Iseng-iseng nyari virus lama, akhirnya dapat juga virus lokal tua yang udah di-upload sama Yudha VirusCaptor MorphostLab di 4shared.

Nama file .rar-nya “Vira.Worm” dan memang beberapa antivirus lokal lain mendeteksinya dengan nama “Vira”
Tapi Morphost menyebutnya “Chasnah”

Ini ciri singkat dari virus ini…

VirusName : Chasnah-A [Morphost] atau Vira [Smxdxv] atau W32/Chasnah.B [Xnsxv]
VirusSize : 76.0 KB (77,824 bytes)
Icon : bisa macam-macam



Kondisi komputermu jika kena virus ini tergolong parah (atau cukup mengganggu aktivitas si pemilik komp). Selain itu juga memunculkan pesan di atas.

Virus ini menyebarkan filenya kemana-mana sekaligus menghapus banyak file (bahaya kalau antivirus yang dihapus). File yang dihapus bisa berupa aplikasi atau file teks.

Saking banyaknya penyebaran file dari virus ini, saya jadi malas ngetiknya. Hehehe..

Jadi untuk kali ini, kita gak akan membahas hasil analisisnya. Tapi bagaimana menuntaskan virus ini.

Langkah-langkah utama yang harus kamu perhatikan adalah:
1.Matikan Proses virus yang aktif
2.Cari semua file virusnya dan hajar!!!

Nah, sekarang kita lakukan langkah yang pertama. Yaitu mematikan proses virus yang aktif. Sama saja sia-sia semua usaha kita kalau proses virus belum dimatikan.
Begitu virus ini dieksekusi ada banyak juga proses yang hilang-timbul dari si virus. Tapi yang jelas, setelah semuanya normal ada tiga proses yang berjalan dengan santai. Ketiga proses tersebut adalah:
-server.exe
-bitblt.exe
-ntoskernel.exe

File server.exe dan ntoskernel.exe adalah file yang sama (dan juga sama dengan file virus yang dieksekusi). Sedangkan file bitblt.exe berasal dari direktori “C:\”

Kamu bisa matikan proses ini dengan taskmanager. Atau boleh juga dengan tools-tools lainnya yg fungsinya untuk mematikan prosesnya.
Smxdxv dan Xnsxv (sudah saya coba) hanya mendetek file-file anak dari Chasnah ini tapi file “bitblt.exe” tidak terdetek.
Ditambah lagi file “bitblt.exe” juga punya teman dengan filename “userinit.exe” yang beralamat di “C:\userinit.exe” (bukan “C:\windows\system32\userinit.exe”). Dan saya sudah cek bahwa kedua file userinit tersebut adalah file yang berbeda. Berbeda baik dari segi ukuran, info properties, checksum, maupun string tubuh kedua file.
Dan kecurigaan saya makin bertambah begitu tahu bahwa userinit.exe milik Chasnah ini adalah “bitblt”.
Wah, wah, wah. Jelas sudah!

Tahu tidak, kalau kamu menterminate proses “server.exe” dan “ntoskernel.exe” maka kedua proses tersebut akan muncul kembali kalau proses “bitblt.exe” tidak dimatikan. Jadi kamu harus mematikan proses tersebut.

Langkah kedua cari filenya dan hajar.

Nah, kalau kamu ingin cara yang praktis juga boleh. Silakan gunakan antivirus Morphost untuk pembersihan atau penuntasan Chasnah yang lebih baik. Mengapa demikian? Saya sudah uji antivirus Xnsxv dan Smxdxv ini.

Begitu kedua antivirus ini dieksekusi, keduanya melaporkan bahwa mereka sudah mematikan proses Chasnah. Smxdxv dan Xnsxv langsung mendetek virus ini dan mengatakan detected Process Killed. Perlu digaris bawahi tuh “Detected Process killed.”
Setelah dilihat lagi process dari taskmanager atau tools lainnya malah processnya masih hidup.
Coba pakai Morphost. Worm Chasnah ini bakal mati.
Silakan coba kalau tidak percaya.

Silakan pakai Morphost terbaru (Morphost 2010 atau versi 7. Tapi sayangnya saat tulisan ini ditulis versi ini belum dirilis). Minimal kamu bisa pakai Morphost Accords kompilasi ketiga plus update database yang ke 15.

Sekian,

By:Morphic Karta
Thanks to:
-Yudha
-anak-anak Medan
-teman-teman Permata GBKP Setia Budi.