Filename : C:\windows\system32\cnpmmn.dll
Malware : Win32:Agent-OUX [Trj]
Malwaretype : Trojan Horse

atas bantuan beberapa teman gw akhir na gw nemu cara na

gw pake aja KILLBOX lalu gw masukin file yang akan dihapus 

C:\windows\system32\cnpmmn.dll.

trus saya pilih di delete setelah restart….
alhasil na file tersebut sudah terdelete sebelum masuk ke dalam system windows………….

Mudah-mudahan aja membantu buat teman-teman semua yang tidak sengaja menemukan kasus yang serupa ma kasus GW 

ups gw balik lagi…..
crita na skarang gw ketemu virus yang super gila…..cerita nah dia dah matikan semua extensi file yang berhubungan dengan mengganggunnya proses hidup VIRUS tersebut [.BAT, .INF,etc]……..
cara kerja nya simple aja mereka matiin dos,notepad,regedit,msconfig,MS.Word,etc……..cara matiin na virus tersebut hanya meng-FORWARD program-program diatas ke program laen seperti SOLITAIRE,WINAMP,etc [tergantung kemauan si maker VIRI na]
otomatis file BALIKIN.INF yang gw bikin ga bisa di buka donk!!!!nah disini gw mulai berkreasi lagi….. selaen PROCCESSXP gw pake juga tools pengganti REGEDIT nama na RegAlizer
tapi proses penginstalan tools ini gw lakukan di SAFE MODE….gimana masuk na?[dah ada di awal topic ini brur!!!!]
nah setelah terinstall gw masuk ke dalam KEY ini:

HKEY_CLASSES_ROOT\inffile\shell\Install\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command

trus settingan default di dalam key tersebut gw ganti dengan: 

C:\Windows\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1

klo SO ente menggunakan WINDOWS NT/2000/2003 ente ganti dengan: 

C:\Winnt\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1

nah sampe disini berarti file BALIKIN.inf gw dah berfungsi…..so gw udah lakukan sedikit modifikasi source BALIKIN.inf, kira-kira gini bentuk source na: 

[Version]
Signature=”$Chicago$”
Provider=yooogy
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del
[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,”"”%1″” %*”
HKLM, Software\CLASSES\comfile\shell\open\command,,,”"”%1″” %*”
HKLM, Software\CLASSES\exefile\shell\open\command,,,”"”%1″” %*”
HKLM, Software\CLASSES\piffile\shell\open\command,,,”"”%1″” %*”
HKLM, Software\CLASSES\regfile\shell\open\command,,,”regedit.exe “%1″”
HKLM, Software\CLASSES\scrfile\shell\open\command,,,”"”%1″” %*”
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, “Explorer.exe”
HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, “cmd.exe”
HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, “cmd.exe”
HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, “cmd.exe”
HKLM, SOFTWARE\Classes\exefile\DefaultIcon,,,”%1″
HKLM, SOFTWARE\Classes\VBSFile,,,”VBScript Script file”
HKLM, SOFTWARE\Classes\VBSFile\DefaultIcon,,,”C:\WIndows\System32\WScript.exe,2″
HKLM, SOFTWARE\Classes\VBSFile\Shell\Edit\Command,,,”C:\WIndows\system32\notepad.exe %1″
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden,UncheckedValue,0×00010001,1
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden,CheckedValue,0×00010001,0
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden,DefaultValue,0×00010001,0
HKLM, SOFTWARE\Classes\VBSFile, FriendlyTypeName,0,”@C:\Windows\System32\wshext.dll,-4802″
[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoFolderOptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Run, Adobe
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoDesktop
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFileAssociate
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderoptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoRun
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFind
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableCMD
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr
HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system, DisableTaskmgr
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TaskMgr.exe
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\attrib.exe
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe, Debugger
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe, Debugger
HKLM, SOFTWARE\Classes\VBSFile, NeverShowExt

trus gw klik kanan di BALIKIN.INF n klik INSTALL
lalu gw restart tuh PC…..nah sampe disini gw blom puas soal ne so pasti ada file yang dah ke Infeksi disembunyiin…
gw masuk ke DOS [RUN-CMD] trus gw ketik: 

attrib -s -h /s /d

n gw cek setiap drive yang ada file autorun.exe na gw delete

oh iya gw lupa…..sebelum melakukan proses install RegAlizer gw pake PROCCESSXP buat nge-KILL file wscript.exe yang aktif di memory!!!

soo……untuk sementara gw rasa PC gw agak sedikit aman!!!!!! 

