Virus Yahoo Messenger

YM ( Yahoo Messenger ) merupakan aplikasi chat yang paling populer. Hampir semua pengguna internet memiliki akun ini, tidak lengkap rasanya jika tidak memanfaatkan aplikasi ini. Bahkan tidak hanya pengguna komputer, pengguna ponsel dan Blackberry pun juga bisa menikmati aplikasi YM ponselnya.

Akhir² ini saya sering mendapatkan pesan berupa link salah satu contohnya "http://ibe.am/wCAtk" yang kata si pengirim itu terkirim otomatis. Ternyata link tersebut berisikan sebuah virus Malware.

Jika anda mendapatkan pesan yang disertakan link, maka anda harus waspada.  Pesan yang dikirim menggunakan bahasa “Inggris” yang disertai link attachment. walaupun anda cukup mahir Bahasa Inggris, jangan senang dulu meskipun anda sudah mengerti apa maksud link yang di kirimkannya. Link yang dikirim berupa lampiran sebuah gambar dengan Exstensi.exe.

Jika file yang dikirim dijalankan,  maka virus akan membuat file virus serta mendownload beberapa file pendukung yaitu :

C:\Documents and Settings\%user%\[nama_acak].exe
C:\Documents and Settings\%user%\secupdat.dat
C:\Documents and Settings\%user%\Local Settings\Temp\melt.bat
C:\Documents and Settings\%user%\Local Settings\Temporary Internet Files\3mc.zip
C:\WINDOWS\system32\wmisrpc.exe
C:\WINDOWS\system32\secupdat.dat

Kemudian file induk virus akan menyamarkan dirinya, sehingga kita tidak menyangka bahawasanya itu adalah sebuah virus.

Virus beraksi sebagai berikut:

• Mencoba melakukan koneksi/kontak ke remote server/IRC ( Internet Relay Chat ) dengan berbagai IP.
• Mencoba melakukan koneksi ke beberapa website dan mencoba untuk melakukan sinkronisasi waktu.
• Mencoba melakukan koneksi ke beberapa Mail Exchanger ( MX ).
• Mencoba melakukan koneksi ke beberapa website dengan menggunakan berbagai Port.
• Mendownload file virus dan mendapatkan list pesan yang akan dikirimkan via aplikasi chat.
• Mencoba akses jaringan dan menyebarkan virus. melalui jaringan.
• Akibat dari meningkatnya aktifitas koneksi jaringan dan internet yang dilakukan oleh virus,  komputer akan terasa lambat.
• Agar dapat aktif saat komputer dijalankan, Virus akan membuat string registri sebagai berikut :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run WMI RPC Server = C:\WINDOWS\system32\wmisrpc.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Userinit = C:\WINDOWS\system32\userinit.exe

HKEY_USERS\S-1-5-21-1229272821-2052111302-725345543-1003\Software\Microsoft\Windows NT\CurrentVersion\Winlogon Shell = explorer.exe C:\Documents and Settings\%user%\[nama_acak].exe

• Untuk melakukan blok terhadap fungsi windows, virus membuat string sebagai berikut :

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore

DisableConfig = 1

DisableSR = 1 

Cara menghapus Virus ini :

• Sebaiknya lakukan pembersihan melalui mode safe mode.
• Matikan proses virus yang berjalan di memory. Gunakan Windows Task Manager
• Hapus String Registry yang telah dibuat oleh virus.
• Hapus file virus dengan menggunakan Norman Malware Cleaner.