VBWorm.MOS (Babon)       3 Januari 2007

Jangan mau terima “Wangsit” dari “Cewe Imoet”

 

Link : Download Removal Babon (VBWorm.MOS) dari www.vaksin.com/removal

 

Kalau bertemu Cewe Imut di jalan, mungkin kamu akan mengajak kenalan, ngobrol siapa tahu bisa jadi teman. Tetapi jika kamu bertemu dengan file “cewe_imoet.exe” dengan ukuran 49 KB  di root C:\ pada komputer (lihat gambar 1), sebaiknya jangan diajak kenalan karena itu adalah virus VBWorm.MOS atau lebih ngetop dengan nama Babon. Terlebih lagi jika ditandai dengan dengan kemunculan satu file dengan nama wangsit.txt disetiap drive (lihat gambar 2). Virus yang kemungkinan berasal dari Sampit ini termasuk kedalam golongan virus yang membutuhkan teknik pembersihan yang “lumayan” rumit karena virus ini akan aktif setiap kali ada menjalankan file eksekusi [exe] dari suatu program ditambah dengan kemampuannya yang dapat aktif pada mode “safe mode” atau “safe mode with command prompt”, ciri lain yang mudah anda kenali adalah akan muncul sebuah pesan  Welcome Friend - Please enjoy the Babon Entertainment ^_^  setiap kali komputer dinyalakan, pesan ini akan mucul sebelum anda memasukan user name dan password Windows [hal ini juga pernah terjadi pada kasus virus W32/VBWorm.NA]

 

Gambar 1, Cewe Imoet yang perlu kamu hindari

 

Gambar 2, “Wangsit” yang di tinggalkan oleh VBWorm.MOS

 

Dengan up-date terakhir Norman Virus Control sudah dapat mengenali wangsit ..eh... virus ini sebagai VBWorm.MOS. (lihat gambar 3)

Gambar 3, Hasil Scanning Norman Virus Control

 

Seperti biasanya virus akan membuat beberapa file induk yang akan dijalankan pertama kali setiap kali komputer dinyalakan. Adapun beberapa file induk yang akan dibuat oleh VBWorm.MOS :

 

·         C:\babon.exe

·         C:\Windows\System32

§         shell.exe

§         IExplorer.exe

§         IExplorer .exe

§         babon.scr

·         C:\Windows\babon.exe

·         C:\wangsit.txt

·         C:\Cewek_Imoet.exe

·         C:\File_Rahasia %user%.exe [contoh: File_Rahasia administrator.exe]

·         C:\Documents and Settings\%user%\Local Settings\Application Data

§         csrss.exe

§         lsass.exe

§         smss.exe

§         winlogon.exe

§         babon.exe

§         shell.exe

§         Empty.Pif

§         IExplorer.exe

·         C:\Documents and Settings\%user%\Local Settings\Application Data\Windows

§         csrss.exe

§         lsass.exe

§         smss.exe

§         winlogon.exe

·         C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Startup .exe

·         C:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\startup.exe

·         C:\Documents and Settings\All Users\Start Menu\Programs\Startup

§         Empty.pif

§         Empty .exe

§         Startup .exe

§         C:\WINDOWS\babon.exe

 

Agar file tersebut dapat dijalankan secara otomatis, VBWorm.MOS akan membuat  beberapa string pada registri berikut:

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

    • babon = C:\WINDOWS\babon

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

    • Logon%user% = C:\Documents and Settings\lab\Local Settings\Application Data\WINDOWS\csrss.exe

    • System Monitoring = C:\Documents and Settings\lab\Local Settings\Application Data\WINDOWS\lsass.exe

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

    • MSMSGS = C:\Documents and Settings\lab\Local Settings\Application Data\WINDOWS\winlogon.exe

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

    • Shell = Explorer.exe "C:\WINDOWS\System32\IExplorer.exe"

    • userinit= C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\System32\IExplorer.exe

 

Regedit, Task manager, Run, Search, Menu shutdown, Menu logoff, Control Panels, Klik kanan pada taskbar, System Restore dan File Microsoft Installer [MSI] adalah segambreng fungsi Windows yang akan diblok oleh VBWorm.MOS sehingga akan mempersulit pada proses pembersihan. Ditambah lagi  dengan kemampuannya untuk menyembunyikan setiap file eksekusi [EXE]. Jika .EXE dijalankan maka komputer secara otomatis akan menjalankan virus ini, dan ibarat memborong di Amngga Dua, virus ini juga akan aktif jika jika user menjalankan file yang mempunyai ext. COM, BAT dan PIF .

