Pada tab Startup, akan terlihat kolom Startup item, yang menunjukkan nama item yang akan dijalankan saat Windows diaktifkan. Juga kolom command, yang biasanya berisi program yang diaktifkan plus parameternya jika ada. Sedangkan kolom Location, menunjukkan lokasi subkey (syaraf) registry yang menyimpan setting data ini. Pada contoh terlihat, nama SMTray ternyata adalah milik program yang bernama SMTray.exe dan berada di folder d:\Program Files\Analog Devices\SoundMAX. Virus biasanya akan membuat suatu nilai di sini, agar file yang memicu pengaktif programnya dijalankan saat booting Windows terjadi sehingga penelitian di bagian ini amat penting untuk dilakukan. Celakanya lagi, virus-virus sekarang memasangkan nama itemnya dengan nama yang “berbau-bau” nama file sistem Windows. Hal ini untuk mengelabui pemakai yang memeriksanya. Misalnya, dengan nama windows.exe, svc0host.exe, rundlll.exe dan lain sebagainya. Di sini kejelian kitalah yang menentukan sukses tidaknya mengenali file virus.
Jika kita sudah menemukan item yang kita curigai, hilangkan tanda centang yang ada di depan startup item. Jika tidak dicentang, artinya item tersebut tidak akan dijalankan saat booting dilakukan. Sebaliknya, jika dicentang, maka akan dijalankan. Setelah kita melakukan proses centang atau un-centang klik OK dan lakukan booting ulang agar proses pengubahan menjadi aktif. Tools standar milik Windows lainnya yang dapat dipakai untuk memeriksa konfigurasi autorun registry adalah program Registry Editor. Untuk memanggilnya, dilakukan via perintah Run dari menu Start. Klik Start - pilih Run dan ketikkan regedit. Tekan Enter atau klik OK.
Program registry editor akan tampil. Pergilah ke lokasi:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Klik ganda berulangkali pada subkey yang terlihat sehingga lokasi tersebut.Pada subkey Run inilah biasanya virus akan menuliskan nama value baru untuk mengaktifkan program virus. Untuk menghapus data yang ada, klik nama value dan tekan DEL. Lokasi-lokasi lain yang perlu kita periksa dalam rangka autorun registry ini adalah:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Once
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
OnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Jika ditemukan nama value yang menurut Anda aneh, hapus saja. Dari beberapa subkey di atas, ada satu subkey yang cukup istimewa. Yaitu subkey RunOnce. Berbeda dengan subkey Run yang akan selalu menjalankan program yang ada di dalamnya setiap kali Windows dihidupkan, subkey RunOnce ini biasanya dipakai untuk menjalankan satu program sebanyak satu kali saja! Jadi, subkey ini biasanya dipakai oleh suatu program untuk mengaktifkan prosesnya sebanyak satu kali saja sehingga nama value yang dituliskan di sini hanya akan berlaku satu kali saja. Setelah dijalankan, nama value tersebut akan dihapus. Jika pembuat virus cukup nakal, ia akan membuat program virus untuk menuliskan pengaktifnya di subkey ini. Jadi, virus akan aktif saat komputer dihidupkan. Program akan dijalankan dan nama value pemicu akan dihapus. Maka ia tidak meninggalkan jejak di msconfig. Selang beberapa waktu saat virus aktif, ia akan membuat program timer yang secara berkala menulis ulang nama value di subkey tersebut. Atau mungkin virus hanya akan menuliskan data pada subkey RunOnce saat komputer akan di-log off. Dengan cara tersebut, virus akan terjaga eksistensinya. Tapi dengan bantuan subkey RunOnce ini, virus akan tetap dapat hidup biarpun Windows dijalankan di modus SAFE MODE! Caranya? Sederhana saja! Yaitu dengan menambahkan satu karakter tertentu pada nama value tersebut, maka virus akan dapat berjalan pada safe mode. Karakter apakah itu? Kita langsung praktek saja ya? Panggil Regedit dan pergi ke subkey:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Once Kita buat suatu nama value yang bernama COBA. Nama value ini misalnya akan memanggil file virus yang bernama VIRUSKU.EXE. Klik kanan subkey Runonce. Menu konteks akan muncul, pilih New, pilih String Value.
Suatu subkey baru akan muncul. Kita ganti nama value tersebut dengan data COBA. Ketik COBA dan tekan Enter. Klik ganda nama value tersebut dan kita isi datanya dengan c:\windows\virusku.exe. Lalu klik OK. Jika benar dalam melakukannya, kita akan memiliki nama value COBA dengan jenis string dan mempunyai data c:\windows\virusku.exe. Artinya, saat nanti Windows dihidupkan, file VIRUSKU.EXE akan ikut dijalankan!
Nah! Sekarang, bagaimana caranya agar nama value tersebut tetap akan dijalankan biarpun Windows dimasukkan dalam modus SAFE MODE? Gampang! Cukup tambahkan karakter * (asterisks) di depan nama value tersebut. Artinya, nama COBA kita ganti dengan nama *COBA. Jika tidak percaya, lakukan booting dan masuklah dalam modus SAFE MODE. Saharusnya file dengan nama VIRUSKU.EXE akan tetap dijalankan oleh Windows. Jika yang kita pasangkan file tersebut adalah file virus beneran, maka akibatnya akan cukup fatal. Virus tetap akan hadir di memory biarpun kita telah memakai modus SAFE MODE. Biarpun trik ini kelihatannya sederhana, tapi cukup berbahaya jika dipakai. Karena sesudah data tersebut dijalankan, maka data yang dijalankan tersebut akan dihapus oleh Windows. Sehingga akan mempersulit pelacakan sumber masalahnya. Jika virus tetap saja aktif biarpun kita sudah masuk ke modus safe mode, periksalah subkey RunOnce secara berulang kali. Siapa tahu virus tidak memakai teknik shell spawn, tapi mengandalkan subkey Runonce. Teknik Runonce ini, masih jarang dilakukan oleh virus. Jadi, hukumnya wajib dipasangkan! Semakin banyak manipulasi yang dapat membuat virus aktif, maka akan semakin sukses virus tersebut bertahan hidup.
Tidak ada komentar:
Posting Komentar