PCMAV - AntiVirus Lokal untuk Virus Lokal!

PCMAV merupakan software antivirus Dikembangkan secara intensif oleh PC Media, salah satu majalah komputer yang beredar di Indonesia, yang didukung oleh jaringan distribusi Pinpoint Publications.Selain menggunakan engine antivirus-nya sendiri, PCMAV juga dapat mengkombinasikan engine dari ClamAV (www.clamav.net) program antivirus opensource untuk Unix yang berlisensi GPL sebagai plugin. Penggunaan double engine ini bertujuan agar hasil pendeteksian virus bisa didapat lebih banyak lagi.

Versi terbaru PCMAV dapat diperoleh secara rutin setiap bulan yang dibundel dalam CD/DVD majalah PC Media yang terbit tiap bulan. Selain itu update PCMAV dapat diperoleh melaui sebuah website Virus Indonesia [beta] (http://virusindonesia.com/), namun update terbarunya hanya terbatas untuk versi terakhir yang telah beredar.

Pembuatnya meng-klaim bahwa "PCMAV merupakan antivirus yang mengandung formula dan teknologi khusus yang unik dan tangguh untuk mengatasi virus komputer yang menyebar luas di Indonesia, baik jenis lokal maupun mancanegara (asing), secara akurat dan tuntas 100% tanpa merusak sistem Windows, dokumen dan file penting."

PCMAV diciptakan dan dikembangkan sebagai bentuk rasa cinta dan terimakasih kepada para pembaca setia PC Media. Namun demikian, masyarakat umum juga boleh manfaatnya tentunya sesuai dengan ketentuan penggunaan (end-user license).

Berikut ini adalah link-link download PCMAV yang ditemui oleh CIX-ers :

PCMAV 1.0 Final Release

KSpoold, mengubah .doc (word document) & .xls (excel woorksheet) menjadi exe (application)

KSpoold mengemban tugas “jahat” yakni mencari file .DOC dan .XLS di setiap drive removable disk (seperti USB Flash Disk) untuk disusupkan program utama virus ini pada setiap file .DOC dan .XLS yang ditemukan. Setelah disusupi, ekstensi file dokumen .DOC dan .XLS tadi akan berubah menjadi .EXE dan tidak lupa virus akan menyesuaikan icon file dengan jenis dokumen yang diinfeksinya. Selain itu, entah untuk maksud apa, virus ini dapat merusak file database yang berekstensi .MDF, .LDF dan .DBF.

Walau secara pemrograman virus KSpoold termasuk sederhana, namun inovasi yang efektif dan efisien yang dilakukan oleh pembuatnya, seakan membawa pakem baru dalam dunia pervirusan di Indonesia.

Dengan menggunakan Norton AntiVirus 2005, varian ini KSpoold dikenali dengan nama Backdoor.Deft, bahayanya Norton AntiVirus 2005 tanpa kompromi langsung menghapus file yang terinfeksi. Padahal bila saja file yang terinfeksi berisi data penting tentu akan menyusahkan pemiliknya.

Dengan PCMAV SE for KSpoold , sebuah antivirus atau tepatnya serum khusus yang dibuat oleh PCMedia mampu melumpuhkan lima varian dari virus ini secara sempurna, baik di memory, process, maupun di file. Selain itu, file DOC dan XLS yang terinfeksi juga mampu dipulihkan seperti sedia kala, tanpa cacat sedikitpun. Anda pun bisa tenang karena dokumen DOC dan XLS penting milik Anda tetap terselamatkan secara aman.

referensi : http://virusindonesia.com

Pendekar Blank (virus lokal baru yang lagi ngetrend!)

Seperti pada umumnya virus lokal (buatan orang Indonesia) virus ini juga menggunakan icon (icon folder) standar bawaan Windows, untuk mengelabui para pengguna komputer. Saya sendiri awalnya tidak menyadari ketika komputer yang digunakan di kantor terinfeksi virus "Pendekar Blank" karena dengan "cerdas"-nya virus tersebut mengelabui, selain dengan icon-nya "type"-nya juga dirubah dari aplication menjadi file folder.

