BLOGMATION

Memang bermacam-macam nama virus lokal. Malah ada nama virus yang namanya “Bang hasmi”.
He he he…
Gak tahu deh… Morphost menyebutnya “Bang Hasmi” kalo Av yg lain mungkin beda lagi…
Nih analisis virus ini:
Virus Name : Bang Hasmi [Morphost Antivirus Lokal]
Ukuran Virus : 155,648 bytes
Company : BKHN
Internalname : BangHasmi
Dikompil dgn : VisualBasic 6
Alamat projek : D:\Hasmi Farhandani NIM 091402061\virus\Data hasmi\banghasmi.vbp
Icon : folder win XP
CRC32 : FF25D3AF
MD5 : 57AE4997BD8170DE74E2D0AD7C04042D
Di alamat projek di atas ada tertulis “Hasmi Farhandani NIM 0901402061”. Yang mau aku sampaikan, gak usah terlalu percaya ama tulisan ini. Bukan berarti yang buat virus ini namanya “Hasmi Farhandani” yang berNIM 0901402061. Mungkin ini Cuma iseng. Atau Cuma nipu doang. He he he,.
Soalnya aku sering gitu..
Virus nyebar ke:
-C:\banghasmi.exe
-C:\windows\bang hasmi.exe
-C:\windows\system32\IExplorer.exe
-C:\windows\system32\shell.exe
-C:\windows\system32\MrHelloween.scr
-di Start Menu\Programs\Startup\Empty.pif
-di documents and settings\(user)\ Local Settings\Application Data\WINDOWS\CSRSS.EXE
-di documents and settings\(user)\ Local Settings\Application Data\WINDOWS\LSASS.EXE
-di documents and settings\(user)\ Local Settings\Application Data\WINDOWS\SERVICES.EXE
-di documents and settings\(user)\ Local Settings\Application Data\WINDOWS\SMSS.EXE
-di documents and settings\(user)\ Local Settings\Application Data\WINDOWS\WINLOGON.EXE
Virus ini melakukan penyerangan dengan dua kali eksekusi:
Eksekusi pertama:
-virus Bang Hasmi akan menyebarkan/membuat file virus seperti yang sudah tertera di atas.
Process virus yang aktif adalah file yang pertama kali dieksekusi
Eksekusi kedua: (maksudnya setelah kena virus, dieksekusi kembali)
Virus ini akan membuat file berikut:
-C:\banghasmi.exe
-C:\Data (user).exe
-C:\desktop.ini
-C:\banghasmi\folder.htt
-C:\banghasmi\New Folder.exe
Begitu juga dengan drive-drive lainnya…
Proses virus yang aktif adalah “shell.exe”
Ini adalah registry yang dimodif oleh bang Hasmi:
Analisis ini dilakukan dengan menggunakan GreenRegistry.
Nih hasil analisis green registry untuk virus ni.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\LogonAcer,C:\Documents and Settings\Acer\Local Settings\Application Data\WINDOWS\CSRSS.EXE,Dibuat
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Banghasmi,C:\WINDOWS\banghasmi.exe,Dibuat
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD,1,Dibuat
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions,1,Dibuat
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden,0,Diubah
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt,1,Diubah
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden,0,Diubah
HKEY_CLASSES_ROOT\exefile\shell\open\command\,”C:\WINDOWS\system32\shell.exe” “%1″ %*,Diubah
HKEY_LOCAL_MACHINE\software\Classes\exefile\shell\open\command\,”C:\WINDOWS\system32\shell.exe” “%1″ %*,Diubah
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell,Explorer.exe “C:\WINDOWS\system32\IExplorer.exe”,Diubah
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit,C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\IExplorer.exe,Diubah
HKEY_LOCAL_MACHINE\software\Classes\lnkfile\shell\open\command\,”C:\WINDOWS\system32\shell.exe” “%1″ %*,Diubah
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableConfig,1,Dibuat
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\AlternateShell,C:\WINDOWS\Banghasmi.exe,Diubah
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\AlternateShell,C:\WINDOWS\Banghasmi.exe,Diubah
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools,1,Dibuat
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\open\command\\,”C:\WINDOWS\system32\shell.exe” “%1″ %*,Diubah
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\open\command\\,”C:\WINDOWS\system32\shell.exe” “%1″ %*,Diubah
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\piffile\shell\open\command\\,”C:\WINDOWS\system32\shell.exe” “%1″ %*,Diubah
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions,1,Dibuat
(btw, tunggu berita tentang green registry ya… sekarang masih dalam pengembangan lebih lanjut. Mungkin pertengahan desember bakal diluncurkan.)
Untuk pembersihan:
silakan gunakan Morphost Antivirus…
Mungkin sekian analisis kali ini:
He he he
By: Morphic
Special thanks to:
-Coe88. (“thanks buat virus ini ya… lain kali cantumkan aja alamat blog/web mu tiap kali upload virus, biar sekalian promosi blog. He he he)
Thanks to:
-smua anggota VirusCaptor
source: http://www.morphostlab.co.nr/
http://www.morphorum.co.nr
join us!

