi, kini muncul virus lokal yang mungkin terinspirasi Donal Bebek. Virus ini dapat dikenali dengan ciri khasnya mengandung nama Bulu Bebek. Penyebaran Bulu Bebek ini sebulan terakhir cukup merata dan diperkirakan ribuan komputer di seluruh Indonesia “dikerjai” oleh si Donal Bebek ini. Virus ini berusaha untuk menyembunyikan folder/subfolder dan membut file duplikat dengan tujuan untuk mengelabui user.

Bulubebek dibuat menggunakan Visual Basic dengan ukuran file sebesar 53 KB (lihat gambar 1) yang terdiri dari 2 jenis file yakni .EXE dan .INI. Dengan update terbaru Norman Virus Control dan Norman Security Suite telah mendeteksi virus ini sebagai VbWorm.QXE (lihat gambar 2)

Gambar 1, File induk virus

Gambar 2, Hasil deteksi Norman Security Suite

File Induk

Pada saat virus ini aktif ia akan membuat sejumlah file yang akan dijalankan pertama kali pada saat komputer dinyalakan serta membuat file autorun.inf agar virus tersebut dapat aktif secara otomatis setiap kali user akses folder. Berikut beberapa file induk yang akan dibuat oleh VBWorm.QXE

• C:WindowsScript.exe

• C:WindowsLSASS.exe

• C:Documents and Settings%user%autorun.inf

• C:Documents and Settings%user%bulubebek.ini

• C:bulubebek.ini

• c:autorun.inf

Auto start registry

Untuk memastikan agar file tersebut dapat dijalankan, ia akan membuat string pada registry berikut:

• HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWinlogon

  • Shell = explorer.exe script.exe

• HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

  • Shell = explorer.exe script.exe

Blok Fungsi Windows

Sebagai bentuk pertahanan ia akan mencoba untuk blok beberapa fungsi Windows seperti Task Manager, Folder Option atau CMD. Untuk melakukan hal tersebut ia akan membuat string pada registry berikut:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenHideFileExt

– CheckedValue=2

– DefaultValue = 2

– UncheckedValue = 2

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenNOHIDDEN

– CheckedValue= 0

– DefaultValue = 0

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL

– CheckedValue= 2

– DefaultValue = 2

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenShowFullPath

– CheckedValue= 0

– DefaultValue = 0

– UncheckedValue = 0

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenShowFullPathAddress

– CheckedValue= 0

– DefaultValue = 0

– UncheckedValue = 0

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSuperHidden

– CheckedValue= 2

– DefaultValue = 2

– UncheckedValue = 2

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt

– CheckedValue= 1

– DefaultValue = 1

KEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSuperHidden

– CheckedValue= 0

– DefaultValue = 0

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

– NoFolderOptions

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem

– DisableRegistryTools

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced

– Hidden = 2

– HideFileExt = 1

– ShowSuperHidden = 1

HKEY_LOCAL_MACHINESOFTWAREMicrosoftCommand Processor

• AutoRun = exit

HKEY_CURRENT_USERSoftwareMicrosoftCommand Processor

• AutoRun = exit

Ia juga akan mencoba blok eksekusi file “Microsoft Visual Studio Spy Debugging Tools” yang mempunyai nama file SPYXX.exe dengan menampilkan pesan berikut saat file tersebut di eksekusi dengan terlebih dahulu membuat string pada registry berikut : (lihat gambar 3)

• HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsSPYXX.EXE

  • • debugger = TAI BEBEK

Gambar 3, Pesan Error saat menjalankan file Spyxx.exe

Penyebaran otomatis

Flash Disk adalah salah satu media yang akan digunakan untuk menyebarkan dirinya dengan memanfaatkan celah autorun Windows yakni dengan membuat file autorun.inf dan bulubebek.ini (lihat gambar 4)