Berikut beberapa tanda-tanda bila komputer terinfeksi virus "pendekar blank"

• pada drive C: terdapat file benama "(Read Me)Pendekar Blank.txt" yang berisi sebagai berikut :

  Salam Kenal Buat User yang sedang Aktif di Komputer ini
  Saya adalah Pendekar Blank 1, Program yang dibuat oleh seseorang yang ingin
  memberantas kejahatan di muka bumi ini dan saya dikirim ke sini untuk:
  
  1. Mencoba memberantas virus-virus lokal yang sudah menyebar di Indonesia
  2. Mencoba mengamankan komputer ini dari infeksi virus lokal, dan
  3. Mencoba menghalangi anda untuk berbuat sesuatu yang tidak perlu dilakukan di komputer ini
  
  Itulah 3 Misi saya setelah dikirim ke komputer ini
  
  Mohon maaf apabila nantinya terdapat kesalahan-kesalahan selama melakukan 3 misi diatas
  Mudah-mudahan anda adalah orang baik yang mempergunakan komputer pada jalan yang benar

• Ketika mengakses flaskdisk atau memory card folder-folder yang ada dalam flashdisk tidak bisa diakses, karena sebenarnya yang anda lihat bukanlah folder melainkan virus "Pendekar Blank" yang sedang mengelabui anda.
• Ketika menjalankan program antivirus, langsung menutup sendiri sebelum sempat menggunakannya.
• Ketika berselancar internet, saat (virus) mendeteksi kata "antivirus" maka browser (Internet Explorer, Mozilla Firefox, Opera, dll) langsung menutup sendiri.
• Ketika membuka windows exlporer, saat (virus) mendeteksi kata "antivirus" maka windows exlporer langsung menutup sendiri.

Lalu bagaimana menghapus virus pendekar blank?

Katanya sih mereka bisa :

• http://virusindonesia.com
• http://www.ansav.com
• http://www.geocities.com/zainuddin_nafarin/download/smadav23.zip

Rontokbro Makin Ganas

Apa yang diajarkan Son Goku kepada kita ? Jika anda penggemar Dragon Ball, menghayati dan mengamalkannya tentunya anda tidak akan sombong karena pesannya jelas sekali, di atas langit masih ada langit. Rupanya hal ini terjadi di kancah pervirusan Indonesia.

Jika SOP (Standard Operation Procedur) virus lokal selama ini adalah menyebarkan dirinya melalui Flash Disk atau Disket dan dengan rekayasa sosial yang canggih (memalsukan Icon virus sebagai folder atau aplikasi lain seperti MS Word, JPG). Dengan teknik sederhana ini biasanya pengguna komputer banyak yang secara tidak sadar menjalankan virus tersebut dan terinfeksi.

Tentunya pengguna komputer yang tidak pernah sembarangan mengklik file akan lebih aman dari penularan virus lokal. 100 % aman ?.... Tunggu Dulu !!! Sebelum memberikan Piala Citra pada pengguna yang tidak pernah sembarangan mengklik file sebaiknya anda lihat ancaman yang datang dari varian Ekskul...eh. . Rontokbro yang terakhir ini. W32/Rontokbro. LA, yang satu ini bisa mengaktifkan dirinya setiap kali anda mengakses Flash Disk yang dicolokkan pada komputer. Dan kabar buruknya, sudah ada beberapa varian virus lokal yang memiliki kemampuan menjalankan dirinya secara otomatis setiap kali Flash Disk di colokkan ke komputer.

Seperti yang sudah kita ketahui bahwa virus lokal biasanya akan menyebar menggunakan Disket / Flash Disk dan kita juga tahu bahwa virus tersebut baru akan aktif jika user menjalankan file yang sudah terinfeksi virus. Contohnya jika Flash Disk anda sudah terinfeksi virus dan Flash Disk tersebut di colokkan ke PC yang bersih maka anda perlu menjalankan file yang sudah terinfeksi terlebih dahulu dengan klik ganda pada file untuk mengaktifkan virus tersebut. Kini metode tersebut sudah kuno (anak kecil juga bisa). Lagi-lagi Rontokbro menjadi pionir dalam mencari cara baru menginfeksi komputer dimana variannya dengan nama W32/Rontokbro. LA mampu mengaktifkan dirinya secara otomatis setiap kali UFD (USB Flash Disk) di colokkan pada komputer. Dan ternyata sudah banyak virus lokal yang memiliki kemampuan yang sama. Rahasianya adalah script untuk menjalankan file yang sudah terinfeksi didalam Disket / Flash Disk tersebut sehingga jika user mengakses Disket / Flash Disk maka secara otomatis akan menjalankan script yang sudah dibuat tadi.

