Virus dan Safe Mode
Safe mode? Ya … Windows biasanya akan diperlengkapi dengan modus safe mode. Dimaksudkan agar pemakai dapat memperbaiki Windows jika terjadi suatu musibah. Windows safe mode sebetulnya tidak lebih dari Windows yang dijalankan dengan driver standar! Sehingga jika terjadi kerewelan pada driver-driver non-standar Windows yang membuat Windows modus standar gagal dijalankan, maka Windows modus standar dapat dipulihkan lagi dengan cara masuk ke modus safe mode. Pada saat dalam modus safe mode inilah, pemakai berkesempatan untuk melakukan eliminasi pada drive non-standar yang ber-masalah tersebut. Dengan cara ini, Windows yang rusak akan menjadi normal kembali. Itu harapannya.
Bagaimana masuk ke modus safe mode?
Lakukan booting ulang komputer. Pada saat proses booting dimulai, tekanlah tombol F8 secara cepat dan berulangkali. (Agak histeris juga boleh… ☺) Sehingga muncul menu boot Windows. Pilihlah Safe Mode, maka proses akan berjalan hingga akhirnya menampilkan pilihan user yang harus digunakan untuk masuk ke Windows safe mode. Pada Windows XP, biasanya akan muncul account Administrator dan account yang kita punya. Pilihlah user Account yang biasa kita pakai.
Setelah itu biasanya kita akan ditanya, apakah akan masuk ke modus Safe mode ataukah kita akan memakai fasilitas system restore Windows. Klik Yes, maka kita akan masuk ke mode Windows safe mode. Artinya, Windows akan aktif dengan perangkat apa adanya (standar minimalnya).
3.1 Aktif dalam Safe Mode
Ada subkey registry Windows yang berguna untuk menjalankan suatu program secara otomatis saat Windows dihidupkan. Jadi, jika kita ingin agar suatu file executable aktif saat Windows dihidupkan, maka kita harus menulisi subkey
autorun ini dengan suatu nama value yang berisi data yang menyebutkan bahwa file X.EXE adalah file yang harus dieksekusi. X di sini mewakili sembarang nama file EXE.
Tools standar milik Windows untuk memeriksa konfigurasi autorun adalah program System Configuration Utility atau lebih dikenal dengan nama msconfig
karena file pengaktif program tersebut bernama msconfig.exe. Untuk memang-gilnya, dilakukan via perintah Run dari menu Start. Klik Start - pilih Run dan ketikkan msconfig. Tekan Enter atau klik OK.
sebabnya, bukan? Mengapa saat suatu virus aktif, dan kita memanggil msconfig, tiba-tiba jendela program msconfig menutup dengan sendirinya. Atau mungkin, tiba-tiba, komputer melakukan booting ulang… capeek deh …
Gambar 3.1. Tab Startup msconfig
Pada tab Startup, akan terlihat kolom Startup item, yang menunjukkan nama item yang akan dijalankan saat Windows diaktifkan. Juga kolom command,
yang biasanya berisi program yang diaktifkan plus parameternya jika ada. Sedangkan kolom Location, menunjukkan lokasi subkey (syaraf) registry yang menyimpan setting data ini. Pada contoh terlihat, nama SMTray ternyata adalah milik program yang bernama SMTray.exe dan berada di folder d:\Program Files\Analog Devices\SoundMAX.
Jika kita sudah menemukan item yang kita curigai, hilangkan tanda centang yang ada di depan startup item. Jika tidak dicentang, artinya item tersebut tidak akan dijalankan saat booting dilakukan. Sebaliknya, jika dicentang, maka akan dijalankan. Setelah kita melakukan proses centang atau un-centang … ☺ klik
OK dan lakukan booting ulang agar proses pengubahan menjadi aktif.
Tools standar milik Windows lainnya yang dapat dipakai untuk memeriksa konfigurasi autorun registry adalah program Registry Editor. Untuk memang-gilnya, dilakukan via perintah Run dari menu Start. Klik Start - pilih Run dan ketikkan regedit. Tekan Enter atau klik OK.
Program registry editor akan tampil. Pergilah ke lokasi:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersio n\Run
Klik ganda berulangkali pada subkey yang terlihat sehingga lokasi tersebut ditemukan.
Gambar 3.2. Lokasi yang akan diperiksa
Pada subkey Run inilah biasanya virus akan menuliskan nama value baru untuk mengaktifkan program virus. Untuk menghapus data yang ada, klik nama value
dan tekan DEL.
Jika ditemukan nama value yang menurut Anda aneh, hapus saja …
Dari beberapa subkey di atas, ada satu subkey yang cukup istimewa. Yaitu subkey RunOnce. Berbeda dengan subkey Run yang akan selalu menjalankan program yang ada di dalamnya setiap kali Windows dihidupkan, subkey
RunOnce ini biasanya dipakai untuk menjalankan satu program sebanyak satu kali saja! Jadi, subkey ini biasanya dipakai oleh suatu program untuk meng-aktifkan prosesnya sebanyak satu kali saja sehingga nama value yang dituliskan di sini hanya akan berlaku satu kali saja. Setelah dijalankan, nama value tersebut akan dihapus.
