NTLDR is Missing - W32/Rontokbro.EQ

3 Oktober 2006

1 Oktober, hari kesaktian Rontokbro

Jika tiap tanggal 1 Oktober, kita memperingati Hari Kesaktian Pancasila, tanggal 1 Oktober 2006 bagi sebagian (ribuan) pengguna komputer Indonesia juga merupakan hari yang spesial. Selain merayakan Hari Kesaktian Pancasila, pengguna komputer yang terinfeksi W32/Rontokbro.EQ dan "lupa" membackup data komputernya dengan baik akan mengalami kehilangan data di komputernya. Secara tidak langsung pengguna komputer merasakan "kesaktian" Rontokbro sehingga tanggal 1 Oktober 2006 cukup layak dinobatkan sebagai "hari kesaktian Rontokbro". Adapun ciri-ciri dari komputer yang menjadi korban kesaktian Rontokbro adalah munculnya layar hitam legam dan tulisan putih "NTLDR is missing - Press Ctrl+Alt+Del to restart" dan semua data pada harddisknya di hapus sehingga yang tersisa hanya folder kosong melompong bak desa-desa terendam lumpur Lapindo. Vaksincom menerima laporan konfirmasi korban ribuan komputer dari Sumatera, Jawa, Kalimantan dan Sulawesi.

Sebenarnya W32/Rontokbro.EQ merupakan virus lama yang sudah terdeteksi Norman Virus Control sejak bulan Agustus 2006, tetapi karena penyebarannya yang cukup tinggi dan merata serta pembuatnya yang secara "pintar" menyembunyikan bom waktu pada Rontokbro.EQ ini sehingga korbannya tidak menyadari dampaknya. Mirip dengan virus My Doom yang pada tanggal 1 Februari 2004 menginstruksikan puluhan ribu komputer yang terinfeksi MyDoom.A@mm untuk melakukan Ddos terhadap website www.sco.com yang menyebabkan website tersebut down dan sangking gemasnya sampai mengeluarkan undian 2.5 milyard rupiah bagi siapapun yang berhasil memberikan informasi guna mengungkapkan pembuat MyDoom ini. Sampai saat ini Vaksincom belum mendengar SCO mengeluarkan undian bagi yang berhasil mengungkapkan pembuat Rontokbro .... ada yang berminat membuat sayembara ?

Apakah Rontokbro.EQ itu ?

Rontokbro.EQ adalah varian virus Rontokbro ( lihat artikel Rontokbro.EQ (Ambon Manise) 12 Agustus 2006 Ambon Manise dgn gambar Dian Sastro ) berukuran 42 KB yang sudah cukup lama beredar dan sudah terdeteksi Norman Virus Control sejak Agustus 2006 dengan salah satu ciri khas memanipulasi gambar Dian Sastro dengan tujuan supaya di klik oleh pengguna komputer. (lihat gambar 1)

Gambar 1, File virus Rontokbro.EQ dalam bentuk JPG merekayasa gambar Dian Sastro untuk mengelabui pengguna komputer

Rontokbro.EQ juga melakukan rekayasa sosial dengan memalsukan dirinya menggunakan ekstensi dan icon file .rtf (Rich Text Format), .jpg dan folder guna mengelabui pengguna komputer. Dalam menjalankan aksinya di sistem komputer yang telah terinfeksi, Rontokbro akan menggunakan file sistem Windows dengan nama dan lokasi sebagai berikut :

• C:\Windows\SVCHOST.exe

• C:\Windows\system32\ebrr.exe

• C:\Windows\system32\mmstask.exe

• C:\Windows\system\SVCHOST.EXE

Mengubah Type File ”Application” menjadi “File Folder”

