Eko The Dark Angel: PCMAV 4.1 Ragnarok2 + Plugins Clamav 0.96.3 + Build1

PCMAV 4.1 Ragnarok2 + Plugins Clamav 0.96.3 + Build1

Wolf.B: Curahan Hati Melalui Fake Installer

Wolf.B. Jarang sekali di temukan malware dengan tipe worm yang dibuat menggunakan Aplikasi Pemrogramangan FreeBasic. Tanpa di-pack worm ini berukuran 509 KB, sedangkan varian sebelumnya berukuran 510 KB. Setelah dijalankan Wolf.B membuat beberapa file di drive C, antara lain:
C:\3gp players.exe
C:\Cheat Engine.exe
C:\Hentai.exe
C:\Love Calculator.exe
C:\Setup.exe
C:\VistaInspirant.exe
C:\wolf.scr
C:\wolf.html
C:\wolf..jpg
C:\Setup.ico
C:\autorun.inf
C:\desktop.ini
C:\WINDOWS\WolvesDen\Wolf.exe
C:\WINDOWS\system32\scvhost.exe
C:\WINDOWS\system32\service.exe

Di setiap drive dan termasuk removable disk terdapat beberapa file buatan Wolf.B seperti, 3gp players.exe, Cheat Engine.exe, Hentai.exe, Love Calculator.exe, Setup.exe, Vista Inspirant.exe, wolf.scr, wolf.html, wolf.jpg, Setup.ico, autorun.inf, desktop.ini.

Selain itu, worm ini juga menginjeksi dan membuat beberapa key baru pada registry, antara lain sebagai berikut:

Agar Berjalan di saat startup, Wolf.B membuat String Value seperti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\system startup
C:\WINDOWS\WolvesDen\Wolf.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \startup
C:\WINDOWS\system32\scvhost.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\system startup
C:\WINDOWS\WolvesDen\Wolf.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\startup
C:\WINDOWS\system32\scvhost.exe

Mengaktifkan C:\WINDOWS\WolvesDen\Wolf.exe dengan di jalankannya Userinit.exe.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
“Shell”=”Explorer.exe C:\\WINDOWS\\WolvesDen\\wolf.exe”
“System”=”C:\\WINDOWS\\WolvesDen\\wolf.exe”
“Userinit”=”C:\\WINDOWS\\system32\\userinit.exe, C:\\WINDOWS\\WolvesDen\\wolf.exe”

Otomatis menjalankan “C:\WINDOWS\WolvesDen\Wolf.exe” “%1″%*” jika menjalankan beberapa file dengan ekstensi : 3gp, txt, reg, pif, com, cmd, vbs dan js.
[HKEY_CLASSES_ROOT\cmdfile\shell\open\command]
[HKEY_CLASSES_ROOT\comfile\shell\open\command]
[HKEY_CLASSES_ROOT\inffile\shell\Install\command]
[HKEY_CLASSES_ROOT\JSFile\Shell\Open\Command]
[HKEY_CLASSES_ROOT\JSFile\Shell\Open2\Command]
[HKEY_CLASSES_ROOT\piffile\shell\open\command]
[HKEY_CLASSES_ROOT\regedit\shell\open\command]
[HKEY_CLASSES_ROOT\regfile\shell\open\command]
[HKEY_CLASSES_ROOT\txtfile\shell\open\command]
[HKEY_CLASSES_ROOT\VBSFile\Shell\Open\Command]
[HKEY_CLASSES_ROOT\VBSFile\Shell\Open2\Command]

Mengaktifkan C:\WINDOWS\System32\scvhost.exe dan C:\WINDOWS\System32\service.exe sekalipun masuk windows dalam posisi Safe Mode.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\SafeBoot]

Worm juga menampilkan pesan error palsu setelah program di jalankan seperti pada gambar dibawah ini.

Ia juga akan mengubah tampilan AM dan PM dengan “The Wolf” untuk jam pada Date and Time.

Selain registry, perubahan juga terlihat pada tiap drive dan removable disk seperti yang terlihat pada gambar di atas. Dengan adanya file desktop.ini dan wolf.jpg, Wolf.B merubah background dengan gambar seekor srigala yang sedang melolong layaknya membacakan sebuah puisi cinta di bawah bulan sabit. Tidak hanya itu, pesan lain untuk user di buat pada seubah file HTML dengan nama wolf.html.

PCMAV 4.1 Update Build1
Untuk membasmi virus ini ataupun varian virus lainnya, PCMAV 4.1 Update Build1 telah hadir dengan penambahan 97 pengenal varian virus baru. Bagi Anda pengguna PCMAV 4.1, sangat disarankan segera melakukan update, agar PCMAV Anda dapat mengenali dan membasmi virus lebih banyak lagi.

Untuk mendapatkan dan menggunakan update PCMAV ini, Anda cukup menjalankan PCMAV.exe, komputer harus dalam keadaan aktif terhubung ke Internet (non-proxy). Fitur Automatic Updates dari PCMAV akan secara otomatis men-download dan meng-update database dari PCMAV.

