Gambar 1, File induk virus

Dengan update terbaru Norman Virus Control sudah dapat mengenali virus ini, termasuk file eksekusinya (lihat gambar 2) :

Gambar 2, Norman Virus Control mendeteksi virus ini sebagai W32/Agent.FUVR dan file dropper sebagai Autorun

Jika file di atas dijalankan, Microsoft.bat / Microsoft.vbs maka akan langsung mengaktifkan file Microsoft.pif yang tersembunyi / hidden (lihat gambar 3). Dan file microsoft.pif ini kemudian akan langsung dihapus. Tetapi sebagai gantinya, akan ada segambreng (banyak sekali) file library (dll) yang aktif di memori, file ini juga akan di aktifkan setiap kali user mengakses Internet Explorer. (lihat gambar 4)

Gambar 3, Script file Microsoft.bat yang menjalankan file virus Microsoft.pif

Gambar 4, Dll yang diaktifkan oleh virus

Drop File

Begitu virus ini aktif ia akan membuat beberapa file induk yakni :

• C:\Windows\AppPatch\Jview.dll

• C:\Windows\AppPatch\AcXtrnel.dll

• C:\Windows\AppPatch\AcPlugin.dll

• C:\Windows\appPatch\ AcSpecf.dll

Virus ini juga akan melakukan blocking pada beberapa aplikasi sekaligus mendaftarkan dirinya supaya dijalankan oleh Windows dengan membuat beberapa string pada registry editor berikut:

KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

*"JavaView"= {DA191DE0-AA86-D04E-4B87-2A3D4928BE99} - C:\WINDOWS\AppPatch\Jview.dll [ ]
* ThunderAdvise"= {97421D0D-E07F-40DF-8F07-99597B9585AD} - C:\WINDOWS\Downloaded Program Files\ThunderAdvise.dll [2008-06-10 17:58 45056]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

AppInit_DLLs=ukrth.dll, hjmh.dll, gyjert.dll, tjdegtr.dll, fyhje.dll, hgnmjsdg.dll, jkhjsd.dll, hjtdrh.dll, hyjmt.dll, fydgky.dll, ytjkyer.dll, dgrgfs.dll, gfcfg.dll, frntrn.dll, qrhhb.dll, drghszd.dll, fngn.dll, gnfctt.dll, xgnfn.dll, xfgnhcgfm.dll, serger.dll, bnxnb.dll, fxgnfx.dll, jzijj.dll, xfgnfx.dll, serghjm.dll, thsddh.dll, xbcvxb.dll, zfdzb.dll, xdndn.dll, xdfntt.dll, hgfhk.dll, dnteh.dll, xfng.dll, njritc.dll, chmfcmh.dll, jwlah.dll, gmnait.dll, hfjg.dll, thurh.dll, mgmgmm.dll, oqrthc.dll, dhugtj.dll, jyjlt.dll, ijatnaw.dll, sehhter.dll, fhjfg.dll, zdbdb.dll, ydgn.dll, dbfb.dll, fjnbv.dll, uyjtd.dll, setrhes.dll, cdxbfxdb.dll, xfgnxfn.dll, gjkhj.dll, xdhdg.dll, rhs.dll, mrjhtjd.dll, zdbfbd.dll, fjyjy.dll, fxnfnh.dll, bjrvm.dll, ektvm.dll, rdthr.dll, yjrfe.dll, dscef.dll, crugd.dll, lariytrz.dll, hjaiq.dll, kduy.dll, hkfgh.dll, awef.dll, dfhsh.dll, ethsh.dll, stehs.dll, sthth.dll, wfhyt.dll, rgghjj.dll, ghjkdr.dll, hfther.dll, nhmxcjkl.dll

Mengupdate dirinya

Virus ini akan membuat koneksi internet atau jaringan menjadi lambat karena setelah ia aktif, ia akan selalu mencoba untuk melakukan koneksi internet dan mencoba untuk mendownload file gambar dengan format GIF dan file EXE kesejumlah situs yang telah ditentukan seperti :