 

Berikut beberapa string registry yang akan dibuat oleh VBWorm.MOS untuk memblok beberapa fungsi Windows tersebut diatas:

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

    • NoClose

    • NoFind

    • NoFolderOptions

    • NoRun

    • NoSetFolders

    • NoSetTaskbar

    • NoTrayContextMenu

    • NoUserNameInStartMenu

    • StartMenuLogOff

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

    • DisableRegistryTools

    • DisableTaskMgr

    • NoDispSettingsPage

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system

    • DisableCMD

  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

    • DisableMSI

    • LimitSystemRestoreCheckpointing

  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT

    • DisableConfig

    • DisableSR

 

Selain blok beberapa fungsi Windows di atas, VBVWorm.MOS juga akan melakukan manipulasi file yang mempunyai ekst. EXE, COM, BAT dan PIF sehingga jika user menjalankan file dengan ekst. di atas maka secara tidak langsung akan mengaktifkan dirinya. VBWorm.MOS juga akan menyembunyikan file eksekusi dari suatu program jika file tersebut. Untuk mengelabui user ia akan membuat file duplikat sesuai dengan nama file yang disembunyikan. Untuk melakukan hal tersebut VBWorm.MOS akan merubah string pada registry berikut:

 

  • HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\open\command

    • Default = "C:\WINDOWS\System32\shell.exe" "%1" %*

  • HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\open\command

    • Default = "C:\WINDOWS\System32\shell.exe" "%1" %*

  • HKEY_LOCAL_MACHINE\SOFTWARE\Classes\piffile\shell\open\command

    • Default = "C:\WINDOWS\System32\shell.exe" "%1" %*

  • HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command

    • Default = "C:\WINDOWS\System32\shell.exe" "%1" %*

 

Catatan:

Jika anda berhasil membersihkan virus tersebut tetapi tidak membersihkan string yang sudah dibuat di atas maka setiap kali anda menjalankan file dengan ekst. exe/com/bat dan pif  maka akan muncul pesan error berikut : (lihat gambar 4)

 

Gambar 4, Pesan error sewaktu menjalankan file eksekusi jika registry yang dirubah VBWorm.MOS belum dibenahi

 

Jika anda perhatikan format jam tulisan [AM/PM] yang ada di Task Bar kanan bawah juga akan berubah menjadi Babon, perhatikan gambar 5 dibawah ini:

 

Gambar 5, VBWorm.MOS merubah format AM/PM menjadi Babon

 

Untuk melakukan hal tersebut VBWorm.MOS akan  merubah string pada registri berikut:

  • HKEY_CURRENT_USER\Control Panel\International

    • s1159 = babon

    • s2359 = babon

 

Selain itu VBWorm.MOS akan merubah setting Screen Saver pada komputer dengan tujuan untuk mengaktifkan dirinya pada waktu-waktu yang telah ditentukan dengan merubah string pada registry berikut:

  • HKEY_CURRENT_USER\Control Panel\Desktop

    • SCRNSAVE.EXE = C:\WINDOWS\System32\babon.SCR

 

My Documets, My Computers, My Network Place dan RecycledBin juga tak luput dari incaran VBWorm.MOS, kali ini VBWorm.MOS akan merubah info tips Windows seperti:

  • My Documents menjadi  Babon's Document

  • My Computers menjadi Komputernya babon nih

  • My Network Place menjadi Babon's Network

  • RecycleBin menjadi  Babon Suka Kebersihan

 

Untuk melakukan hal tersebut, VBWorm.MOS akan merubah string pada registry berikut:

  • HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}

    • LocalizedString = Komputernya Babon nih

  • HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}

    • LocalizedString = Komputernya Babon nih

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

    • @C:\WINDOWS\system32\SHELL32.dll,-9227 = Babon's Document

    • @C:\WINDOWS\system32\SHELL32.dll,-9217 = Babon's Network

    • @C:\WINDOWS\system32\SHELL32.dll,-8964 = Babon Suka Kebersihan

    • @C:\WINDOWS\system32\shell32.dll,-9104 = babon keren

    • @C:\WINDOWS\system32\SHELL32.dll,-9216 = babon

    • @C:\WINDOWS\system32\shell32.dll,-9218 = babon

    • @C:\WINDOWS\system32\shell32.dll,-9728 = babon

  • HKEY_USERS\S-1-5-21-1645522239-492894223-682003330-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache

    • @C:\WINDOWS\system32\SHELL32.dll,-9227 = Babon's Document

    • @C:\WINDOWS\system32\SHELL32.dll,-8964 = Babon Suka Kebersihan

    • @C:\WINDOWS\system32\SHELL32.dll,-9217 = Babon's Network

  • HKEY_CLASSES_ROOT\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}

    • LocalizedString = Babon Suka Kebersihan

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

    • @C:\WINDOWS\system32\SHELL32.dll,-9227 = Babon's Document

  • HKEY_CLASSES_ROOT\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}

    • LocalizedString = Babon Suka Kebersihan

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

    • @C:\WINDOWS\system32\SHELL32.dll,-8964 = Babon Suka Kebersihan

 

Gambar 6, VBWorm.MOS merubah info tips windows

 

Selain itu VBWorm.MOS juga akan menyembunyikan option “Hide Protected Operating system files (recommended)” dan menambahkan option “Boban keren” pada Folder Options [perhatikan gambar 7] dengan terlebih dahulu merubah string pada registry berikut:

 

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

    • @shell32.dll,-30503 = Babon Keren

 

Gambar 7, Babon Keren ditampilkan pada Folder Options

 

Setelah menu “Folder Options” diatas  giliran “Internet Explorer” yang menjadi incaran VBWorm.MOS yakni dengan merubah Start Page dan Search Page ke alamat : www.jasakom.com, dengan merubah string pada registry berikut:

  • HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

    • Search Page = http://www.jasakom.com

    • Start Page = http://www.jasakom.com

    • Windows Title = Babon hates Norman..:P~~

 

VBWorm.MOS juga akan merubah type file  dari “Application” menjadi “File Folder” sehingga user  akan mudah terjebak untuk menjalankan file yang sudah terinfeksi VBWorm.MOS karena setiap file yang terinfeksi tersebut akan menggunakan icon “Folder” maka dengan mempunyai type file sebagai “File Folder” akan semakin sempurna penyemaran VBWorm.MOS, untuk melakukan hal tersebut ia akan merubah string pada registry berikut : (lihat gambar 8)

  • HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

    • Default = File Folder

 

Gambar 8, VBWOrm.MOS merubah type dari file “Application” menjadi “File Folder”

 

Jangan terkejut jika VBWorm.MOS akan merubah nama pemilik dan nama organisasi dari komputer anda, hal ini juga pernah dilakukan oleh virus lokal lainnya [seperti Borax] dengan merubah string pada registry berikut : (lihat gambar 9)

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

    • ProductName = Mikocok Windoll

    • RegisteredOrganization = Babon Corporation

    • RegisteredOwner = Babon's Computer

 

Gambar 9, VBWorm.MOS merubah “nama pemilik dan organisasi” Windows

 

Begitupun setiap kali komputer yang terinfeksi dinyalakan maka akan muncul sebuah pesan  Welcome Friend - Please enjoy the Babon Entertainment ^_^ dari sang pembuat virus sebelum anda memasukan user name dan pasword windows, dengan merubah string pada registry berikut:

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

    • LegalNoticeText = Please enjoy the Babon Entertainment ^_^

    • LegalNoticeCaption = Welcome Friend

 

Sebagai penutup,VBWorm.MOS akan membuat file duplikat disetiap Folder dengan ciri-ciri:

  • Menggunakan icon “Folder”

  • Ukuran 49 KB

  • Ekst. EXE

  • Type File “Application”

 

Sebagai media penyebaran Virus ini akan menggunakan media Disket/Flash Disk dengan membuat beberapa file  berikut:

·         wangsit.txt

·         Cewek_Imoet.exe

·         File_Rahasia %user%.exe [contoh: File_Rahasia administrator.exe]

