W32/Fawn.A
Kembalikan Dataku.....
Baru-baru ini Labs Vaksincom, kembali melakukan analisa terhadap keberadaan
virus baru, yang tentunya masih “racikan lokal”, virus ini merupakan penggabungan
dari 2 jenis virus lokal yaitu W32/kangen dan W32/Lavist. Kenapa bisa dikatakan
demikian ?, karena virus ini mempunyai karakteristik yang hampir sama dengan virus
W32/Kangen dan virus W32/Lavist.A. Seperti biasa keberadaan virus lokal selalu
luput dari pantauan vendor antivirus, begitupun dengan keberadaan virus lokal yang
satu ini.
Virus ini dibuat dengan menggunakan bahasa pemograman Visual Basic dan
dikompresi dengan menggunakan UPX.
Virus ini sebenarnya sudah lama beredar, hal ini dibuktikan dengan banyaknya
laporan yang diterima, tetapi baru terdeteksi oleh antivirus Norman pada tanggal 28
Juli 2005, Sebagian pengguna komputer menduga mereka terinfeksi virus kangen,
karena memiliki karakteristik yang hampir sama, setelah mengikuti cara pembasmian
virus kangen (secara manual), virus tersebut masih saja “bercokol” dikomputer ,
setelah diselidiki ternyata bukanlah virus kangen yang di duga selama ini tetapi jenis
virus baru yang memiliki karasteristik yang hampir sama dengan virus kangen,
Norman Virus Control menamakan virus tersebut sebagai W32/Fawn.A
Gambar1
Dari hasil pengujian virus ini hanya dapat berjalan sempurna pada windows
XP/Server 2003, sedangkan pada windows 2000, virus ini benar-benar “mati kutu”
alias tidak dapat berjalan sama sekali, karena virus ini akan selalu membuat copy
dirinya pada direktori C:\windows, dengan nama file systray.exe
Pada saat perta kali komputer terinfeksi virus, begitu user membuka program
MS.WORD, secara otomatis file tesrebut akan disimpan dengan nama w32.anf.exe
dengan ukuran file sebesar 16 kb dan w32.anf.doc (file w32.anf.doc akan
disembunyikan) biasanya file ini akan disimpan di folder My Document.
Lalu apa yang dilakukan oleh virus W32/Fawn.A pada waktu menginfeksi
komputer ?
Untuk mengelabui pengguna komputer, setiap file yang mengandung virus akan
mempunyai icon MS. WORD, file ini akan “selalu” mempunyai ukuran sebesar 16kb,
dengan cerdik virus ini juga akan tetap mempertahankan type dari file tersebut
sebagai “Microsoft Word Document” walaupun sebenarnya type dari file tersebut
adalah “Application” karena file tersebut mempunyai ekstension. .EXE, tidak seperti
pada virus W32@kangen, dimana type file adalah “Application” serta mempunyai
ukuran file 64 atau 72 kb.
File yang dibuat virus W32/Fawn.A
File yang dibuat oleh virus W32/Kangen
Jika file tersebut dijalankan, virus tersebut akan langsung jalan tanpa permisi (tidak
menampilkan pesan) seperti pada kebanyakan virus, jika virus ini sudah menginfeksi
komputer ia akan melakukan serangkaian aksi sbb:
Disable Registry Editor, MSCONFIG, TASK MANAGER
Seperti pada kebanyakan virus lokal yang beredar, virus ini juga akan menonaktifkan
program yang dimungkinkan akan mempersingkat umur dari virus tersebut, yaitu
registry editor, msconfig dan Task Manager, dengan dimatikannya ke tiga program
tersebut diharapkan virus ini akan tetap “hidup” dalam komputer tersebut, dan
mencoba untuk menyebar ke komputer lain.