• http://root.51113.com/root.gif

• http://hk.www404.cn:53/ads.js

• http://err.www404.cn:443/014.html

Menurut pengamatan Vaksincom, situs yang mengandung file virus ini sangat banyak dan bervariasi dan rata-rata merupakan domain yang berasal dari Cina sehingga disinyalir kuat virus ini berasal dari Cina. Karena kemampuannya mendownload file update, maka secara teknis virus ini memiliki kemampuan mengupdate dirinya seperti antivirus sehingga termasuk dalam virus dengan resiko tinggi. Walaupun varian awal sudah terdeteksi sejak akhir 2007, tetpai varian yang ditemukan ini terlihat berbeda dengan varian awal dan terbukti berhasil mengecoh banyak program antivirus yang seblumnya berhasil mendeteksinya.

File gif dan exe tersebut akan disimpan di direktori berikut (lihat gambar 5) :

• C:\Documents and Settings\%user%\Local Settings\Temporary Internet Files\Content.IE5\xxx (xxx ini menunjukan karakter acak)

• C:\Documents and Settings\%user%\Local Settings\Temp

Gambar 5, Contoh alamat web dan file yang akan di didownload oleh Agent.FUVR

File gambar tersebut di deteksi oleh Norman Virus Control sebagai Trojan:W32/Suspicious_U.gen (lihat gambar 6)

Gambar 6, Norman dengan teknologi Sandboxnya dapat mendeteksi file yang di download sebagai Suspicious_U.gen

Selain itu virus ini juga akan mendownload beberapa file EXE/DLL/Sys yang akan di simpan di direktori C:\Windows\system32, file ini DLL inilah yang nantinya akan di aktifkan setiap kali user browse internet (lihat gambar 7).

• bcsxachu.sys

• sfsxachu.exe

• zywmgime.dll

• erjxakin.sys

• stjxakin.exe

• snfybbyt.sys

• tjfyabyt.exe

• apsgejba.dll

• kdaic.exe

• xsdjbbmp.sys

• zsdjabmp.exe

• lpmxajkl.exe

• rnmxajkl.sys

• aoqnabib.sys

• dfqnabib.exe

• swsxachu.dll

• rijxbkin.dll

• ypdjgbmp.dll

• nhmxcjkl.dll

Gambar 7, Beberapa file yang akan dibuat oleh Agent.FUVR

Aktif bersama Yahoo Messenger

Virus ini juga akan aktif bersamaan dengan Yahoo Messenger dan pada beberapa kasus menimbulkan error pada Script file. (lihat gambar 8)

Gambar 8, Pesan error saat menjalankan program Yahoo Masseger

Bagaimana cara mengatasinya?

• Sebaiknya putuskan hubungan jaringan / internet komputer yang akan dibersihkan.

• Lakukan pembersihan pada mode “safe mode”.

• Patch OS anda dengan patch terakhir.

• Download tools Combofix di alamat berikut kemudian jalankan

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

• Hapus file temporary dan temporary internet file, untuk mempercepat proses penghapusan silahkan download tools berikut

http://majorgeeks.com/ATF_Cleaner_d4949.html

Hapus registry yang sudah dibuat oleh virus. Untuk mempercepat proses penghapusan silahkan salin script dibawah ini pada program notepad kemudian simpan dengan nama repair.inf, jalankan file tersebut dengan cara:

1. Download File ini Microsoftpif.rar
 

• Untuk pembersihan optimal dan mencegah infeksi ulang gunakan antivirus yang dapat mendeteksi dan membasmi virus ini dengan baik.
  

Reference:http://www.vaksin.com/2008/0608/microsoft/microsoft.html
 

Comment an article   Name   E-mail    Title Available characters: 4000  Notify me of follow-up comments Enter what you see:

No comment posted