Jadi, setiap kali user mengakses Disket/Flash Disk yang sudah terinfeksi maka secara otomatis akan mengaktifkan virus tersebut. Rontokbro.LA juga akan membuat file Desktop.ini di setiap Drive [contoh: Drive C:\ atau D:\] sehingga jika user mengakses kedua Drive tersebut maka secara otomatis akan mengaktifkan virus tersebut tanpa harus menjalankan file yang sudah terinfeksi terlebih dahulu, suatu perkembangan yang luar biasa dan saat ini sudah banyak virus lokal yang akan menggunakan metode ini sebut saja virus W32/Askis, W32/VBWorm.ZL, VBWorm.MOS atau W32/Aksika.

Cara membersihkan Rontokbro.LA

1. Putuskan hubungan komputer yang akan dibersihkan dari jaringan

2. Matikan proses virus yang aktif dimemori. Sebagai informasi Rontokbro.AL akan aktif di mode “normal”, “safe mode” maupun “safe mode with command prompt”, file induk yang aktif di memori juga sangat sulit untuk dimatikan hal ini diperparah dengan kondisi dimana virus ini akan aktif setiap kali user menjalankan file Executable [EXE] dari suatu program, tools security seperti security task manager/proceeXP atau killbox pun dibuat tak berdaya. Kabar baiknya Rontokbro.AL dibuat dengan menggunakan bahasa Visual Basic sehingga anda hanya perlu merubah file MSVBVM60.dll yang ada didirektori C:\Windows dan C:\Windowws\ system32

Untuk merubah file MSVBVM60.dll tersebut, terlebih dahulu anda harus membuat Disket Startup karena file tersebut akan diubah pada mode DOS. Untuk membuat disket startup tersebut anda dapat menggunakan software NTFS For DOS, tools ini dapat di download di alamat http://www.wsdownlo ad.de/download/ ntfs4dos/ ntfsinst. exe.

Setelah anda berhasil membuat disket Startup boting komputer melalui Disket. Sebagai informasi jika anda menggunakan tools NTFS for Dos ini maka Drive System [C:\] akan menjadi Drive terakhir, jadi jika anda mempunyai 2 partisi maka partisi C:\ akan menjadi D:\ begitupun sebaliknya [partisi D:\ menjadi C:\] oleh karena itu setelah berhasil masuk ke mode DOS kemudian masuk ke Drive System dengan mengetik perintah %drive system%: kemudian tekan tombol “enter” pada keyboard [contoh: D: kemudian tekan tombol “enter”] setelah itu masuk ke direktori ..\Windows dengan mengetik CD WINDOWS kemudian tekan tombol “enter”, setelah itu ketik perintah dibawah ini:

· DIR/AH kemudian tekan tombol “enter” pada keyboard [untuk melihat file yang disembunyikan] , jika di direktori ini ditemukan file MSVBVM60.DLL, ubah nama file tersebut dengan mengetik perintah dibawah ini

· REN MSVBVM60.DLL MSVBVM60 kemudian tekan tombol “enter“ pada keyboard

Ubah juga file MSVBVM60.DLL yang ada di direktori ..\Windows\system32, dengan mengunakan perintah yang sama seperti di atas. (lihat gambar 8)

Setelah file tersebut berhasil di ubah, restart komputer dan booting ke mode "Normal". Setelah komputer booting maka akan muncul beberapa pesan error, ini menandakan bahwa virus tersebut gagal untuk dijalankan [aktif] kerena tidak menemukan file MSVBVM60.DLL, jika muncul pesan tersebut klik tombol [OK].

3. Hapus string registry yang dibuat oleh virus. Salin script dibawah ini pada program Notepad dan simpan dengan nama repair.inf kemudian jalankan dengan cara

• klik kanan repair.inf

• klik install

[Version]

Signature="$ Chicago$"

Provider=Vaksincom

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\ exefile\shell\ open\command, ,,"""%1"" %*"

HKLM, Software\CLASSES\ batfile\shell\ open\command, ,,"""%1"" %*"

HKLM, Software\CLASSES\ comfile\shell\ open\command, ,,"""%1"" %*"

HKLM, Software\CLASSES\ exefile\shell\ open\command, ,,"""%1"" %*"

HKLM, Software\CLASSES\ piffile\shell\ open\command, ,,"""%1"" %*"

HKLM, Software\CLASSES\ regfile\shell\ open\command, ,,"regedit. exe "%1""

HKLM, Software\CLASSES\ scrfile\shell\ open\command, ,,"""%1"" %*"

HKLM, SYSTEM\ControlSet00 1\Control\ SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SYSTEM\ControlSet00 2\Control\ SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SYSTEM\CurrentContr olSet\Control\ SafeBoot, AlternateShell, 0, "cmd.exe"