 

Cara membersihkan virus W32/VBWORM.MOS [Babon]

  1. Putuskan hubungan komputer yang akan dibersihkan dari jaringan

  2. Matikan proses virus yang aktif di memori. sebagai informasi VBWorm.MOS akan aktif di mode “normal”, “safe mode” maupun “safe mode with command prompt”, file induk yang aktif di memori juga sangat sulit untuk dimatikan hal ini diperparah dengan kondisi dimana virus ini  akan aktif setiap kali user menjalankan file eksekusi [EXE] dari suatu program. Kabar baiknya VBWorm.MOS ini dibuat dengan menggunakan bahasa VB sehingga anda hanya perlu merubah file MSVBVM60.dll yang ada didirektori C:\Windows [karena VBWorm.MOS akan membuat file di direktori ini] dan C:\Windowws\system32

 

Untuk merubah file MSVBVM60.dll tersebut, terlebih dahulu anda buat diseket Startup karena file tersebut akan diubah pada mode DOS. Untuk membuat disket startup anda dapat menggunakan software NTFS 4 DOS, tools ini dapat di download di alamat

http://www.wsdownload.de/download/ntfs4dos/ntfsinst.exe

 

Setelah anda berhasil membuat disket Startup, masukan disket startup yang baru dibuat tadi ke Floppy Disk dan  boting komputer melalui Disket, setelah berhasil masuk ke mode DOS kemudian masuk ke Drive System dengan mengetik perintah %drive system%: kemudian tekan tombol “enter” pada keyboard [contoh: D: kemudain tekan tombol “enter”] setelah itu masuk ke direktori \Windows  dengan mengetik CD WINDOWS kemudain tekan tombol “enter”, setelah itu  ketik perintah  dibawah ini:

 

·         DIR/AH kemudain tekan enter pada keyboard [untuk melihat file yang disembunyikan], jika di direktori ini ditemukan file MSVBVM60.DLL kemudian ketik perintah dibawah ini

·         REN MSVBVM60.DLL MSVBVM60OLD kemudian tekan tombol enter pada keyboard

 

Rubah juga file MSVBVM60.dll yang ada di direktori ..\Windows\system32, dengan mengunakan perintah yang sama seperti di atas. (lihat gambar 10)

 

Gambar 10, Merubah nama file MSVBVM60.dll untuk melumpuhkan Babon

 

Setelah file tersebut berhasil di rubah, restart komputer dan booting ke mode "Normal", jika komputer anda booting ke mode normal maka akan muncul beberapa pesan error (lihat gambar 11), hal ini menandakan bahwa virus tersebut gagal untuk dijalankan [aktif] kerena tidak menemukan file MSVBVM60.dll hal ini disebabkan virus ini dibuat dengan menggunakan bahasa Visual Basic. Jika muncul pesan tersebut klik tombol [OK]

 

Gambar 11, Pesan error yang muncul karena rename file MSVBVM60.dll

 

  1. Hapus string registry yang dibuat oleh virus dengan menyalin script dibawah ini pada program notepad kemudian simpan dengan nama "repair.vbs" dan jalankan file tersebut dengan cara klik ganda file “repair.vbs”

 

Dim oWSH: Set oWSH = CreateObject("WScript.Shell")

on error resume Next

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command\","""%1"" %*"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command\","""%1"" %*"

oWSH.RegDelete("HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\system\DisableRegistryTools")

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\AlternateShell","cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot\AlternateShell","cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\AlternateShell","cmd.exe"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell","Explorer.exe"

oWSH.Regwrite "HKEY_CURRENT_USER\Control Panel\International\s1159","AM"

oWSH.Regwrite "HKEY_CURRENT_USER\Control Panel\International\s2359", "PM"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOrganization","Your Organization"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\RegisteredOwner","YourOwner"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProductName","Windows XP"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProductId","Product ID"

oWSH.Regwrite "HKEY_CLASSES_ROOT\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}\LocalizedString","Recycle Bin"

oWSH.Regwrite "HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\LocalizedString","My Computer"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\LocalizedString","My Computer"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\","Application"

oWSH.Regwrite "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug\Debugger",""

oWSH.Regwrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Search Page","About:Blank"