Gambar 4, Script yang terdapat pada file autorun.inf

Hidden folder dan membuat duplikat folder

Tidak seperti virus lain yang jahat menginjeksi atau menghancurkan file komputer korbannya, pembuat Bulu Bebek ini kelihatannya tidak memiliki niat jahat menghancurkan data komputer korbannya. Bulubebek akan mencoba untuk menyembunyikan folder/subfolder pada flash disk, untuk mengelabui user ia akan membuat file duplikat disetiap folder/subfolder sesuai dengan nama older/subfolder tersebut. File duplikat ini mempunyai ciri-ciri : (lihat gambar 5)

• Menggunakan icon Folder

• Ukuran file 53 KB

• Ekstensi EXE

• Type File “Application

Gambar 5, File duplikat yang dibuat oleh VBWorm.QXE / bulubebek

Membersihkan virus Bulubebek

1. Sebaiknya putuskan komputer yang akan dibersihkan dari jaringan (jika terhubung ke LAN)

2. Disable “System Restore” untuk sementara selama proses pembersihan berlangsung (jika menggunakan Windows ME/XP)

3. Matikan proses virus yang sedang aktif di memori, untuk mematikan proses virus ini gunakan tools penggganti taks manager seperti procexp, kemudian matikan proses virus yang mempunayi icon “Folder”. (lihat gambar 6)

Gambar 6, Mematikan proses virus yang aktif dimemory

1. Repair registry Windows yang sudah di ubah oleh virus. Untuk mempercepat proses tersebut salin script dibawah ini pada program notepad kemdian simpan dengan nama repair.inf. Jalankan file tersebut dengan cara:

• • Klik kanan repair.inf

  • Klik Install

[Version]

Signature=”$Chicago$”

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, SoftwareCLASSESbatfileshellopencommand,,,”"”%1″” %*”

HKLM, SoftwareCLASSEScomfileshellopencommand,,,”"”%1″” %*”

HKLM, SoftwareCLASSESexefileshellopencommand,,,”"”%1″” %*”

HKLM, SoftwareCLASSESpiffileshellopencommand,,,”"”%1″” %*”

HKLM, SoftwareCLASSESregfileshellopencommand,,,”regedit.exe “%1″”

HKLM, SoftwareCLASSESscrfileshellopencommand,,,”"”%1″” %*”

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon, Shell,0, “Explorer.exe”

HKLM, SYSTEMControlSet001ControlSafeBoot, AlternateShell,0, “cmd.exe”

HKLM, SYSTEMControlSet002ControlSafeBoot, AlternateShell,0, “cmd.exe”

HKLM, SYSTEMCurrentControlSetControlSafeBoot, AlternateShell,0, “cmd.exe”

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHidden, UncheckedValue,0×00010001,1

HKLM, SOFTWAREMicrosoftCommand Processor, AutoRun,0,

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL, CheckedValue, 0×00010001,1

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL, DefaultValue, 0×00010001,2

HKCU, SoftwareMicrosoftCommand Processor, AutoRun,0,

[del]

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableRegistryTools

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableTaskMgr

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer, NoFolderOptions

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer, NOFind

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer, NORun

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldApp

HKLM, SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsPAYXX.exe

HKCU, SoftwareMicrosoftWindows NTCurrentVersionWinlogon, Shell

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenHideFileExt

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenShowFullPath

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenShowFullPathAddress

HKLM, SOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSuperHidden

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer, NoFolderOptions

HKCU, SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem, DisableRegistryTools

1. Cari dan hapus file duplikat yang dibuat oleh virus. Untuk mempercepat proses pencarian sebaiknya gunakan fungsi “Search Windows” dengan terlebih dahulu menampilkan file yang disembunyikan. (lihat gambar 7)

Gambar 7, Menampilkan file yang disembunyikan

Jika Folder Option belum muncul sebaiknya LogOff komputer terlebih dahulu kemudian tampilkan file yang tersebunyi.

