- Menutup / mematikan beberapa fungsi windows seperti System Configuration Utility (MSConfig), Command Prompt (cmd), Task Manager (taskmgr) dan Registry Editor (regedit). Tujuan dari aksi ini adalah mempersulit akses ke utility tools windows yang biasanya digunakan untuk mendeteksi dan membasmi virus.
- Menutup/mematikan file instalasi dan aplikasi program yang memiliki nama file seperti integrator.exe, registryeditor.exe, processmanager.exe, wordpad.exe, notepad.exe, ansav.exe, installation.exe, install.exe dan setup.exe. Diperkirakan hal ini dilakukan oleh pembuat virus guna memperthaankan dirinya dari pembersihan virus.
- Melumpuhkan beberapa varian virus lokal yang aktif seperti PendekarBlank (unoccupied.reg, Empty.jpg, zero.txt, hole.zip, blank.doc), Decoil (dkernel.exe, IExplorer.exe), dan NetGhost (fun.exe, dc.exe, sviq.exe, winamp.exe). Biasanya, hal ini akan menimbulkan aksi balasan dari virus yang dibasmi yang akan mengeluarkan varian baru dan membalas membasmi virus Cinta Laura ini.
- Menghapus registri dari beberapa varian virus lokal yang aktif seperti PendekarBlank, Decoil, dan NetGhost.
- Tidak dapat menampilkan file yang sudah di-hidden, walaupun folder options sudah diubah berkali-kali.
Ciri-ciri file virus
Ciri-ciri dari file virus Cinta Laura diantaranya sebagai berikut :
- Menggunakan icon 3GP
- Memiliki ukuran “37” kb
- Type file “application”
- Ekstensi “exe”
File-file virus
Sama seperti varian virus lokal yang lain, virus Cinta Laura dibuat dengan menggunakan bahasa pemrograman Visual Basic. Setelah terinfeksi, virus Cinta Laura akan membuat beberapa file, yaitu sebagai berikut:
- C:\$LDR$.sys
- C:\autorun.inf
- C:\NTDETECT.exe
Media penyebaran
Sama seperti varian virus lokal lain-nya, virus Cinta laura akan menyebar menggunakan media USB Flash / Removable Drive / External Harddisk serta memanfaatkan share drive dan folder.
Cara Pembersihan Virus
- Putuskan hubungan komputer yang akan dibersihkan dari jaringan.
- Nonaktifkan “System Restore” selama proses pembersihan virus.
- Matikan proses virus yang aktif di memory. Gunakan tools pengganti task manager, seperti IceSword atau tools lain yang tidak di blok oleh virus ini.
Lakukan terminate process pada file virus yang aktif, berikut langkah-langkah yang dilakukan :
- Cari proses yang berjalan dengan nama NTDETECT.EXE.
- Klik kanan file NTDETECT.EXE, kemudian pilih “Terminate Process”.
- Hapus string registry yang telah dibuat oleh virus. Dalam hal ini, kita masih menggunakan tools IceSword karena worm telah men-disable fungsi perbaikan melalui script registry.
Berikut langkah-langkah yang dilakukan :
- Explore file compress IceSword yang sudah di download atau dapat di extract terlebih dahulu, kemudian jalankan (klik 2x) file IceSword.exe.
- Pada tab [Registry], hapus string berikut :
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Pada jendela sebelah kanan, hapus value “Windows”.
- Pada tab [Registry], rubah string berikut :
- HKEY_LOCAL_MACHINE\ SOFTWARE\Classes\batfile\shell\Open\command
- Pada jendela sebelah kanan, rubah value “(Default)” menjadi “”%1”%*”
- HKEY_LOCAL_MACHINE\ SOFTWARE\Classes\cmdfile\shell\Open\command
- Pada jendela sebelah kanan, rubah value “(Default)” menjadi “”%1”%*”
- HKEY_LOCAL_MACHINE\ SOFTWARE\Classes\htmlfile\shell\Open\command
- Pada jendela sebelah kanan, rubah value “(Default)” menjadi “”C:\Program Files\Internet Explorer\iexplore.exe” -nohome”
- HKEY_LOCAL_MACHINE\ SOFTWARE\Classes\inffile\shell\Open\command
- Pada jendela sebelah kanan, rubah value “(Default)” menjadi “%SystemRoot%\System32\rundll32.exe”
- HKEY_LOCAL_MACHINE\ SOFTWARE\Classes\regfile\shell\Open\command
- Pada jendela sebelah kanan, rubah value “(Default)” menjadi “regedit.exe "%1"”
- HKEY_LOCAL_MACHINE\ SOFTWARE\Classes\txtfile\shell\Open\command
- Pada jendela sebelah kanan, rubah value “(Default)” menjadi “%SystemRoot%\System32\NOTEPAD.EXE%1”
Untuk melihat hasil perubahan, sebaiknya logoff/restart.
- Icon “3GP”
- Extension *.exe
- Ukuran 37 kb
Catatan
- Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.
- Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe yang mempunyai ukuran maksimal 37 KB.
- Hapus file virus yang biasanya mempunyai date modified yang sama
Sumber : Detikinet & vaksin.com 25 Feb 2010