You are hereBlogs / roemasa's blog / Membersihkan virus K0pL4xZ yang menyerang file MS Office
Membersihkan virus K0pL4xZ yang menyerang file MS Office
Virus K0pL4xZ merupakan virus yang dibuat dengan menggunakan Visual Basic, dengan ukuran sekitar 31 KB yang menyerang file MS Office milik korbannya. Untuk mengelabui user ia akan menggunakan icon “Windows Media Player Classic” dengan type file sebagai “Application”. 'Baiknya' virus ini tidak merusak file MS Office tapi hanya membuat jengkel dengan mengganti icon file dan type file.
Antivirus Norman Security Suite mendeteksi virus K0pL4xZ sebagai VBWorm.QTT.
Berikut adalah ciri-ciri dari virus K0pL4xZ dan bagaimana cara membasminya yang diringkas dari artikel Vaksin:
A. Ciri-ciri virus K0pL4xZ
1. Merubah icon Windows dari icon “folder” menjadi icon “Control Panel “ serta merubah isi dari folder Windows tersebut menjadi isi yang ada pada menu “Control Panel”.
2. Merubah Type File serta icon shortcut aplikasi MS.Office seperti Text Document menjadi Catatan_KopLaxZ, Microsoft Excel Worksheet menjadi KopLaXz@KudoShop.
3. Merubah nama pemilik komputer menjadi KUDO_SHOP.
4. Merubah “start page” dan “search page” dari browser Internet Explorer.
5. Menampilkan pesan berikut saat menjalankan beberapa fungsi Windows:
a. Search file/folder akan menampilkan pesan HayOooO,,, mau Nyari Apaan Luuwh???Nyari WesWeWhH lah ??? Gak Boleh tau DOSA.
b. Uncheck opsi Hide file extentions for known file types akan menampilkan pesan AduH,,,Lo jangan sok Tau dwEEh,,Luwh_Tuwh SombOng bGtz DasAr KopLaXz kurang KerJaan!!!!
c. Uncheck opsi Hide protected operating system file (recommended) akan menampilkan pesan Hayooooo,,,Mo Ngapain Sih Loo ??? Ga Sopan Tau ,,Dasar KOPLAXZ !!!!biLangiN KeManAjer KUDO nIh Luwh_Tuwh SombOng bGtz PeCat Aja Si_JonGoz!!!!
B. Membersihkan virus K0pL4xZ
1. Putuskan komputer yang akan dibersihkan dari jaringan (LAN)
2. Matikan "System Restore" selama proses pembersihan.
3. Matikan proses virus yang aktif di memory. Gunakan tools KillVB untuk mematikan proses di memory.
Silahkan downlod tools tersebut di alamat berikut:
http://www.compactbyte.com/brontok/killvb.zip
4. Fix registry yang sudah dirubah oleh virus. Untuk mempercepat proses perbaikan registry salin script dibawah ini pada program “notepad” kemudian simpan dengan nama "Repair.inf". Jalankan file tersebut dengan cara:
- Klik kanan repair.inf
- Klik Install
[Version]
Signature="$Chicago$"
Provider=Vaksincom Oyee
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del
[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"
HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""
HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"
HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"
HKLM, SOFTWARE\Classes\exefile,,,application
HKCU, Software\Microsoft\Internet Explorer\Main, start page,0, "about:blank"
HKCU, Software\Microsoft\Internet Explorer\Main, Search Page,0, "about:blank"
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt, UncheckedValue,0x00010001,0
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"
HKLM, SOFTWARE\Classes\txtfile, FriendlyTypeName,0, "@C:\Windows\system32\notepad.exe,-469"
HKLM, SOFTWARE\Classes\Word.Document.8,,,"Microsoft Word Document"
HKLM, SOFTWARE\Classes\Word.Document.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\wordicon.exe,1"
HKLM, SOFTWARE\Classes\PowerPoint.Show.8,,, "Microsoft PowerPoint Presentation"
HKLM, SOFTWARE\Classes\PowerPoint.Show.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\pptico.exe,1"
HKLM, SOFTWARE\Classes\Excel.Sheet.8,,,"Microsoft Excel Worksheet"
HKLM, SOFTWARE\Classes\Excel.Sheet.8\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\xlicons.exe,1"
HKLM, SOFTWARE\Classes\Access.Application.11,,,"Microsoft Office Access Application"
HKLM, SOFTWARE\Classes\Access.Application.11\DefaultIcon,,,"C:\WINDOWS\Installer\{90110409-6000-11D3-8CFE-0150048383C9}\accicons.exe,1"
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, Hidden, 0x00010001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, HideFileExt, 0x00010001,0
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, ShowSuperHidden, 0x00010001,1
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden,WarningIfNotDefault,0,"@shell32.dll,-28964"
[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoFolderOptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableRegistryTools
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableTaskMgr
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DIsablecmd
HKCU, Software\Microsoft\Internet Explorer\Main, Window Title
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer,NoFolderOptions
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System,DisableRegistryTools
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System,DisableTaskMgr
HKLM, SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
HKCU, Software\Microsoft\Windows\CurrentVersion\Run, System
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop
HKCU, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, shell
HKCU, Software\Policies\Microsoft\Windows\System, DisableCMD
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt, WarningIfNotDefault
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Run, cintaku
HKLM, SOFTWARE\Classes\exefile, FriendlyTypeName
5. Hapus file “C:\Windows\desktop.ini” (file yang berfungsi untuk merubah icon Windows menjadi icon Control Panel). Gunakan dos prompt untuk menghapus file tersebut.
6. Cari dan hapus file induk virus di Hard Disk dan Flash Disk dengan terlebih dahulu menampilkan file yang tersembunyi. Untuk mempercepat pencarian gunakan fungsi “Search Windows”.
Kemudian hapus file induk virus yang mempunyai ciri-ciri:
* Icon "Windows Media Player" clasic / 3GP Video Format
* Ukuran 31 KB
* Ekstensi EXE, PIF, COM dan SCR
* Type file "Application"
Hapus juga file berikut
* C:\Autorun.inf (setiap root drive: C:\ atau D:\)
* C:\Desktop.ini (setiap root drive: C:\ atau D:\)
* C:\A Letter 4 Ghe@.txt (setiap root drive: C:\ atau D:\)
* C:\K0pL4xZ@kUdO_5h0P.txt (setiap root drive: C:\ atau D:\)
* C:\K0pL4xZ@KudoShop (di setiap root drive dan Flash Disk)
* C:\Documents and Settings\All Users\Desktop\A Letter 4 Ghe@.inf
* C:\[spasi] WINDOWS
* C:\[spasi] WIndows\Zx4Lp0K.html
7. Untuk pembersihan optimal dan mencegah infeksi ulang, scan dengan menggunakan Antivirus yang up-to-date seperti Norman Security Suite.
Jika anda ingin mencoba Norman Security Suite, silahkan download di url berikut:
http://www.norman.com/Download/Trial_versions/
Sumber: Vaksin
- roemasa's blog
- Add new comment
- 2773 reads