Setelah file duplikat ditemukan, hapus file yang mempunyai ciri-ciri : (lihat gambar

• • • Menggunakan icon Folder

    • Ukuran file 53 KB

    • Ekstensi EXE

    • Type File “Application

Gambar 8, Mencari dan menghapus file duplikat Bulubebek

1. Tampilkan kembali file/folder pada Flash Disk yang sudah disembunyikan. Untuk menampilkan file yang disembunyikan anda dapat menggunakan bebarapa tools alternatif seperti Batch File Utility atau dengan menggunakan perintah ATTRIB

Berikut cara menampilkan file/folder yang disembunyikan dengan menggunakan ATTRIB (lihat gambar 9)

• Klik “Start”

• Klik “Run”

• Ketik “CMD”, kemudian tekan tombol “Enter”

• Pindahkan posisi kursor ke drive Flash Disk

• Kemudian ketik perintah ATTRIB –s –h –r /s /d kemudian tekan tombol “enter”

Gambar 9, Menampilkan file yang disembunyikan

1. Untuk pembersihan optimal dan mencegah infeksi ulang scan, dengan antivirus yang up-to-date dan sudah dapat mendeteksi virus ini.

sumber: vaksin.com

hai semua,,kemaren aibi baca majalah CHIP 06/08 trus disana tertulis kalo kebanyakan virus lokal di indonesia rata-rata memanfaatkan celah autorun,nah aibi pun akhirnya menemukan cara menonaktifkan autorun di windows tanpa software,langkah-langkahnya sebagai berikut :

1. buka run komputer temen2,terserah mo dari start trus pilih run ato pencet shortcut windows+r

2. kemudian ketikan gpedit.msc di sana

3. klik 2x pada Computer Configuration

4. kemudian klik 2x lagi pada administrative template

5. kemudian pilih system,klik 2x juga disana

6. trus cari turn off autoplay,klik lagi 2x disana

7. pilih jadi enable dan turn off autoplay on: all drives lalu klik apply dan OK

restart komputer temen2…

nah………………………sekarang udah ngak aktif deh autorun na…

lumayan untuk menghindari resiko kemasukan virus…

thanks to :

Allah SWT,Engkau Adalah pelindungku

nabi Muhammad SAW,Engkau adalah sumber inspirasi dalam hidupku..

My mom and dad,Sang penuntunku..

My LOvely girl,engkau adalah penerang hati ku..

I love U all…

Temen2 semua pasti pernah kesal dengan yang namanya virus komputer.
Udah capek2 ngetik laporan atau skripsi eh…tiba-tiba pas dibuka di komputer udah berubah
aja menjadi aplikasi atau yang berekstensi .Exe

Dont worry……..
karena sebenarnya data temen-temen ntu g hilang,,tapi cuma di sembunyikan alias di superhiddenkan
aj sama ntu virus,,
so sekarang Aibi pengen berbagi neh,cara ntuk mengembalikan data temen-temen semua….

yang harus di persiapkan :
1. Flashdisk temen-temen yang terinfeksi virus
2. segelas capucino panas
3. satu bungkus tango (kalau belum ada segera beli ke warung di depan………)
(^_^)

nah ini langkah-langkahnya :
1. colokin flashdisk teman-teman ke komputer,apabila autorunnya hidup harap cancel aj…
2. buka flash dari explorer dengan cara klik kanan START > explorer trus buka flashdisk nya,,
3. trus klik View > Detail
4. lalu klik tulisan type sekali,,
5. Nah kalo ada folder atau file MS word / MS excel tapi type nya aplikasi berarti ntu adalah virus..
6. Langsung aja hapus semua dengan di block terlebih dahulu trus pencet SHIFT+DELETE aj..
7. Sekarang flash nya keliatan kosong khan padahal sebenarnya ngak loh…
8. teguk dulu kapucino nya…(^_0)
9. SaaTnya untuk mengembalikan data temen-temen semua…
10.Buka command prompt dengan cara klik start lalu ambil run kemudian klik cmd
11.Setelah ada di prompt (yang layarnya hitam ntu loh)..
12.lalu pindah ke flashdisk temen,misalnya flash saya di detech sebagai drive E di komputer,maka
yang saya klik di Command promot adalah E:
contoh:
C:\>E:
13.maka akan pindah ke drive E,
14.kemudian ketikan Attrib -s -h /D /S
15.Simsalabim…data temen-temen yang hilang tadi telah kembali,,
16.Selamat menemukan sesuatu yang hilang(Ha…ha….)