Satu hal yang menarik adalah Rontokbro EQ mempelopori aksi merubah type file dari setiap file yang mempunyai ekstensi. EXE manjadi File Folder. Dari sudut pandang “rekayasa sosial” hal ini cukup brilian karena user yang sangat berhati-hatipun akan tertipu dengan rekayasa yang satu ini, karena selama ini user yang berhati-hati dan selalu memperhatikan “Type” dari file yang dijalankannya akan selamat dan tidak akan mengklik “Type” file “Application” meskipun iconnya berupa folder. Tetapi dengan rekayasa ini file bervirus dengan icon folder akan terlihat pada “Type” filenya sebagai “File Folder” dan kemungkinan besar akan banyak user yang tertipu dengan hal ini. Kepeloporan Rontokbro kembali terlihat dan hal ini diikuti oleh pembuat virus W32/VBWorm.NE (Dago). Adapun registry yang di “permak” adalah sebagai berikut :

• HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile

Default = File Folder [secara default adalah Default = Application] (Gambar 3)

Gambar 3, Rontokbro.EQ akan merubah Type File dari EXE menjadi File Folder

Media Penyebaran

Media penyebaran yang digunakan oleh Rontokbro.EQ masih menggunakan Disket / UFD (USB Flash Drive) / File sharing dengan membuat satu atau beberapa file dibawah ini dengan ukuran file sebesar 42 KB dan menggunakan icon Folder. Tentunya semua file virus dibawah ini tidak akan terlihat sebagai "Application" karena iconnya sudah dipalsukan dengan icon “folder” dan file typenya menjadi “File Folder”

• Agnes Monica.exe

• Foto Pacar.exe

• Bekas Pacar.exe

• Dian Sastro.exe

• Jangan Dihapus.exe

• Oh Cantiknya…exe

• Dokumen Kerja.exe

Bahaya UFD dan File Sharing

Salah satu jalan yang digunakan Rontokbro.EQ untuk menyebarkan dirinya secara meluas adalah jaringan intranet (FIle Sharing) perusahaan. Vaksincom menerima informasi salah satu korban Rontokbro.EQ ini dimana pada awalnya yang menjadi korban pada awalnya adalah cabang perusahaan di salah satu kota di Kalimantan, tetapi tidak lama kemudian korban virus ini bermunculan di Jakarta dan kota-kota lain di Indonesia. Setelah di teliti lebih jauh, ternyata komputer di kota-kota ini terhubung satu sama lain melalui intranet perusahaan dan celakanya antivirus yang terinstal pada jaringan perusahaan tersebut tidak mampu mendeteksi Rontokbro.EQ. Dengan menggandeng nama-nama seperti Agnes Monica, Foto Pacar, Bekas Pacar, Dian Sastro dan Dokumen Kerja, sangat mudah bagi Rontokbro.EQ untuk menggiring pengguna komputer yang "innocent" dan "curious" dan hobby mengklik untuk mengklik file yang mengandung virus. Tetapi alih2 mendapatkan gambar Agnes Monica atau Dian Sastro, pemilik komputer malah akan menjadi korban Rontokbro.EQ.

Faktor lain yang perlu diwaspadai adalah UFD (USB Flash Disk) yang disinyalir juga menjadi media penyebaran utama / jembatan penghubung penyebaran virus dari Warnet ke kantor / rumah. Seperti kita ketahui, negara Indonesia memiliki keunikan pengguna dan pemilik UFD dan disketnya sangat tinggi. Sebabnya adalah karena infrastruktur internet yang relatif masih mahal sehingga mayoritas pengakses internet menyimpan datanya di UFD / disket. Bak penyakit AIDS, UFD yang hobi "jajan" dan di colokkan ke komputer warnet yang bervirus akan ikut terinfeksi virus lalu di bawa pulang dan di colokkan ke komputer rumah atau laptop papanya yang dibawa pulang dari kantor. Virus kemudian akan menginfeksi laptop atau komputer rumah sehingga setiap UFD yang di colokkan pada laptop atau komputer yang telah terinfeksi virus ini akan ikut terinfeksi virus dan menjadi agen penyebaran virus yang baru dan siap menginfeksi komputer / laptop lain lagi dan seterusnya sampai di hentikan oleh program antivirus.