Jika pembuat virus cukup nakal, ia akan membuat program virus untuk menu-liskan pengaktifnya di subkey ini. Jadi, virus akan aktif saat komputer dihi-dupkan. Program akan dijalankan dan nama value pemicu akan dihapus. Maka ia tidak meninggalkan jejak di msconfig. Selang beberapa waktu saat virus aktif, ia akan membuat program timer yang secara berkala menulis ulang nama value di subkey tersebut. Atau mungkin virus hanya akan menuliskan data pada subkey RunOnce saat komputer akan di-log off. Dengan cara tersebut, virus akan terjaga eksistensinya. Lumayan cerdik ‘khan?
Tapi…. ada yang lebih gila lagi…☺ dengan bantuan subkey RunOnce ini, virus akan tetap dapat hidup biarpun Windows dijalankan di modus SAFE MODE! Caranya? Sederhana saja! Yaitu dengan menambahkan satu karakter tertentu pada nama value tersebut, maka virus akan dapat berjalan pada safe mode. Karakter apakah itu? Saya tidak akan memberi tahu Sampeyan.. heheh ☺!
ndak ding… nanti saya dipikir tukang menyembunyikan ilmu lagi. Kita langsung praktek saja ya? Panggil Regedit dan pergi ke subkey:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Once
Kita buat suatu nama value yang bernama COBA. Nama value ini misalnya akan memanggil file virus yang bernama VIRUSKU.EXE.
Klik kanan subkey Runonce. Menu konteks akan muncul, pilih New, pilih
String Value.
Gambar 3.4. Membuat subkey baru
Suatu subkey baru akan muncul. Kita ganti nama value tersebut dengan data
COBA.Ketik COBA dan tekan Enter.
Gambar 3.5. Membuat nama value
Klik ganda nama value tersebut dan kita isi datanya dengan
Jika benar dalam melakukannya, kita akan memiliki nama value COBA dengan jenis string dan mempunyai data c:\windows\virusku.exe. Artinya, saat nanti Windows dihidupkan, file VIRUSKU.EXE akan ikut dijalankan!
Gambar 3.7. Nama value baru
Nah! Sekarang, bagaimana caranya agar nama value tersebut tetap akan dijalankan biarpun Windows dimasukkan dalam modus SAFE MODE? Gampang! Cukup tambahkan karakter * (asterisks) di depan nama value ter-sebut. Artinya, nama COBA kita ganti dengan nama *COBA.
Gambar 3.8. Mengubah nama dari nama value
Jika virus tetap saja aktif biarpun kita sudah masuk ke modus safe mode, periksalah subkey RunOnce secara berulang kali. Siapa tahu virus tidak memakai teknik shell spawn, tapi mengandalkan subkey Runonce.
Teknik Runonce ini, masih jarang dilakukan oleh virus. Jadi, hukumnya wajib dipasangkan! Semakin banyak manipulasi yang dapat membuat virus aktif, maka akan semakin sukses virus tersebut bertahan hidup. Viva Virus … !! ☺
3.2 Alternate Shell Safe Mode
Virus biasanya tidak akan dapat aktif bila kita masuk ke safe mode. Itu biasa-nya! Pada perkembangannya, virus ternyata juga sudah mulai melebarkan sayapnya, mencekal (cegah dan tangkal.. ☺) beberapa penanganan safe mode dengan memasangkan pemicu filenya pada beberapa subkey registry. Dengan cara ini, virus akan tetap dijalankan dan mencegah pemakai untuk masuk ke modus SAFE mode! Kasar memang! Tapi ya… begitulah .. sayangku .. hehehe ☺
Jadi, trik ini akan menggenapi trik pertama tadi… ☺ menambah ruwetnya pematian virus. Hehehe… ndak pa pa malahan tambah asyik khan?
Lokasi subkey registry yang diserang adalah:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
Gambar 3.9. Lokasi subkey target
Pada subkey SafeBoot ini akan terdapat suatu nama value yang bernama
AlternateShell. Dengan jenis datanya adalah string. Kita lihat isian standarnya adalah CMD.EXE. Jika tidak berisi data tersebut, ada kemungkinan file yang ada di situ adalah file virus. Waspadalah!
Misalkan hal itu terjadi, klik ganda nama value tersebut dan pada isian Value data ubahlah menjadi berisi CMD.EXE. Klik OK. Beres!
Gambar 3.10. Mengedit isian data
Yang perlu mendapat perhatian! Virus umumnya juga akan menyerang subkey-subkey yang sejenis. Artinya begini… virus juga akan menyerang lokasi registry lain yang menyimpan data-data SafeBoot, biasanya memang terdapat lebih dari satu kontrol ini. Lokasi lain yang diserang adalah:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\SafeBoot
Jadi, bergantung pada komputer tersebut mempunyai berapa subkey
ControlSet00X. X di sini mewakili angka 1, 2, dan seterusnya. Dengan diu-bahnya data pada nama value AlternateShell, maka biasanya komputer akan gagal masuk ke SAFE MODE, malahan menjalankan file virus! BAH…. !! ..
Jika virus menyerang dan kita gagal masuk ke modus safe mode, maka subkey-subkey alternate shell ini wajib kita periksa. Jika isi datanya aneh, tidak standar, maka ubahlah isiannya dengan CMD.EXE.