NB: Kalau virusnya udah merambah ke drive C,,Cara terbaiknya install ulang aj komputernya lagi…

thanks
to allah and my parent
and all my fren….

Hai temen-temen,,kali ini Aibi mo nulis pengalaman Aibi lagi nih,,bukan maksud ntuk ngajarin
tapi cuman pengen berbagi aj,,Mohon maav ntuk yang udah Expert,ini pasti dah basi…
Langsung aj y….

Rata-rata temen-temen semua pasti dah pada kenal dengan yang namanya flashdisk(Hari gini g tau flashdisk..)
He…He..,Bagi yang emang blom tau,,itu loh…Media penyimpanan data External yang di colokin ke port USB..

Nah…Sebagian dari kita dah bosen tuh ngeliat Icon flashdisknya biasa-biasa aj pas di colokin ke komputer..
Akhirnya timbul pikiran ntuk ngeganti Iconnya..

Ya Udah ….Ini Aibi kasih tau caranya…

1.cari icon yang keren menurut temen-temen,,biasanya icon ber extensi .ico trus copy’in ke flashdisk
2.Buka Teks Editor bawaan Windows Alias Notepad
3.Kemudian ketikan kata-kata sakti dibawah ini :

[AutoRun]
icon=”namaicon.ico”

ket:
nama icon merupakan nama icon yang kita copy ke flashdisk tadi

4.Save file ini ke flashdisk dengan cara klik File >> Save As >> trus isi namanya “autorun.inf” tanpa tanda petik..
5.untuk save as typenya ganti menjadi all files
6.eit…KoQ blum berubah sih…Tenang effectnya bakal terasa kalo dah dicabut trus di colokin lagi flashdisknya,,
7.ngak bagus y kalo di dalam flashdisk qta keliatan file autorunnya…Nah..Langsung aj ganti attibutnya jadi superhidden..
8.cara nya buka RUN >> ketik cmd abis ntu masuk ke flashdisk(biasanya drive F) kemudian ketik aja commandnya :
attrib +s +h autorun.inf
attrib +s +h namaicon.ico

9.Sekarang Pemandangan udah sedap dimata n’ ICon Flashdisk nya udah berubahkan…

Selamat mencoba…

Thanks to :
> Allah SWT
> My family
> seseorang yang tidak tahu kalau aibi sangat menyayanginya (^_^)
> Semua Temen-temen Aibi di Politeknik UNAND,,HIDUP COMPRESOR!!!!

Mungkin temen-temen semua dah pada tau cara bikin AUTORUN pada flashdisk..nah disini kita
akan memanfaatkan cara ntuk membuat autorun tersebut ntuk mengaktif’in anti virus yang
nantinya akan kita copy pada flashdisk kita..

Alat & bahan :
————–
software AV yang berukuran kecil (banyak di internet,,goggling aj..)
contoh: PCMAV,ANSAV,SMADAV dll..(tapi Aibi lebih sering pake PCMAV..abiz ukurannya
kecil banget n’familiar buat semua orang…)

Langkah-langkah:
—————-
1.ketik di notepad mantera berikut:

[AutoRun]
open=namaantivirus.exe
shellexecute=namaantivirus.exe
shell\Scan Dulu Virusnya!!!\command=namaantivirus.exe
shell=Scan Dulu Virusnya!!!