Apa saja yang dilakukan Rontokbro.EQ pada hari kesaktiannya ?

Tepat Pkl 00:00, 1 Oktober 2006 ROntokbro.EQ akan menjalankan rutin menghapus data semua folder yang ada di harddisk. Uniknya, Rontokbro.EQ seperti test IQ hanya akan menjalankan aksinya di bulan Oktober 2006 pada tanggal ganjil saja 1, 3, 5 dst dan tanggal genap ia akan menjadi anak manis yang tidak melakukan aksi jahat. Selain itu, bulan September dan November 2006 Rontokbro.EQ menurut pengetesan di Lab Virus Vaksincom tidak melakukan aksi menghapus file. Tetapi pada bulan Desember 2006, mungkin ingin memberikan "hadiah" akhir tahun, Rontokbro.EQ akan menjalankan aksinya menghapus data folder setiap hari.

Norman Virus Control dengan update terakhir sejak Agustus 2006 sudah mampu mendeteksi dan membasmi Rontokbro.EQ (lihat gambar 4).

Gambar 4, Norman Virus Control sudah dapat mendeteksi ROntokbro.EQ sejak Agustus 2006 sehingga pengguna Norman yang terupdate terhindar dari aksi jahat Rontokbro.EQ menghapus semua isi folder data pada tanggal 1 Oktober 2006

Bagaimana mencegah menjadi korban penghancuran data ?

Salah satu cara yang paling "murah" dan ampuh untuk menghindari menjadi korban penghancuran data adalah simple. BACK UP ... BACK UP ....... BACK UP.. data anda secara teratur dan simpan pada lokasi yang terpisah dan aman. Jika data penting anda selalu di back up dengan teratur dan benar, jangankan Rontokbro.EQ, pencuri Laptop sekalipun tidak akan mampu mengakibatkan kerugian yang berarti karena anda hanya perlu melakukan restore atas data anda dari media backup. Asal saja, jangan lupa ikut gebukin maling laptopnya kalau tertangkap yah (gemes ... :P).

Di samping itu, jangan percaya jika ada perusahaan antivirus yang "berani" mengatakan bahwa jika menggunakan program antivirusnya maka komputer anda akan aman dari segala virus baik yang telah ada dan "akan" ada..... tidak ada antivirus yang mampu memproteksi anda dari semua virus karena antivirus mampu mendeteksi virus "hanya" setelah mendapatkan samplenya. Mungkin salah satu jawaban menghadapi serangan virus lokal yang sangat marak adalah menggunakan antivirus dengan jaringan support lokal di seluruh Indonesia yang handal dan mampu secara konsisten memberikan perlindungan dan deteksi terhadap virus lokal yang saat ini makin meningkat aksinya. Sejak Oktober 2005 sampai dengan hari ini, PT. Vaksincom dan perwakilannya di 27 kota di Indonesia sudah mendeteksi lebih 1.000 virus lokal menyebar di jagad maya Indonesia. Rata-rata 2 virus lokal baru setiap hari.

Bagaimana merecovery datanya

Lalu Vaksincom selalu mendapatkan pertanyaan, kalau sudah menjadi korban Rontokbro.EQ harus bagaimana ? Ibaratnya Nasi Sudah Menjadi Bubur ......

Salah satu alternatifnya (jika anda tidak melakukan back up dengan baik dan disiplin) adalah menggunakan program Data Recovery. Hanya ingat, jangan pernah menjalankan harddisk yang ingin direcover sebagai master yang akan berakibat swap file windows yang baru menempati ruang kosong yang "sebenarnya" berisi data yang ingin anda selamatkan. Karena itu, hubungi perusahaan Data Recovery yang berpengalaman dan terpercaya. Untuk aplikasi Data Recovery yang dapat anda gunakan antara lain Easy Data Recovery Pro, Get Data Back. Selamat recover data.

salam,

Alfons Tanujaya

info@vaksin.com

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

Ph : 021 345 6580

Fx : 021 345 6851