FlyFF: Reinkarnasi Amburadul

FlyFF. Worm Amburadul adalah salah satu worm yang sempat membuat banyak user kewalahan dibuatnya. Meng-hidden semua file gambar dan di gantikan dengan file bertipe (.exe) tapi dengan nama file yang sama dengan file asli. Pada varian lain ditemukan Amburadul juga menghapus beberapa file video.

Hadir dengan pola yang hampir sama dengan Amburadul, FlyFF juga memiliki icon file gambar (.jpg). Gambar di atas akan tampil setelah virus aktif. Dibuat menggunakan bahasa pemrograman Visual Basic tanpa di-pack. Beberapa ekstensi file yang diincar adalah .doc, .mp3, .zip, .rar, .ppt, .jpg.

Berikut ini adalah salah satu kesamaan dari file berekstensi .inf yang diciptakan Amburadul dan FlyFF :

Membuat direktori yang hampir sama dengan yang di gunakan oleh Worm Amburadul.

Amburadul: WINDOWS\system32\~A~m~B~u~R~a~D~u~L~
FlyFF: WINDOWS\system32\~F~l~y~f~f~™

Salah satu teknik bertahan yang digunakan adalah menutup aplikasi yang di dalamnya terdapat kata-kata berikut :

vir
av
safe
pcmav
master
utility
hijack
patrol
firewall
TaskManager
config
folder option
security
remov
scan
option
kill
reg
anti
ansav+
system32
Setup
Windows
mcafee
norman
norton
avg
nod32
fix
system
instaler
instal
avi-gen
tigor
vi
rus
protect
recycle
smp
task

Agar bisa aktif setelah windows di jalankan, worm ini membuat banyak proses yang terdaftar di registry:

HKEY_LOCAL_MACHINE\Software\Microsoft\Window\CurrentVersion\Run\win32HKEY_LOCAL_MACHINE\Software\Microsoft\Window\CurrentVersion\Run\Smss
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Scvhost
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\~Flyff~666~VM~HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Winlogon
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\dllhost

Selain itu, worm ini juga merubah Windows Title Internet Explorer.