HKLM, SOFTWARE\Microsoft\ Windows NT\CurrentVersion\ Winlogon, Shell,0, "Explorer.exe"

HKCU, Control Panel\International , s1159,0, "AM"

HKCU, Control Panel\International , s2359,0, "PM"

HKLM, SOFTWARE\Classes\ exefile,, ,"Application"

HKCU, Control Panel\Desktop, SCRNSAVE. EXE ,0,

[del]

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Policies\ System

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Run, 4k51k4

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Run, MSMSGS

HKCU, Software\Microsoft\ Windows\CurrentV ersion\Policies\ Explorer, NoFolderOptions

HKLM, Software\Microsoft\ Windows\CurrentV ersion\Run, System Monitoring

HKLM, Software\Microsoft\ Windows\CurrentV ersion\Policies\ Explorer, NoFolderOptions

HKLM, Software\Microsoft\ Windows\CurrentV ersion\Policies\ System, DisableRegistryTool s

HKLM, Software\Microsoft\ Windows\CurrentV ersion\Policies\ System, DisableTaskMgr

HKLM, SOFTWARE\Policies\ Microsoft\ Windows NT\SystemRestore, DisableSR

HKLM, SOFTWARE\Policies\ Microsoft\ Windows NT\SystemRestore, DisableConfig

HKLM, SOFTWARE\Microsoft\ Windows\CurrentV ersion\Run, System Monitoring

HKLM, SOFTWARE\Microsoft\ Windows\CurrentV ersion\policies\ system, DisableCMD

HKLM, SOFTWARE\Microsoft\ Windows NT\CurrentVersion\ Winlogon, LegalNoticeText

HKLM, SOFTWARE\Microsoft\ Windows NT\CurrentVersion\ Winlogon, LegalNoticeCaption

HKLM, SOFTWARE\Policies\ Microsoft\ Windows\Installe r, LimitSystemRestoreC heckpointing

HKLM, SOFTWARE\Policies\ Microsoft\ Windows\Installe r, DisableMSI

HKLM, SOFTWARE\Policies\ Microsoft\ Windows NT\SystemRestore, DisableConfig

HKLM, SOFTWARE\Policies\ Microsoft\ Windows NT\SystemRestore, DisableSR

4. Hapus file induk yang dibuat oleh virus, sebelum menghapus file tersebut pastikan anda sudah menampilkan file/folder yang disembunyikan dengan memilih option "Show hidden files and folders" dan menghilangkan pilihan "Hide extension for known file types" dan "Hide protected operating system files (recommended) " pada Folder Option,

Setelah itu hapus file induk berikut:

• C:\Data%user% .exe [contoh: Data Admin.exe]

• C:\4k51k4.exe

• C:\Puisi.txt

• C:\Desktop.ini

• C:\4K51K4, folder ini berisi 2 buah file berikut:

- Folder.htt

- New Folder.exe

• C:\Documents and Settings\%user% \Start Menu\Programs\ Startup\startup. exe

• C:\Documents and Settings\%user% \Local Settings\Applicatio n Data

- 4k51k4.exe

- csrss.exe

- Empty.Pif

- IExplorer.exe

- lsass.exe

- services.exe

- shell.exe

- winlogon.exe

• C:\Documents and Settings\%user% \Local Settings\Applicatio n Data\WINDOWS

- csrss.exe

- lsass.exe

- services.exe

- smss.exe

- winlogon.exe

• C:\Documents and Settings\All Users\Start Menu\Programs\ Startup

- Empty.pif

- Empty.exe

- Startup.exe

• C:\WINDOWS\4k51k4. exe

• C:\WINDOWS\system32

- Shell.exe

- MrHelloween. scr

- IExplorer.exe

Hapus juga file yang ada di Disket/Flash Disk:

• 4K51K4, folder ini berisi 2 buah file dengan nama Folder.htt dan New Folder.exe

• Data %user%.exe, contoh: Data Admin.exe

• Desktop.ini

5. Hapus file duplikat yang sudah dibuat oleh virus baik di Hard Disk maupun di Disket/Flash Disk dengan ciri-ciri :

• Menggunakan icon folder

• Ukuran 45 KB

• Ext. exe

• Type file "application"

6. Untuk pembersihan optimal dan mencegah infeksi ulang scan dengan Norman Virus Control yang sudah dapat mengenali virus ini dengan baik.