oWSH.Regwrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page","About:Blank"

oWSH.Regwrite "HKEY_CURRENT_USER\Control Panel\Desktop\SCRNSAVE.EXE",""

oWSH.RegDelete("HKEY_LOCAL_MACHINESOFTWARE\Classes\inffile\shell\Install\command\Default")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\NoDispSettingsPage")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\babon")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetTaskbar")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoTrayContextMenu")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoUserNameInStartMenu")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\StartMenuLogOff")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableSR")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore\DisableConfig")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\System Monitoring")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\DisableCMD")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeText")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeCaption")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\LimitSystemRestoreCheckpointing")

oWSH.RegDelete("HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\DisableMSI")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@C:\WINDOWS\system32\SHELL32.dll,-9227")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@C:\WINDOWS\system32\SHELL32.dll,-8964")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@C:\WINDOWS\system32\SHELL32.dll,-9217")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@C:\WINDOWS\system32\shell32.dll,-9104")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@C:\WINDOWS\system32\SHELL32.dll,-9216")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@C:\WINDOWS\system32\shell32.dll,-9218")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\@shell32.dll,-30503")

oWSH.RegDelete("HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Windows Title")

 

Setelah menjalankan file repair.vbs, restart komputer

 

Catatan: jika info tips Windows Babon's Document  dan Babon's Network masih belum berubah sebaiknya anda ubah string yang sudah diubah oleh virus secara manual dengan terlebih dahulu membuka program regedit.exe, kemudian telusuri key dibawah ini:

 

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

§         @C:\WINDOWS\system32\SHELL32.dll,-9227, ubah value  Babon's Document menjadi My Document

§         @C:\WINDOWS\system32\SHELL32.dll,-9217, ubah value  Babon's Network menjadi My Network Places

 

  1. Hapus file induk yang dibuat oleh virus. sebelum menghapus file induk tersebuit pastikan anda sudah menampilkan semua file yang disembunyikan dengan memilih option "Show hidden files and folders" dan menghilangkan pilihan "Hide extension for known file types" dan "Hide protected operating system files (recommended)" pada Folder Option, perhatikan gambar 12 dibawah ini:

 

Gambar 12, Menampilkan file yang disembunyikan

 

Setelah itu hapus file induk berikut

·         C:\babon.exe

·         C:\Windows\System32

§         shell.exe

§         IExplorer.exe

§         IExplorer .exe

§         babon.scr

 

·         C:\Windows\babon.exe

·         C:\wangsit.txt [disetiap drive]

·         C:\Cewek_Imoet.exe

·         C:\File_Rahasia %user%.exe [contoh: File_Rahasia administrator.exe]

·         C:\Documents and Settings\%user%\Local Settings\Application Data

§         csrss.exe

§         lsass.exe

§         smss.exe

§         winlogon.exe

§         babon.exe

§         shell.exe

§         Empty.Pif

§         IExplorer.exe

·         C:\Documents and Settings\%user%\Local Settings\Application Data\Windows

§         csrss.exe

§         lsass.exe

§         smss.exe

§         winlogon.exe

·         C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Startup .exe

·         C:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\startup.exe

·         C:\Documents and Settings\All Users\Start Menu\Programs\Startup

§         Empty.pif

§         Empty .exe

§         Startup .exe

§         C:\WINDOWS\babon.exe

  1. Hapus file duplikat yang dibuat oleh virus baik di Hard Disk atau di Flash Disk anda dengan ciri-ciri

·         Menggunakan icon "Folder"

·         Ext. EXE

·         Tpe file "Application"

·         Ukuran file 49 KB

  1. Untuk pembersihan optimal dan mencegah infeksi ulang, gunakan Norman Virus Control yang sudah dapat mendeteksi virus ini dengan baik.

  2. Untuk menampilkan kembali file EXE yang sudah disembunyikan oleh virus ketik perintah ATTRIB –S –H  *.EXE /s /d pada DOS  Prompt

  3. Jika komputer sudah bersih dari virus, rubah kembali file MSVBVM60old menjadi MSVBVM60.DLL  yang ada di direktori C:\Windows\system32.

 

Aj Tau

info@vaksin.com

 

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

Ph : 021 345 6850

Fx : 021 345 6851