Setelah dicek-cek ternyata sampel amburadul pun masih berserak di dunia maya..
Begini detailnya:
Nama Virus : Amburadul [Morphost], VirusBaru[J] dengan heuristik Morphost.
Ukuran Virus : 117,760 bytes
MD5 virus : A136431BADD796EE3623301F3D11EA33
CRC32 Virus : 9871B69B
PROSES VIRUS YANG AKTIF:
-csrss.exe
-smss.exe
-lsass.exe
-services.exe
-winlogon.exe
-~Paraysutki_VM_Community~
PENYEBARAN VIRUS:
-C:\autorun.inf
-C:\Friendster community.exe
-C:\MyImages.exe
-C:\PalMa.exe
-C:\J3MbataN K4HaYan.exe
-C:\FoToKu 16-11-2009.exe (File ini sesuai kapan tanggal virus diekesekusi)
-C:\Windows\linkinfo.dll (awalnya, aku pikir ini alman.)
-C:\windows\temp\Amburadul_List².txt (file ini berisi nama-nama file yang disembunyikan oleh virus. File-file yang disembunyikan biasanya file gambar yang ada di flashdisk. Dan si virus menduplikatkan dirinya sesuai dengan nama file yang disembunyikan. Amburadul melakukan hal ini supaya dia tahu file-file apa saja yang sudah disembunyikan dan mana yang belum.)
-C:\WINDOWS\system32\~A~m~B~u~R~a~D~u~L~²\~Paraysutki_VM_Community~
-C:\WINDOWS\system32\~A~m~B~u~R~a~D~u~L~²\lsass.exe
-C:\WINDOWS\system32\~A~m~B~u~R~a~D~u~L~²\services.exe
-C:\WINDOWS\system32\~A~m~B~u~R~a~D~u~L~²\winlogon.exe
-C:\WINDOWS\system32\~A~m~B~u~R~a~D~u~L~²\csrss.exe
-C:\WINDOWS\system32\~A~m~B~u~R~a~D~u~L~²\smss.exe
-C:\Images\M0D3L_P4ray_ 2009.exe
-C:\Images\MalAm MinGGuan.exe
-C:\Images\TrenD 9aya RAm8ut 2009.exe
-C:\Images\PiKnIk dT4ngKilin9.exe
-C:\Images\_PAlbTN\GePaCar4an Neh!!!.exe
-C:\Images\_PAlbTN\Ma5tURbas1 XL1M4xs.exe
-C:\Images\_PAlbTN\Ke.. TaUan N90C0k.exe
-Amburadul juga melakukan duplikasi pada flashdisk kalo ada file gambarnya… Jumlah duplikat virus sama dengan file gambar yang ada.
Sebenarnya sih, virus ini sudah terdetek oleh heuristik Morphost. Lihat gambar dibawah ini:

Namavirusnya “Virus Baru [J]”
Sementara untuk regedit yang dimodif, tertulis digambar di bawah ini. Sayangnya, saya malas untuk mengetiknya kembali. He he he…
Jadi di zoom aja ya…

Perinciannya sebagai berikut:

Dan sekali mohon maaf, tools Green Registry ini belum bisa kalian dapatkan.
Ternyata, virus amburadul ini belum habis juga. He he he… Tapi yang jelas virus ini belum bisa dikategorikan VirusAbadi.
Sampai saat ini, MorphostLab sudah mencatat dua virus yang masuk ke dalam kategori VirusAbadi, yaitu Alman dan Sality. Sedangkan Conficker dan Virut masih dalam penangguhan.
Oke, sekian dulu.
Byeee
Analyzed by: Morphic
http://www.morphostlab.co.nr
karta_morphic@yahoo.co.id

avast! antivirus Home Edition is available free of charge for non-commercial home use ONLY. If you are not a home user or if you use your computer for business purposes, please download the avast! Professional Edition.

Download software

The preferred method of downloading avast! Home Edition antivirus is to get it from Download.com by clicking on the following button:
On Download.com you can read the Editor’s review (full five stars) and independent user reviews of avast! Home Edition antivirus and you can even contribute your own reviews and opinions.
The product can also be downloaded directly from our website
source: www.avast.com/eng