1. gw download ProcessXP untuk mematikan semua proses virus seperti:
- smss.exe
- services.exe
- winlogon.exe
biar ga salah ngapus proses gw cari yang bericon FOLDER trus gw kill
2. gw restart komputer, trus gw masuk ke “safe mode with command prompt”, dengan cara menekan tombol [F8] ketika komputer restart, hal ini dimaksudkan agar virus tidak aktif pada posisi ”safe mode” dan komputer tidak melakukan restart selama proses pembersihan.

3. Setelah masuk mode ”Command Prompt” gw tekan tombol [CTRL] + [ALT] + [Del] secara bersamaan, kemudian gw pilih [Task Manager], setelah layar Task Manager muncul, gw klik menu [File] pilih [New Task (Run..), kemudian gw ketik [explorer] pada jendela [create new task file] setelah itu gw klik enter.
Kemudian akan muncul layar desktop (layaknya masuk ke mode “safe mode”)
nah sampe proses ini aja gw dah bahagia banget soalna gw udah berhasil masuk mode SAFE MODE…..
but bukan disini perjuangan gw….tentu na semua file/folder masih ter hidden…..ya udah gw u restart PC n ulangi proses awal tadi trus gw tampilkan semua file/folder yang terhidden di folder option biar gw gampang melakukan manualisasi gw bikin file sendiri pake NOTEPAD dengan nama Balikin.inf yang kira-kira source seperti ini:

[Version] Signature=”$Chicago$” Provider=yooogy [DefaultInstall] AddReg=UnhookRegKey DelReg=del [UnhookRegKey] HKLM, Software\CLASSES\batfile\shell\open\command,,,”"”%1″” %*” HKLM, Software\CLASSES\comfile\shell\open\command,,,”"”%1″” %*” HKLM, Software\CLASSES\exefile\shell\open\command,,,”"”%1″” %*” HKLM, Software\CLASSES\piffile\shell\open\command,,,”"”%1″” %*” HKLM, Software\CLASSES\regfile\shell\open\command,,,”regedit.exe “%1″” HKLM, Software\CLASSES\scrfile\shell\open\command,,,”"”%1″” %*” HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, “Explorer.exe” [del] HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableRegistryTools HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System,DisableCMD HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoFolderOptions

nah setelah itu pada file Balikin.inf gw klik kanan n then gw klik INSTALL

Bimsalabim gw dah bisa masuk ke REGEDIT, MSCONFIG, GPEDIT, CMD,etc……

disini lah pekerjaan membosankan coz gw kudu masuk satu persatu ke dalam setiap key yang kira-kira emang di serang sama si VIRUS na!!!!

pertama-tama banget gw masuk kedalam key

HKCU, Software\Microsoft\Windows\CurrentVersion\Run HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Run
soal na disini neeh biasa nah Virus dapat bertahan hidup….gw liat key/value yang aneh-aneh trus gw delete…..

sampe disini aja gw masih ragu so gw masuk kedalam

C:\Windows C:\windows\system32

C:\windows\ShellNew

C:\Documents and Settings\%user%\Local Settings\Application Data

trus gw liat ada ga seeh yang ter hidden disitu dengan nama yang rada aneh!!!!! if visible.true then delete…….ixixiixixixix kira-kira geto bahasa dalam VB [hasil ngintip share di topic sebelah hehehhehehehhe]

sampe disini gw rasa udah beres namun untuk lebih mantab gw edit file AUTOEXEC.bat di [path]C:
gw hapus tuh command pause

trus satu hal lagi yang gw mesti lakukan adalah proses TAsk Schedule, coz tiap virus memiliki jadwal yang beda-beda!!!so gw masuk ke scheduled tasks lewat START-SETTING-CONTROL PANNEL
lalu gw delete semua scheduled yang di buat oleh virus tersebut!!!!!

taraaaaaaaaatttt……untuk sementar gw SAVE dari marah bahaya virus itu!!!!hehehheheheheh

Oleh karena saya merupakan salah satu orang dari sekian banyak orang yang menyukai dunia teknik informasi, maka dalam blog ini kebanyakan berisi tentang seluk beluk dunia teknik informasi….

Tetapi sebagai seorang manusia juga, bukan berarti saya hanya monoton pada satu bidang saja….di sini saya juga menulis tentang sisi-sisi kehidupan manusia……

Mudah-mudahan saja blog ini dapat berguna bagi sahabat blogger/netter sekalean!!!!

BRAVO