7. Jika komputer sudah bersih dari virus, tampilkan kembali file .EXE yang sudah disembunyikan. Gunakan perintah ATTRIB -s -h *.exe /s /d pada Dos Prompt. Sebagai informasi Rontokbro.LA juga akan mencoba untuk menyembunyikan file dengan ekst. Bat/Com/lnk dan Pif jika file tersebut dijalankan oleh karena itu untuk menampilkan kembali file dengan ext tersebut gunakan perintah seperti diatas dengan mengganti ekstensi yang akan ditampilkan, contoh ATTRIB -s -h *.com /s /d

8. Ubah kembali file msvbvm60 yang ada di direktori C:\Windows\system32 menjadi msvbvm60.dll

referensi:
vaksin · Mailing List Vaksin.com
http://tech.groups.yahoo.com/group/vaksin/

Membrantas Brontok

Mengeliminasi Brontok secara Tuntas

tanpa AntiVirus

(Windows Xp and 2000 User)

1. Restart Windows dan masuk ke Safe Mode with Command Prompt.

Pada saat mau masuk ke Boot GUI, tekan F8, untuk masuk ke Windows Xp Startup menu. Pilih Safe Mode with Command Prompt. Pada logon screen pilih Administrator. Pada C:\> ketik Explorer dan tekan enter.

2. Cari dan hapus semua file yang berekstensi *.exe yang berikon seperti folder.
Anda dapat mengunakan fasilitas Find pada windows. Pada Find: ketik *.exe. Untuk mempermudah pencarian, Advance Option, Centang Search System folder, Search Hidden files and folder dan tentu saja Search Subfolder. Anda dapat mengunakan filter size untuk mempercepat pencarian.

Biasanya brontok suka pakai nama-nama umum seperti:
> smss.exe
> service.exe
> lsass.exe
> inetinfo.exe
> csrss.exe
Nama tersebut cenderung dapat anda jumpai di C:\Documents and Settings\*\Local
Settings\Application Data
> eksplorasi.exe (Hidden dan dapat ditemukan di C:\WINDOWS)
> sempalong.exe atau Elnor.B (Hidden dan dapat ditemukan di C:\WINDOWS\ShellNew)

Sisanya kopian dari nama folder.

3. Cari dan hapus semua file yang berekstensi *.scr yang berikon seperti folder.

Anda tidak perlu menggunakan filter size, karena *. scr adalah file Sreensaver dan lebih mudah dicari. Biasanya namanya *’s Setting.scr.

4. Cari dan hapus semua file yang berkstensi *.com yang berukuran 42 Kb atau 80 Kb dan hanya pada C:\Documents and Setting.

Pada Search in:pilih Browse...dan cari di C:\Documents and Settings. Gunakan Filter size. Jangan lupa untuk mengaktifkan opsi Search hidden files and folderkarena biasanya file ini suka bersembunyi di folder tersembunyi seperti Templates.

Nama yang digunakan biasanya:
> Brengkolang.com atau Bararontok.com

5. Cari dan hapus semua file yang bernama Empty.pif.

Empty.pif juga dapat ditemukan di sekitar C:\Documents and Settings\*\Start Menu\Programs\Startup\. Gunakan Size Filter untuk mempercepat pencarian.

6. Bukalah Registry Editor melalui Start, Run.

Jejauh pengetahuan saya, Brontok.A dan Brontok.C memungkinkan anda masih dapat membuka Regedit pada Safe Mode Command Prompt Administrator. Pada Brontok.E Kemungkinan tersebut sudah tidak lagi.

Untuk mengaktifkan Registry, anda dapat memanfaatkan Notepad untuk Membuat Visual Basic Script. Pada Notepad ketik:

Set WshShell = CreateObject("WScript.Shell")
Var_YN = MsgBox("Enable Registry Editor?", vbYesNo, "Registry Hacker")
If Var_YN = 6 Then

WshShell.RegWrite"HKCU\Software\Microsoft\Windows\ CurrentVersion\Policies\System\DisableRegistryTool s",0,"REG_DWORD"
WshShell.Run("RegEdit.EXE")

Else
WshShell.RegWrite"HKCU\Software\Microsoft\Windows\ CurrentVersion\Policies\System\DisableRegistryTool s",1,REG_DWORD"
Var_Ok = MsgBox("Registry Editor is Disabled!", vbOkOnly, "Registry Status")

End If

Save dengan nama sembarang tetapi ekstensinya harus *.vbs (Contoh: RegAble.vbs). Jangan lupa pada Save as type: pilih All Files (*.*)).

