Pernah dengar Visual Basic? H’m tentunya bagi anda seorang programmer tidak perlu ditanyakan lagi apa itu Visual Basic? Lalu selangkah lebih maju anda akan mencari plugin untuk menuliskan bahasa Assembly dalam script visual basic dengan Thunder VB untuk mencipta program yang lebih power full yang dibuat dengan visual basic.

Wkwkwkwk... mau buat virus malah kena komputer sendiri...

Yup itu kalo kalian tidak hati-hati dalam berexperiment atau ceroboh. Disini saya bukan ingin menceritakan pengalaman seorang virus maker dalam membuat virus tapi Tapi ingin sekedar berbagi pengetahuan supaya tidak terjadi hal yang tidak diinginkan :)

Yap Langsung saja....

Dalam kasus ini kalian harus menggunakan "Sign Detector" apa itu "Sign Detector" ??? Sign Detector dalam bahasa indonesianya berarti "Pendektesi Penanda" Lalu apa fungsi dari "Sign Detector" ??? Yup fungsi ini digunakan dalam pendektesian suatu penanda pada komputer milikmu sendiri.

Yap Contohnya Dikomputermu memiliki File 3GP yang berjudul Gadis_SMA.3GP yang ada dilokasi Folder tersembunyi dan tidak seorangpun mengetahuinya... WKWKWKK.... File 3GP ini bisa dijadikan sebagai pendektesi penanda pada komputermu, dalam artian Komputer yang memiliki FIle 3Gp ini dalam Lokasi Folder tertentu sebagai penanda dapat menjalankan atau tidaknya suatu file virus.


Yup sebagai Contoh disini saya menggunakan "Nama Komputer" Sebagai Penanda. Kira-kira Code dalam Visual Basic nya sebagai berikut :


Prvate Sub Form_Load()

If ComputerName = UCase("ROXX") Then

MsgBox "Sorry, Nothing working here ???", vbInformation, "ROXX"
End

ElseIf ComputerName <> ComputerName = UCase("ROXX") Then

MsgBox "SORRY DUDE ROXX INFECTING YOUR SYSTEM", vbCritical, "ROXX"

Call Serang
Call Infeksi
Call Sebar
Call Bertahan

End If

End Sub

Bisa dilihat dari source code diatas bahwa Komputer dengan Nama Komputer "ROXX" tidak dapat menjalankan Teknik-teknik virus :)

Menarik bukan ???

Thanx.

Runouce memang belum menggila di Indonesia, namun sepertinya namanya cukup popular sebagai salah satu virus yang menyebar di Indonesia. Virus yang dating dari China ini memang cukuyp mungil, selain memanfaatkan email sebagai bahan penyebaranya virus ini juga menginfeksi file executable. Namun jika anda yang sudah terlanjur terkena infeksi virus ini, anda dapat membersihkan file exe yang terinfeksinya dengan mudah. Kali ini saya coba membahas sekilas cara mudah membersihkan file exe yang terinfeksi virus ini secara manual dan non manual.

Untuk dapat membersihkan infeksi sebuah virus yang kebetulan sifat dari runouce ini adalah EP semi statis, sama sekali tidak melakukan enkrispi Original Entry Point dan Data Dari OEP lagkah yang kita tempuh pertama kali adalah mencari dimana Ia menyimpan OEP pada file yang terinfeksinya.

Disini saya menguji file bernama AutoDetect.exe, yang mana sebelum terinfeksi RVA EP address dari file exe ini benilai : 0x001B3830

Serta data pendukung lain dari file ini yang wajib diubah virus antara lain

Image Base : 0x00400000
Raw Size Section Terakhir : 8704
Virtual Size Section Terkahir : 12288
Dan masih banyak tapi kurang penting



Sekarang kita lihat VEP alias Entry Point setelah file ini diinfeksi Runouce., berikut adalh screen shotnya :










Coba kita perhatikan intruksi baris ke 6 yaitu

Push 0x4BBB60

0x4BBB60 ternyata adalah nilai VA dari address OEP file korban, sehingga untuk mendapatkan RVA dari OEP maka kita dapat mengurangkan nilai tersebut dengan ImageBase dari file korban. Maka didapat nilai.

