Alabama. Awalnya kami pikir ini hanyalah worm yang sama seperti VB-Shortcut karena menggunakan icon standar aplikasi Visual Basic. Namun setelah kami coba melakukan analisa lebih jauh, rupanya karakteristik worm ini berbeda dengan VB-Shortcut. Terdapat string “ALABAMA” yang terdapat dalam tubuh worm ViewFiles. Apakah mengindikasikan worm ini berasal dari Alabama?
A. Info Malware
Nama: ViewFiles
Asal: kemungkinan dari Alabama
Ukuran File: 168 KB (172,032 bytes)
Packer : -
Pemrograman : Visual Basic
Icon : Aplikasi Visual Basic
Tipe : Worm
B. Tentang Malware
Selain shortcut yang sedang ramai dibuat oleh beberapa worm belakangan ini, icon aplikasi Visual Basic juga menjadi salah satu ciri worm yang mulai banyak di laporkan sejak Agustus 2010 kemarin. Begitu juga yang dilakukan olah pembuat worm ViewFiles. Namanya diambil dari nama induknya yang menyebar di flash disk dan diberi nama ViewFiles.exe.
C. Companion/File yang dibuat
Pada komputer yang terinfeksi, worm ViewFiles akan membuat file autorun dan file companion pada flash disk yang nantinya akan di panggil oleh autorun.
Induk ViewFile
Isi dari autorun akan selalu berubah seperti contoh di bawah ini, hal ini di maksudkan untuk mengecoh pendeteksian oleh antivirus akan tetapi beberapa penting bagian tidak pernah dirubah oleh worm ini.
Autorun ViewFile
D. Hasil Infeksi
Worm ViewFiles akan bersembunyi di dalam folder RECYCLER dan membuat folder yang hampir sama seperti isi folder RECYCLER seperti gambar di bawah.
ViewFile
Agar bisa berjalan saat startup, worm ini membuat key dengan nama Taksman pada:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman
Startup
E. Pembersihan
Mulai PCMAV 4.7 Update Build2, ViewFiles beserta file-file companionnya telah dapat dikenali dan dibersihkan dari sistem komputer Anda.
Detected
PCMAV 4.7 Update Build2
Untuk membasmi virus ini ataupun varian virus lainnya, PCMAV 4.7 Update Build2 telah hadir dengan penambahan 98 pengenal varian virus baru. Bagi Anda pengguna PCMAV 4.7, sangat disarankan segera melakukan update, agar PCMAV Anda dapat mengenali dan membasmi virus lebih banyak lagi.
Untuk mendapatkan dan menggunakan update PCMAV ini, Anda cukup menjalankan PCMAV.exe, komputer harus dalam keadaan aktif terhubung ke Internet. Jika koneksi Internet menggunakan proxy, tentukan konfigurasi proxy pada file proxy.txt . Fitur Automatic Updates dari PCMAV akan secara otomatis men-download dan meng-update database dari PCMAV. Anda juga dapat mengupdate kapan saja dengan klik kanan icon PCMAV pada system tray dan pilih Update.
Bagi Anda yang ingin mendapatkan file update tersebut secara manual, Anda bisa men-download file-nya melalui beberapa link ini:
SendSpace.com
ZippyShare.com (mirror)
Rapidshare.com (mirror)
Letakkan file hasil download tersebut (update.vdb) ke dalam folder \vdb. Jika sebelumnya telah terdapat file update yang lama, Anda cukup menimpanya. Pastikan sekali lagi, bahwa nama file update adalah update.vdb, jika berbeda, cukup ubah namanya. Dan nanti saat Anda kembali menjalankan PCMAV, ia sudah dalam keadaan kondisi ter-update.
Daftar tambahan virus hingga PCMAV 4.7 Update Build2:
Aksika-Indramayu
Aksika-Indramayu.txt
AlamarPica.vbs
Angelo.G
Angelo.G.host
AnitaLoroaji
AnitaLoroaji.inf
Autoit-Arif
Autoit-Cyrillic
Autoit-ReplaceIcon.D
Autoit-ReplaceIcon.E
Autoit-ReplaceIcon.F
Autoit.FD
Autoit.FD.ini
Autoit.FE
Autoit.FE.serv
Batam
Batam.inf
Cobax.exe.C
Dhoos
Dhoos.dll
Dhoos.url.A
Dhoos.url.B
Dhoos.url.C
DirLock.C
DirLock.C.host
FakeAV
FakeAV-Downloader.K
FakeAV-Downloader.K.dat
FakeAV-Downloader.K.dll.A
FakeAV-Downloader.K.dll.B
FakeAV-Downloader.K.dll.C
FakeAV-Downloader.K.job
FakeAV-Downloader.K.lnk.A
FakeAV-Downloader.K.lnk.B
FakeAV-Downloader.K.lnk.C
FakeAV-Downloader.K.lnk.D
FakeAV-Downloader.K.ref
FakeAV-Downloader.K.rtf
FakeAV-Downloader.K.setup
FakeAV-Downloader.K.unins
FakeAV-Downloader.K.url
Fakhricker.vbs
FeSilva.vbs
FeSilva.vbs.inf
FnI-DiaryMimi.vbs
FnI-DiaryMimi.vbs.inf
Gabest.B
GavGent-HVM31
GrepoZipTsunami.vbs
GrepoZipTsunami.vbs.inf
GXRG-Snow.vbs
GXRG-Snow.vbs.host
GXRG-Snow.vbs.inf
GXRG.vbs
GXRG.vbs.inf
H323
H323.bat
Halted
KefiUnique.vbs
KefiUnique.vbs.txt
KefiUnique.vbs.upd
Lz32.vbs.B
Lz32.vbs.C
Ossep.vbs
Ossep.vbs.inf
Ramnit.A.Variant
Ramnit.B.Variant
Ramnit.C.Variant
Ramnit.D.Variant
Ramnit.E.Variant
Ramnit.F.variant
Recycler.BO
Recycler.BO.dll
Ronkor.C
Ronkor.C.htt
Ronkor.C.txt
Rose-Loren.E
Serviks.vbs.C
Serviks.vbs.C.doc
Serviks.vbs.C.host
Temps
Temps.INF
TripleExe
TripleExe.inf
VB-Shortcut-1.lnk
VBVN
ViewFiles
XSample.vbs
XSample.vbs.inf
XSample.vbs.ini
XSample.vbs.lnk.A
XSample.vbs.lnk.B
XSample.vbs.lnk.C
XSample.vbs.lnk.D
XSample.vbs.lnk.E
XSample.vbs.lnk.F
XSample.vbs.mp3
Selasa, 03 Mei 2011