Untuk disable registry editor dan Tasks Manager virus W32/Fawn.A akan
menambahkan 2 string dengan nama :
· DisableRegistryTools
· DisableTaskMgr
Pada registry key:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Syst
em
Gambar2
USB, Disket dan file Sharing
Virus ini dalam penyebarannya, tidak menggunakan metode yang biasa digunakan
oleh virus kangen, pesin atau riyani_jangkaru, virus ini hanya menyebar dengan
memanfaatkan file sharing, walaupun tidak menyebar menggunakan disket/usb, virus
ini cukup berbahaya karena virus ini sudah menyempurnakan dari tampilan file yang
terinfeksi (type yang digunakan bukan “aplikasi” tetapi Microsoft Word Documents”
hal inilah salah satu faktor yang bisa menyebabkan virus tersebut lolos dari pantauan
pengguna komputer, kecuali jika option [hide extensions for known files types] pada
[folder option dimatikan], maka akan terlihat sebenarnya file tersebut adalah “file
aplikasi”, lihat gambar 3 dan 4
Gambar3
Gambar4
Tetapi jika option [hide extension for known file type] di aktifkan, maka nama file akan
terlihat seperti gambat dibawh ini:
Gambar5
Sehingga pengguna komputer akan “terkecoh” dan dengan santai akan menjalankan
file tersebut, tetapi apa yang terjadi, isi dari file yang barusan dijalankan tidak tampil,
yang ada Anda telah menjalankan virus tersebut.
Walaupun demikian kita harus tetap waspada karena virus ini bisa saja menginfeksi
file MS. WORD yang ada di USB atau Disket. Virus ini bisa saja menyebar melaui
Disket/USB dengan cara :
· Mengcopykan file yang telah terinfeksi virus kemudian menjalankan
dikomputer lain, hal ini bisa terjadi karena pembuat virus selalu
memanfaatkan kebiasaan user dalam hal ini ketidak tahuan user dengan
jenis file (karena file bervirus mempunyai icon MS. WORD)
· Menjalankan file MS. WORD yang ada di USB/DISKET pada komputer yang
terinfeksi, karena secara otomatis file asli yang ada di USB/DISKET akan
disembunyikan diganti dengan file bervirus (file ini mempunyai nama yang
sama dan memiliki Icon MS. Word dengan ukuran file 16 kb)
Untuk melancarkan aksinya, virus ini akan membuat file pada direktori C:\Windows,
file ini mempunyai ukuran 16 kb
· Systray.exe
· Win32.anf.exe
· In32.anf.exe
Virus ini juga akan menambahkan 1 option pada msconfig pada menu [startup],
yaitu (Win 9X/ME)
· System Tray
Membuat folder !submit pada direktori C:\, folder ini berisi file dengan nama
in32.anf.exe dan systray.exe dengan ukuran file 16 kb.
Agar virus ini dapat aktif setiap komputer dijalankan, maka ia akan membuat
beberapa string pada registry yaitu:
· System tray
Pada registry key
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\R
unServices
Virus ini juga akan menambahkan 2 option pada msconfig pada menu [startup],
yaitu
o ccApps
o Rest in Peace
Gambar6
Menyembunyikan Folder Option
Rupanya virus ini belajar dari rekan-rekannya, dimana virus ini akan menghilangkan
[folder options] pada menu [tools] pada [Windows explorer] (XP/2003), sehingga user
tidak akan bisa menampilkan setiap file yang disembunyikan (hidden) oleh virus
tersebut, dengan menambahkan string value :
· “NoFolderOptions"=dword:00000001
· "NoSetFolders"=dword:00000001
pada registry key
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Polici
es\Explorer
Gambar7
Selain itu virus ini juga akan selalu mengaktifkan pilihan
· Do not show hidden file and folders
· Show hidden file and folders
Pada menu [folder option], [View], [hidden file and folders]
Gambar8
Walaupun kita berusaha untuk mema
tikan salah satu dari pilihan tersebut, maka
pilihan tersebut akan kembali seperti semula (ke dua option diaktifkan), sehingga
setiap file yang disembunyikan tidak bisa ditampilkan, untuk melakukan hal tersebut,
virus ini akan merubah string pada registry key:
· HKEY_LOCAL_MACHINE\Microsoft\Widows\CurrentVersion\Explorer\Advanc
ed\Folder\Hidden\NOHIDDEN
· HKEY_LOCAL_MACHINE\Microsoft\Widows\CurrentVersion\Explorer\Advanc
ed\Folder\Hidden\SHOWALL
Hal ini juga pernah dilakukan oleh virus lokal lainnya yaitu W32/Lavist.A, bedanya
kalau virus w32/lavist.A ke dua option tersebut akan dimatikan sedangkan pada virus
W32/fawn.A kedua option tersebut akan diaktifkan.
