Proklamasi : Semangat Perjuangan ala Malware

Proklamasi. Sesaat kita terlupa oleh banyaknya malware yang siap menyerang user melalui email seperti Antivirus Palsu dan ancaman paling besar adalah melalui flash disk seperti Ramnit yang saat ini masih banyak menyebar di masyarakat. Akan tetapi, masih ada saja virus maker lokal yang membuat malware tanpa melupakan ciri khas utamanya yaitu pesan-pesan yang menandakan kehadirannya, seperti salah satu malware yang kami beri nama Proklamasi sesuai dengan pesan yang dibuatnya seperti pada gambar di atas.

A. Info File

Nama Worm : Proklamasi Asal : Indonesia Ukuran File : 72.0 KB (73,728 bytes) Packer : ~ Pemrograman : MS Visual Basic 5.0-6.0 Icon : Salah satu Antivirus lokal Tipe : Worm

B. About Malware

Sedikit flash back ke salah satu malware yang pernah di bahas di http://alvin5550.blogspot.com/2011/07/zhola.html yang hadir dengan menggunakan icon salah satu antivirus lokal. Ciri utamanya adalah mengeluarkan pesan palsu setelah worm di jalankan. Dan tanpa sadar, user sudah terinfeksi oleh worm yang satu ini. Worm Proklamasi juga menggunakan teknik social engenering dengan menggunakan icon yang sama seperti antivirus lokal tersebut. Yang berbeda adalah source code yang digunakan bukan hasil modifikasi seperti worm Zhola, selain itu worm ini juga dikhawatirkan akan menyebar luas karena setelah kami mendapatkan sampelnya, hanya beberapa antivirus luar negeri yang mampu mendeteksinya sebagai malware menggunakan teknik heuristik.

Efek yang didapatkan setelah worm ini aktif cukup berbeda karena bagi user yang sudah terinfeksi akan lebih mengenal beberapa lagu-lagu Bondan Prakoso & F2B.

C. Companion/File yang dibuat

Setelah aktif di memori, worm Proklamasi akan membuat beberapa file dan dua buah folder pada setiap drive termasuk removable disk:

• Lirik Bondan Prakoso & F2B – Kita Selamanya.exe
• Lirik Bondan Prakoso & F2B – Tetap Semangat.exe
• Lirik Bondan Prakoso & F2B – Ya Sudahlah.exe
• Lirik Bondan Prakoso & F2B – Tidurlah.exe
• Lirik Bondan Prakoso & F2B – Berawal Dari Mimpi.exe
• Lirik Bondan Prakoso & F2B – For All.exe
• Lirik Bondan Prakoso & F2B – SOS.exe
• Lirik Bondan Prakoso & F2B – Kroncong Protol.exe
• Lirik Bondan Prakoso & F2B – No With Me.exe
• Lirik Bondan Prakoso & F2B – Respect.exe
• Lirik Bondan Prakoso & F2B – Expresikan.exe
• Lirik Bondan Prakoso & F2B -waktu.exe
• Lirik Bondan RIP (Rhyme In Peace).exe
• Trik Bisnis Online Murah Meriah.exe

Folder yang dibuat dengan nama “autorun.inf” dan “Smadavlock” serta di dalamnya terdapat 1 buah file dengan nama readme.exe. Meskipun tidak menggunakan autorun.inf, Proklamasi juga menggunakan shorcut yang berfungsi untuk memanggil file readme.exe pada kedua folder tersebut.

D. Hasil Infeksi

Terdapat 3 proses Proklamasi yang ada di dalam berjalan di memory. Keadaan akan semakin memburuk dengan munculnya peringatan Windows File Protection.Agar berjalan otomatis bersamaan dengan proses startup windows, Proklamasi membuat beberapa hots antara lain seperti:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\DeltaRTP

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\DelRTP

C:\WINDOWS\dllhoss.exe
C:\WINDOWS\Temp.exe
C:\Documents and Settings\All Users\Start Menu\Programs\Startup\systray.exe