Akhir-akhir ini, muncul virus (belum diketahui namanya) pembuat Shortcut di FlashDisk yang cukup meresahkan. Pertama dilaporkan pada tanggal 3 Juni 2017. Awalnya, Saya mengira ini Bundpil, namun ternyata bukan.
Belum jelas apa nama virus ini. Sejauh ini, cuma ada dua sampel yang diupload oleh User yang berkonsultasi di konfirmasi.com. Sampel pertama, sebagian AntiVirus mendeteksinya sebagai Symmi dan sampel kedua, ebagian AntiVirus mendeteksinya sebagai Zusy.
Virus ini cukup populer, bisa dilihat dari statistik yang didapatkan Smadav:
Yang unik dari virus ini adalah pertahanannya. Bayangkan saja, walaupun induk virusnya cuma satu file saja dan sudah terdeteksi oleh kebanyakan AntiVirus, tetap saja virus ini akan muncul kembali setelah dihapus. Padahal virus ini tidak menyebar kemana-mana, hanya di satu lokasi saja dan tidak menginfeksi file (seperti Sality, Ramnit, dkk). Bagaimana bisa dia tetap bertahan? Lebih jauh lagi, ternyata virus ini bisa menghapus file didalam FlashDisk. Mari kita bahas satu per satu.
Penampakan Virus
Terlihat jelas sekali perbedaannya dengan Virus Bundpil pada bahasan sebelumnya. Bundpil membuat satu Shortcut saja dan memindahkan seluruh data di dalam FlashDisk ke dalam folder tanpa nama. Induk virus itu sendiri juga berada di dalam folder tanpa nama.
Sedangkan virus ini membuat Setiap Shortcut yang menuju ke setiap file/folder asli di dalam FlashDisk.
Pada gambar di atas, jika Shortcut Data dilihat Propertiesnya maka akan tertulis perintah sebagai berikut:
%comspec% /c "{59369ed6-44ba-4a76-df5a-8a61c05f0295}\5da977a7-d68b-7612-a990-19bc08fa98ce.exe 'Data\'"
Begitu juga dengan Shortcut New Text Document.txt, bila dilihat Propertiesnya maka akan tertulis perintah sebagai berikut:
%comspec% /c "{59369ed6-44ba-4a76-df5a-8a61c05f0295}\5da977a7-d68b-7612-a990-19bc08fa98ce.exe 'New Text Document.txt'"
Catatan: %comspec% adalah perintah untuk memanggil Command Prompt (cmd.exe)
Shortcut ini bertugas untuk menjalankan induk virus dan membuka File/Folder tujuannya sekaligus.
Jika Shortcut ini dijalankan, maka dia akan menjalankan induk virus 5da977a7-d68b-7612-a990-19bc08fa98ce.exe yang ada di dalam folder {59369ed6-44ba-4a76-df5a-8a61c05f0295} dan sekaligus membuka File/Folder tujuan Shortcut tersebut.
Aksi Virus
Ketika Virus ini dijalankan, dia akan melakukan dua teknik unik (Run PE dan kemudian Inject Process) yang membuatnya selalu muncul kembali walaupun sudah dihapus.
Run PE
Informasi selengkapnya: https://www.adlice.com/runpe-hide-code-behind-legit-process/
Dengan tujuan penyamaran, Run PE adalah teknik memanggil dan menggunakan proses lain (yang bukan virus tentunya) untuk menjalankan tujuan yang diinginkan oleh si virus. Setelah dipanggil, tentunya proses korban hasil Run PE ini sepenuhnya dikontrol oleh si virus.
Ibarat sudah terhipnotis, Proses yang bukan virus akan bertindak sebagai virus. Tujuannya adalah agar User tidak curiga ketika melihat Task Manager, apalagi jika proses hasil Run PE adalah proses sistem Windows.
Teknik ini sudah tidak asing lagi, yang mana digunakan juga oleh seluruh varian Ramnit. Jadi ketika virus Ramnit berjalan, dia akan menggunakan iexplore.exe. Itulah sebabnya kita tidak pernah menemukan watermark.exe atau *mgr.exe di Task Manager.
Kembali kepada virus ini, pada hasil tes yang Saya lakukan, dia akan selalu memanggil svchost.exe
Ketika Sudah dijalankan dengan Run PE, svchost.exe akan melakukan urutan aksi sebagai berikut:
- Membuat Task Scheduler
- Menulis Registry
- Melakukan Inject Proses
- Membuat File induk di dalam sistem
- Menyebarkan ke Drive USB
1. Membuat Task Scheduler
Membuat Task Scheduler agar 860c4a50.exe aktif otomatis setiap masuk Windows, fungsinya sama seperti Registry.
2. Membuat Value Registry Agar Dijalankan Otomatis Setiap Masuk Windows
Pada key:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\{B7A3B2FF-32BB-0611-6112-BCB58AD07239}
Dengan Value:
c:\programdata\{2BB39ACF-1A8B-9A01-6112-BCB58AD07239}\860c4a50.exe
Dalam pembahasan ini, induk virusnya adalah 860c4a50.exe.
3. Melakukan Inject Pada Proses Windows yang Sedang Berjalan
Inject adalah memanipulasi proses yang sedang berjalan. Jika pada Run PE adalah memanipulasi proses yang baru dijalankan, maka pada Inject adalah memanipulasi proses yang sudah berjalan sebelumnya. Di sinilah letak kenakalan virus ini.
Svchost.exe akan menentukan salah satu proses Windows yang sedang berjalan untuk kemudian di-inject. Menurut pengalaman Saya, proses yang pernah di-Inject adalah taskhost.exe, taskeng.exe, dwm.exe, explorer.exe, bahkan pernah juga menginject proses yang bukan milik Windows (milik User). Untuk mempermudah, Saya anggap proses yang di-inject adalah taskhost.exe.
Setelah terinject, proses korban ini (taskhost.exe) akan selalu menjalankan ulang induk virusnya (860c4a50.exe), ketika svchost.exe di-kill.