Selain itu virus ini akan menambahkan satu baris perintah pada file win.ini dengan
“del c:\windows\win32.exe” (tanpa tanda kutip)
Gambar9
Menyembunyikan menu [Control Panels], [Network connections] dan [Printers
and Faxes] yang terdapat pada [Start] >> [Settings]
Jika tampilan Start Menu yang Anda pilih adalah option [Classic Start Menu] maka
jangan kaget jika menu [Control Panels], [Network Connections] dan [Printer and
Faxes] tidak akan tampak, yang ditampilkan hanyalah menu [Taskbar and start
menu] saja, (dapat dilihat dengan cara : klik [start] | [Settings]) seperti terlihat pda
gambar 8, Untuk melakukan hal tersebut virus W32/Fawn.B akan menambahkan
string :
· "NoSetFolders"=dword:00000001
Pada registry key:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Polici
es\Explorer
Gambar 8
Menu [Control panels] ini pun akan dihilangkan pada tampilan Windows Explorer,
lihat gambar9
Disembunyikan oleh virus W32/Fawn.B
Gambar9
Jika tampilan Start Menu yang Anda pilih adalah option [Start Menu], maka menu
[Control panels], [Network Connections] dan [Printers and Faxes] tidak akan di
sembunyikan, lihat gambar 10
Gambar10
Menambahkan kata-kata W32.anf setiap kali membuka file MS. WORD
Yang membuat kita geram dengan virus ini adalah, selalu menambahkan kata-kata
W32.anf setiap kali membuka program MS. WORD dan secara otomatis file asli akan
disembunyikan dan akan diganti dengan file bervirus, jadi begitu program aplikasi
MS. Word tersebut ditutup, maka yang terlihat di Windows Explorer adalah file yang
telah mengandung virus, sehingga bila dijalankan file tersebut tidak akan terbuka,
yang ada adalah Anda telah menjalankan file tersebut, hal inilah yang membuat para
pengguna komputer awam mencurigai bahwa data mereka telah hancur (karena
tidak bisa dibuka). Tetapi sebenarnya data mereka masih utuh dan hanya
disembunyikan saja, masih untung virus ini menyembunyikan data pada
folder/direktori yang sama, coba kalau dipindahkan ke folder/direktori lain.......
Gambar 10
Gambar11
Menyembunyikan file MS. WORD
Seperti yang dilakukan oleh Virus Kangen, virus ini juga akan menyembunyikan file
MS. WORD, tetapi dengan metode yang berbeda, dimana virus Kangen akan
“langsung” menyembunyikan file MS. WORD, sedangkan virus W32/Fawn.A hanya
akan menyembunyikan setiap file yang dibuka atau ketika pertama kali user
membuat file baru, jadi selama file MS. WORD tidak dijalankan maka file tersebut
tidak akan disembunyikan, tetapi yang jadi masalah adalah setiap kali user membuat
file baru, maka file asli tersebut akan langsung disembunyikan dan digantikan
dengan file bervirus yang mempunyai nama yang sama dengan file asli, file bervirus
tersebut mempunyai ciri-ciri :
· Selalu mempunyai ukuran 16 kb
· Icon MS. WORD
· Type sebagai “Microsoft Word Document” bukan “aplikasi”
· Extension EXE
berikut perbedaan antara virus kangen dan virus ini:
Virus W32/Fawn.A
Virus W32/Kangen
Sebenarnya virus W32/Fawan.A lebih membawa dampak yang lebih besar
dibandingkan dengan virus kangen, dimana pada pada komputer yang terinfeksi
virus kangen, setiap file yang telah terinfeksi oleh virus ini (kangen) masih dapat
dilihat isi dari file tersebut, walaupun file tersebut berupa file dengan type
“application”, sedangkan komputer yang terinfeksi virus W32/Fawn.A, setiap file yang
terinfeksi tidak akan bisa dibuka, hal inilah yang membuat pengguna komputer
menduga bahwa file mereka telah “rusak”.
Menyembunyikan file EXCEL
Ada satu kelebihan yang tidak bisa dilakukan oleh pendahulunya dimana virus
Fawn.B akan menyembunyikan file Excel .....
Jadi, setiap kali user membuka dan membuat file baru di program EXCEL (MS.
EXCEL) maka file asli tersebut akan disembunyikan kemudian virus ini akan
menggantikan dengan file lain (yang tentunya telah terinfeksi virus) dimana file
tersebut mempunyai nama yang sama dengan file yang disembunyikan, tetapi
mempunyai icon MS.WORD “bukan” MS.EXCEL, file ini mempunyai ukuran 16 kb .