2.trus save dengan nama “autorun.inf”(gak pake tanda kutip) di flashdisk kita
sekarang tinggal kita copy aja antivirus yang mau kita masukin ke flashdisk..!!!
(NB:kalo ngopy file autorun n’ antivirusnya jangan di dalam folder)

Dah jadi deh…^_^!!
kalo mau scan virus tinggal double click aja tuh drive flashdisk kita!!
kalo kita klik kanan drive flashdisknya bakalan ada tambahan kata di atas kata
AUTOPLAY.
Scan Dulu Virusnya!!!

kalo mau di ubah ya kita tinggal ganti aja kata-kata yang ada di dalam script…!

shell\kata-kata_anda\command=namaantivirus.exe
shell=kata-kata_anda

3.trus gimana cara buka flashdisknya nih???
gak mungkin lah gak pada tau…tinggal klik kanan aja trus cari open…!
ngak bagus ya kalo di dalam flashdisk kita ada keliatan nama file AUTORUN n’antivirusnya…
ngerusak pemandangan gitu loh….

kalo gitu tinggal kita ubah aja attributnya jadi super hidden…
caranya…???
buka RUN dari start menu
terus ketik cmd
masuk ke dalam drive flashdisk (biasanya drive f:)
udah gitu ya kita tulis commandnya

f:\>attrib +h +s namaantivirus.exe (buat hidden antivirusnya)
f:\>attrib +h +s autorun.inf (buat hidden file autorun)

Thanks to :
> Allah SWT
> My family
> seseorang yang tidak tahu kalau aibi sangat menyayanginya (^_^)
> Semua Temen-temen di Politeknik UNAND,,HIDUP COMPRESOR!!!!

Mungkin temen-temen semua pernah ngerasain jengkel ketika maen ke sebuah warnet,terus komputernya terproteksi banget…
sampe2 klik kanannya juga di disable’in,,bete banget khan..
Oke…kali ini saya bakal coba berbagi dikit,,
Sebenarnya sumber dari proteksi yang berada pada sebuah komputer kunci nya berasal dari Regedit(Registry Editor)
kalo kita semua paham dengan Regedit otomatis Windows bisa kita modifikasi sesuka hati..
bahkan virus sekalipun bisa di hapus lewat sini(kalo tau caranya…)
oke…Langsung saja nih saya kasih tau caranya,
pertama cek dulu apa benar regeditnya di kunci dengan cara klik start > run > regedit
jika keluar tulisan “Registry editing has been disable by your administrator” berarti regedit nya emang dikunci
maka ikuti langkah-langkah berikut:
1. buka aplikasi notepad .start > all programs > accsessories > notepad
2.lalu ketikan mantra ajaib ini di situ,
mantranya yaitu :

‘Enable Registery Editing’
‘A? Veegertx – 26/12/2007
‘This code may be freely distributed/modified
On Error Resume Next
Set WshShell = WScript.CreateObject(“WScript.shell”)

wshShell.RegDelete “HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools”
wshShell.RegDelete “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\DisableRegistryTools”

Message = “Regeditnya sekarang udah bisa dibuka,Persembahan terindah ANaQbaik”

x = MsgBox(message,vbokOnly, “AnaQbaik@tdysoft”)
Set wshShell = Nothing
Set fso = Nothing
[/code]

3.Lalu SaveAs
file name :terserahAnda.vbs
save as type:All files
lalu klik save

4.Untuk menjalankan program ini tinggal klik dua kali pada file .vbs yang tersimpan tadi

Oke....sekarang registry editor sudah dapat terbuka,selamat memodifikasi

untuk cara modifikasi akan ada pada tutorial selanjutnya(tunggu ya.......)

NB:
Tulisan ini hanya sebagai pembelajaran saja
penulis tidak bertanggung jawab apabila disalah gunakan

PENTING:

cukup banya yang ngasih comment tentang tulisan ini dan mengatakan kalo ada kesalahan dalam kode ini

namun setelah saya cek kembali ternyata tidak ada masalah,jadi kemungkinan besar komputer yang digunakan oleh temen-temen semua lagi ada virusnya yang tidak mengijinkan membuat kode vbscript,

untuk itu file vbscript ini sudah saya upload

silahkan download disini

ba64s29 Special's Thank's:
ALLAH SWT N Rosul2xnya beserta keluarga dan sahabatnya
my parents,i Love U
my Lovely girl
and semua temen-temen dikampus and dimana aj.............