0x4BBB60 - 0x400000 = 0xBBB60

Setelah melakukan analisa pada file lain yang terinfeksi Runouce, ternyata virus ini masih berbaik hati karena address OEP sama sekali tidak di manipulasi, dan tersimpan pada intruksi yang ke 6 dari VEP. Sehingga kita dapat mudah mencari nilai RVA dari OEP file yang ternfeksi Runouce ini dengan melihat data pada VEP.



Lalu Selanjutnya?

Setelah kita tahu OEP dari file exe yang terinfeksi, tentunya kita harus segera merekontruksi file exe tersebut. Saya memakai Lord PE, berikut caranya:

Bukalah program yang terinfeksi tadi dengan Lord PE (PE Editor), lalu akan muncul informasi Basic PE Header dan rubahlah EntryPoint dengan OEP yang kita dapat:

Berikut adalah gambar setelah EntryPoint dari file yang terinfeksi dirubah dengan OEP :


















Tekan lah tombol “Save”, untuk menyimpan perubahanya.

Sebenarnya langkah sampai disni sudah dapat dikatakan bahwa control program sudah kembali seperti semula, dan virus Runouce sudah tak akan dieksekusi lagi. Namun bebrapa Antivirus asing akan masih mendeteksi sebagai virus, jika Body virus belum dibuang dari file terinfeksi. Nah mungkin kesempatan lain saya kan membahasnya, cara membuang body virus secara manual dan mengembalikan informasi pada section yang dirubah agar PE dapat dijalankan dengan normal setelah pembuangan body virus.



Pemulihan Automatis

Jika anda orang yang suka instan, maka anda dapat memakai CMC PH#3 build.4 untuk membersihkan virus ini baik di memory maupun di file yang terinfeksi Runouce. Atau memakai Antivirus lain yang dapat membersihkan infeksi Runouce. :)

















NB : Maaf jika artikelnya terlalu singkat :)

ReshAV ver3 ive-beta telah dirilis pada tanggal 2 Maret 2010 jam 20.28 dalam usia 1 tahun 1 bulan 4 hari.

Release R-ive
- Fitur tetap sama,dengan sedikit perbaikan.
- Perbaikan pada Engine heuristic.
- Penambahan engine R-Section untuk pemeriksaan aplikasi yang terinfeksi virus.
- Desain ulang logo.

Dengan perbaikan Engine untuk pemeriksaan EXE yang terinfeksi virus, seperti pada beberapa varian sality, Expiro, Mabezat, Virut, Tenga. Juga mampu mencurigai file dengan section ganda, hal inilah yang terjadi pada file yang terinfeksi expiro, lihat gambar dibawah



Dapat dinduh di

http://wigunaahmadaulia.googlepages.com/ReshAV_Antivirus.rar

Jika anda ingin menganalisa sebuah file executable (file PE) ,apakah file tersebut mengandung macode /code-code yang membahayakan yang mungkin bisa digolongkan sebagai mahluk-mahluk seperti: trojan, worm, virus, dll maka anda dapat memanfaatkan jasa scan file online. Ikuti langkah-langkah berikut untuk menganalisa file executable tersebut.

Buka browser anda, ketik url: http://virustotal.com, maka akan muncul tampilan seperti berikut

2. Klik Browse, dan cari file executable yang akan di analisa, lalu klik open.

3. Setelah itu tekan tombol Send File maka akan keluar tampilan “File has already been analysed” atau file telah dianalisis.


4. Klik Url yang terdapat pada permalink , maka kita akan di bawa ke halaman hasil analisis. Beberapa antivirus tingkat dunia akan mendeteksi file executable tersebut ,lihat pada bagian Result untuk melihat hasilnya.

Nah, mungkin yang sedikit ini bisa membantu anda dalam menganalisa file executable.

Waspada dan hati2 lebih baik dari pada mengobati hehehe^_^



download artikel:

http://ilmukomputer.org/wp-content/uploads/2010/02/Anharku-ScanerOnline.pdf

link artikel sejenis:

http://anharku.wordpress.com/2010/02/27/manfaatkan-jasa-scan-file-online/

tidak ada kata terlambat untuk berubah menjadi lebih baik

salam
Anharku