File Bervirus
File asli
Gambar12
Lalu apa yang harus dilakukan ?
Sebenarnya ada cara paling mudah untuk mengatasi virus W32/Fawn.A yaitu
dengan melakukan instalasi antivirus yang sudah dapat mengenali dan menghapus
virus tersebut, tetapi anda dapat saja menghapus secara manual walaupun hal ini
hanya untuk waktu yang tidak lama, karena selama komputer tersebut terhubung ke
jaringan, selama ada USB dan Disket, komputer Anda akan tetap rentan terhadap
serangan virus ini.
1. Matikan proses file systray.exe
Bagi Anda yang menggunakan Windows XP/Server 2003 dapat
menggunakan perintah “taskkill” untuk mematikan proses tersebut,
sedangkan untuk OS diluar XP/Server 2003 dapat mematikan proses
tersebut dengan menggunakan tools-tools freeware seperti (killbox atau
proses XP)
Untuk mematikan proses dengan menggunakan perintah taskkill, caranya
adalah :
· Klik [Start] [Run]
· Ketik [cmd]
· Pada jendela command prompt, pastikan Anda telah berada pada
direktori system windows dengan mengetik ”CD [spasi]
C:\windows\system”
· Matikan proses ”in32.anf.exe” dengan menggunakan perintah Taskkill
dengan mengetikkan [taskkill /f /im systray.exe], dan tekan enter
Sedangkan bagi yang menggunakan windows selain XP/Server2003 dapat
menggunakan toold dengan nama KilllBox. Tools ini dapt di download di
alamat
http://www.bleepingcomputer.com/files/killbox.php
Tools ini bisa digunakan pada versi semua OS
Cara menggunakannya:
· Jalankan Killbox.exe pada komputer yang terinfeksi virus
· Cari proses in32.anf.exe pada kolom [system prosess]
· Kemudian isi lokasi file tersebut pada kolom [Full path file of file to
delete]
o C:\Windows\in32.anf.exe
· Setelah itu klik [delete file] pada tanda gambar silang merah
Gambar13
2. Hapus file pada direktori C:\Windows
· Systray.exe
· Win32.anf.exe
· In32.anf.exe
3. Hapus folder C:\!Submit
4. Hapus semua registry key yang dibuat oleh virus
· CCAPPS dan load service
Pada registry key:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersio
n\Run
· System tray
Pada registry key
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersio
n\RunServices
Catatan:
Bagi yang menggunakan windows 9x, Tulis script dibawah ini dengan
menggunakan notepad untuk mengaktifkan kembali registry editor
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersio
n\Policies\System]
"DisableRegistryTools"=dword:00000000
kemudian simpan menjadi nama file repair.reg dan jalankan file tersebut.
5. Matikan option “ccApps” dan “Rest in Peace” pada MSCONFIG
6. Tampilkan kembali menu [Folder Option] pada windows Explorer, dengan
menghapus registry key
· NoFolderOptions
· NoSetFolders
Pada regsitry key
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\P
olicies\Explorer
7. Set kembali option [hidden files and folders] pada menu [View]
Dengan merubah registy key :
o HKEY_LOCAL_MACHINE\Microsoft\Widows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\NOHIDDEN
CheckedValue menjadi 2
DefaultValue menjadi 2
o HKEY_LOCAL_MACHINE\Microsoft\Widows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL
CheckedValue menjadi 1
DefaultValue menjadi 2
7. Hapus baris perintah pada WIN.INI,caranya :
o Klik [start]
o Klik [Run]
o Pada message box ketik “win.ini” (tanpa tanda kutif)
o Kemudian cari dan hapus baris perintah
del c:\windows\win32.exe
8. Tampilkan kembali file MS. WORD yang telah disembunyikan dengan cara:
o Klik [Start] [Run]
o Ketik [cmd] untuk masuk ke command prompt.
o Pada layar command promprt, ketikan perintah “Attrib –s –h c:\*.doc
/s” (tanpa tanda kutip)
Catatan:
Jika drive anda lebh dari satu (contoh drive D:\ atau E:\ ), gunakan
perintah diatas untuk menampilkan file yang disembunyikan dengan
mengganti lokasi drive, contoh “attrib –s –h d:\*.doc /s”
Berikut hasil setelah menjalankan baris perintah diatas.
Gambar14
(c) dakjelas.blogspot.com