W32/Sadra.A
Cinta ditolak, SandraDewi bertindak
Cinta Ditolak VIRUS bertindak
Sangat sakit rasanya apabila cinta kita ditolak oleh seseorang,
pada zaman dahulu orang menggunakan fasilitas dukun sebagai media untuk mendapatkan cintanya
Seiring dengan berkembangnya Teknologi informasi,
File virus
Ciri-ciri dari file virus ini, diantaranya sebagai berikut :
• Memiliki ukuran file sebesar “132 kb”.
• Mempunyai type file “Application”.
• Berextension file “exe”.
• Memiliki icon gambar (JPEG image).
Pesan sebelum login
Masih ingat dengan virus Blue Fantasy, virus yang menampilkan pesan sebelum login, dan kini virus Sandra Dewi juga menampilkan sebuah pesan.
Blok fungsi Windows
Sebagai bentuk pertahanan, virus akan mencoba melakukan usaha blok terhadap beberapa fungsi Windows. Beberapa fungsi Windows yang di blok diantaranya sebagai berikut :
• Folder Options (dilakukan untuk mencegah akses terhadap file/folder yang disembunyikan)
• Registry Editor (dilakukan untuk mencegah akses perbaikan registry)
• Search/Find (dilakukan untuk mencegah dari pembersihan virus)
• Command Prompt (dilakukan untuk mencegah dari proses kill virus)
• Task Manager (dilakukan untuk mencegah proses monitoring virus) (lihat gambar 4)
• Control Panel (dilakukan untuk mencegah akses kontrol dari OS komputer)
• MsConfig/System Configuration Utility (dilakukan untuk mencegah akses pada startup)
Selain itu, virus juga mencoba melakukan usaha blok terhadap beberapa fungsi Windows yang lain seperti diantaranya :
• Disable klik kanan pada desktop.
• Disable “All Programs” pada Start Menu.
• Disable menu Log Off/Turn Off pada Start Menu.
Dengan usaha ini, virus mencoba agar pengguna komputer kesulitan dalam menjalankan program tertentu, dan bahkan kesulitan untuk me-restart, log-off maupun shutdown komputer.
Merubah informasi System Properties
Pada System Properties, virus akan merubah RegisteredOwner menjadi Dewi Bugil dan RegisteredOrganization menjadi Sandra.
Merubah header Internet Explorer
Virus akan merubah header Internet Explorer (IE) saat akan menjalankan aplikasi Internet Explorer, dengan tambahan ::CREATION::BUDI::DARMA::.
Aktif pada start up dengan menjalankan program Splash
• C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Sandra Dewi Bugil.exe
File virus yang aktif ini menjalankan program Splash, program ini tidak dapat di geser ataupun di tutup kecuali pada tombol Keluar. Jika tombol Keluar di klik, maka akan muncul pop-up KONFIRMASI kirim email kepada budi_9***@yahoo.com. Apapun yg di klik, baik tombol Yes maupun No akan membuat shutdown komputer kita dengan memunculkan jendela System Shutdown dalam waktu 1 menit.
Metode Penyebaran
Virus ini menggunakan removable drive/usb sebagai sarana penyebaran dirinya. File yang akan di buat virus yaitu :
• Sandra Dewi Bugil.exe
Cara pembersihan virus Sandra Dewi
• Sebaiknya putuskan hubungan komputer yang akan dibersihkan dari jaringan.
• Matikan “System Restore” selama proses pembersihan virus (untuk Windows XP/Vista)
• Matikan proses virus yang aktif di memory. Gunakan tools pengganti task manager, seperti Process Explorer (dapat anda download pada alamat berikut)
http://www.sysinternals.com/utils/index.html
• Lakukan kill process, pada beberapa file virus yang aktif yaitu :
o C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Sandra Dewi Bugil.exe
o C:\WINDOWS\ Sandra Dewi Bugil.exe
• Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.
[Version]
Signature="$Chicago$"
Provider=Vaksincom Oyee
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del
[UnhookRegKey]
HKCR, batfile\shell\open\command,,,"""%1"" %*"
HKCR, comfile\shell\open\command,,,"""%1"" %*"
HKCR, exefile\shell\open\command,,,"""%1"" %*"
HKCR, piffile\shell\open\command,,,"""%1"" %*"
HKCR, lnkfile\shell\open\command,,,"""%1"" %*"
HKCR, scrfile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001,1
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, DefaultValue, 0x00010001,2
[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableMsConfig
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr
HKCU, Software\Policies\Microsoft\Windows\system, DisableCMD
HKCU, Software\Microsoft\Internet Explorer\Main, Window Title
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFind
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoClose
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoControlPanel
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoRun
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoStartMenuMorePrograms
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewContextMenu
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewOnDrive
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, StartMenuLogoff
Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).
Jalankan repair.inf dengan klik pada menu File pada windows explorer, kemudian pilih install.
Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.
• Hapus file virus yang mempunyai ciri-ciri sebagai berikut :
Icon gambar (JPEG Image)
Extension exe
Ukuran 132 kb
Catatan
o Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.
o Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe yang mempunyai ukuran 133 KB.
o Hapus file virus yang biasanya mempunyai date modified yang sama.
• Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik. Anda dapat pula menggunakan tools Norman Malware Cleaner yang dapat anda download pada