Letakkan file hasil download tersebut (update.vdb) ke dalam folder \vdb. Jika sebelumnya telah terdapat file update yang lama, Anda cukup menimpanya. Pastikan sekali lagi, bahwa nama file update adalah update.vdb, jika berbeda, cukup ubah namanya. Dan nanti saat Anda kembali menjalankan PCMAV, ia sudah dalam keadaan kondisi ter-update.

Daftar tambahan virus hingga PCMAV 4.1 Update Build1:
Bird
Blind.vbs
CacingKita
EmptyCode.vbs
EmptyCode.vbs.inf
FakeAV-Downloader.A
FakeAV-Downloader.B
Freedom.vbs.D
Gabest
Gabest.inf
Gabest.vbs
Gasak.D
Gondronk.vbs.A
Gondronk.vbs.B
Gondronk.vbs.inf
Item
Jusched.A
Jusched.A.yeo
Jusched.B
Jusched.C
Khetex
Khetex.dll
Khetex.exe
KipLeq
Kula
Kula.htm
Kula.inf
M3Reincarnation.C
Malingsi.W
Merdeka.B
Mosquitos
Porn.vbs
Porn.vbs.cfg
Porn.vbs.inf
Porn.vbs.lnk.A
Porn.vbs.lnk.B
Porn.vbs.lnk.C
Random8-1
Random8-2
Random8-3
Restora32.exe
SallyDiardo.vbs.A
SallyDiardo.vbs.B
SallyDiardo.vbs.inf
SallyDiardo.vbs.rtf
Serviks.B
Serviks.B.doc
Serviks.B.htm
Serviks.B.inf
Serviks.B.ocx
Serviks.B.txt
SetRun
SetRun.ico
Shemale.vbs.A
Shemale.vbs.A.dll
Shemale.vbs.A.dls
Shemale.vbs.A.html
Shemale.vbs.A.inf
Shemale.vbs.A.lnk
Shemale.vbs.A.mht
Shemale.vbs.A.tmp
Shemale.vbs.B
Shemale.vbs.B.dll.A
Shemale.vbs.B.dll.B
Shemale.vbs.B.dll.C
Shemale.vbs.B.dll.D
Shemale.vbs.B.dll.E
Shemale.vbs.B.dll.F
Shemale.vbs.B.dll.G
Shemale.vbs.B.dll.H
Shemale.vbs.B.dll.I
Shemale.vbs.B.hosts
Shemale.vbs.B.html
Shemale.vbs.B.inf
Shemale.vbs.B.lnk.A
Shemale.vbs.B.lnk.B
Shemale.vbs.B.lnk.C
Shemale.vbs.B.lnk.D
Shemale.vbs.B.lnk.E
Shemale.vbs.B.lnk.F
Shemale.vbs.B.lnk.G
Shemale.vbs.B.lnk.H
Shemale.vbs.B.lnk.I
Shemale.vbs.B.lnk.J
Shemale.vbs.B.lnk.K
Shemale.vbs.B.lnk.L
Shemale.vbs.B.lnk.M
Shemale.vbs.B.lnk.N
Shemale.vbs.B.lnk.O
Shemale.vbs.B.lnk.P
Shemale.vbs.B.log
Shemale.vbs.B.mht
Shemale.vbs.B.txt
Wayang-Pandawa.E
Wolf.B
Wolf.B.html
Wolf.B.ico

Inilah dia yang ditunggu PCMAV 4.1 Rgnarok2 yang telah saya tambahkan dengan plugins CLAMAV 0.96.3 (Keterangan Lengkap Lihat Gambar Di Bawah) .........

Apa yang Baru?

UPDATED! Ditambahkan database pengenal dan pembersih 100 virus lokal/asing/varian baru yang dilaporkan menyebar di Indonesia. Total 3494 virus beserta variannya.
FIXED! Mencegah pesan PCMAV telah aktif saat startup, yang kerap terjadi pada Windows Vista/7 jika UAC nonaktif.
FIXED! Mencegah notifikasi dari Windows Defender pada Vista/7 yang terkadang memblok PCMAV.
ADDED! Removal engine khusus untuk membersihkan secara tuntas virus Runouce, Random8, MyLovely, StuxNet, Fandi.vbs, FlyFF, Serviks.vbs beserta variannya yang menyebar luas di Indonesia.
ADDED! Penambahan informasi durasi setelah scan memory dan startup objects.
ADDED! Pesan notifikasi untuk menunggu proses saat exit PCMAV pada systray.
ADDED! Konfirmasi untuk menghapus bad folder/folder yang tidak lazim.
IMPROVED! Perbaikan engine heuristic dalam mengenali malware melalui identifikasi bitmap resource.
IMPROVED! Icon PCMAV pada systray akan tampil lagi saat taskbar/explorer di-restart.