Gambar di atas adalah pesan yang disampaikan oleh MateInfect. Mungkin masih ingat dengan UltraSurf, yang memformat setiap local drive yang ada kecuali drive system-nya. MateInfect justru merupakan kebalikan dari UltraSurf karena kerusakan yang dihasilkan hampir tidak bisa diperbaiki, karena terhapusnya hampir secara keseluruhan file yang terdapat pada drive C:\ dan seolah mengizinkan file host maupun companionnya dihapus seiring dengan terhapusnya seluruh file system Windows.
A. Info File
Nama Malware : MateInfect
Asal : Bandung, Indonesia
Ukuran File : 221 KB (227,092 bytes)
Packer : ~
Pemrograman : Microsoft Visual C++
Icon : Malware Icon
Tipe : Worm, Trojan
B. About Malware
Sampelnya pertama kami dapatkan dari user yang IP-nya berasal dari kota Bandung. Sekilas seperti sebuah aplikasi biasa, namun hasil yang diakibatkan sangat diluar dugaan. Terhitung cukup jarang malware yang dibuat menggunakan C++ dan berasal dari Indonesia belakangan ini. Namun seperti biasa, ciri khas dari malware lokal adalah adanya pesan dari sang pembuat virus. Bisa dikatakan bahwa MateInfect hadir dengan membawa tema yang mengandung unsur politik seperti yang terlihat pada gambar di atas.
Seperti yang sudah dijelaskan sebelumnya, MateInfect menjalankan payload yang terbilang tidak wajar. File Windows baik itu *. exe ataupun *.dll, dihapus secara total. Dan akibatnya tidak diragukan lagi, sudah tentu akan mengakibatkan komputer tidak bisa melakukan proses booting ke sistem operasi Windows. Seperti pada gambar di bawah ini.
Namanya diambil dari companionnya yang tidak ditemukan keberadaannya, kemungkinan file tersebut memang tidak tercipta.
C. Companion/File yang dibuat
Sebelum memulai aksinya, MateInfect membuat beberapa companion yang cukup banyak keberadaannya.
• MateInfect.bat
File bat dengan nama history.bat ini tidak akan muncul jika user sengaja melakukan analisa menggunakan Sandboxie. Dan dengan terpaksa harus dilakukan pengetesan secara langsung dengan cara mengaktifkan malware ini.
• MateInfect.html
Pesan yang tergambarkan pada file HTML yang dibuat di folder system32 dengan nama HukumanBuatKoruptor.html.
• MateInfect.lnk.A & MateInfect.lnk.B
Shortcut juga dibuat agar payload yang belum dilakukan oleh malware tetap dijalankan. Seperti salah satu shortut yang terdapat di folder startup dengan nama WinCleaner.lnk.
• MateInfect.vbs.A & MateInfect.vbs.B
File VBS yang dibuat terdiri dari 2 buah fungsi. Pada variant A, berfungsi utuk mengeksekusi host dengan nama sMaD.jp dan file html yang dibuat. Sedangkan variant B memiliki peran sebagai pembuat file shortcut pada folder startup.
• MateInfect.zip.A, MateInfect.zip.B & MateInfect.zip.C
Berisi host dari MateInfect yang kemudian di ekstrak dan dieksekusi.
D. Hasil Infeksi
Jika pada saat komputer korban terdapat flash disk yang sedang terhubung, MateInfect akan membuat folder RECYCLER yang didalamnya terdapat 2 buah folder yang tidak bisa dihapus secara manual.
Selain itu, tanpa disadari seluruh file yang terdapat di drive [C:\] satu persatu dihapus oleh MateInfect dengan perintah seperti ini:
@echo offC:cd \cd "%USERPROFILE%\Application Data\Mozilla\Firefox\Profiles\*.default"del *.* /s /q /f
Bisa Memakai Antivirus SMADAV 8.6 / PCMAV 6.0
0 komentar:
Posting Komentar