Jalankan Script tersebut dengan membuka secara langsung lewat Windows Explorer. Apabila semuanya benar, seharusnya icon file tersebut tidak berbentuk Text Document. Dan apabila anda menjalankan ada sebuah dialog yang menayakan Enable Registry Editor?. Klik Yes untuk mengenable dan menjalankan Registry Editor atau klik No untuk mendisable Registry Editor.

Selain mengunakan Visual Basic Script, anda dapat mengunakan Install Information Script yang lebih simpel. Jalankan Notepad dan Ketik:

[Version]
Signature="$CHICAGO$"

[DefaultInstall]
AddReg=EnableRegistry

[EnableRegistry]
HKCU,%SubKeyReg%,%ValueReg%,0x10001,0

[Strings]
SubKeyReg="Software\Microsoft\Windows\CurrentVersi on\Policies\System"
ValueReg="DisableRegistryTools"

Save dengan nama sembarang tetapi ekstensinya harus *.inf (Contoh: RegAble.inf). Jangan lupa pada Save as type: pilih All Files (*.*)).

Klik kanan pada icon file yang baru anda buat, kemudian klik Install. Jalankan Registry Editor melalui Start, Run.

Bila anda tidak mendapatkan reaksi diatas, maka ada kemungkinan bahwa file-file *.vbs dan *.inf tidak terassosiasi dengan tepat di registry. Anda harus menggunakan 3rd Party untuk mengenable Regedit. Anda dapat mengunakan 3rd Party Commersial, ataupun yang gratis seperti Madonote for Xpyang dapat di download lewatwww.asahi-net.or.jp.

7. Hapus atau ganti nol pada value:
- "NoFolderOption" dapat ditemukan di:
> HKCU\Microsoft\Windows\CurrentVersion\Policies\Exp lorer
> HKU\.Default\Microsoft\Windows\CurrentVersion\Poli cies\Explorer
- "DisableCMD dapat" dapat ditemukan di:
> HKCU\Microsoft\Windows\CurrentVersion\Policies\Sys tem
> HKU\.Default\Microsoft\Windows\CurrentVersion\Poli cies\System
- "DisableRegistryTools" dapat ditemukan di:
> HKU\.Default\Microsoft\Windows\CurrentVersion\Poli cies\System
Disini saya tidak dapat memberi garansi secara rinci. Apabila anda menemukan value seperti diatas dan datanya "1", anda dapat menghapusnya atau menggantikannya dengan "0"

8. Carilah dan Hapuslah startup untuk brontok pada keys
- Pada HKCU\Microsoft\Windows\\CurrentVersion\Run
> Tok-Cirrhatus ... C:\Documents and Setting\*\Local Setings\Application Data\Smss.exe
- Pada HKLM\Software\Microsoft\Windows\CurrentVersion\Run
> Bron-Spizaetus ... c:\Windows\ShellNew\Sempalong.exe
- Pada HKLM\Software\Microsoft\WindowsNT\CurrentVersion\W inlogon
> Shell ... Explorer.exe "C:\Windows\Eksplorasi.exe\"
Pada value ini cukup diganti dengan:
Shell ... Explorer.exe
- Pada HKU\.Default\Microsoft\Windows\CurrentVersion\Run
> Tok-Cirrhatus... C:\Windows\System32\config\System ProfilesLocal Settings\Application Data\Smss.exe
- Semua *\Run yang memangil nama Brontok (Bila ragu-ragu, periksalah semua data dengan melacak setiap file yang dipangila melaui Keys *\Run)

9. Restart dan masuk lah ke Normal Mode.

Cobalah untuk menjalankan tools-tools Windows seperti: RegEdit, MSConfig, MSDOS Prompt atau Task Manager. Bila masih Shutdown, penghapusannya belum tuntas. Bila muncul pesan ...eksplorasi.exe cannot be found..., maka anda lupa melewati no.8 point ke-3.

10. Apabila anda menghendaki kemampuan Registry Editing, jalankan file VBS atau INF.

Jalankan VBS atau INF yang telah anda buat pada account yang anda kehendaki memiliki kemampuan registry editing. Apabila pada komputer anda terdapat lebih dari satu user yang akan anda enablekan registry editingnya, maka anda harus menjalankan VBS atau INF tersebut pada setiap account.

sumber : xstarlogic@yahoo.com
" CHIP Forum SOFTWARE & INTERNET Virus, Sekuriti & Keamanan Data HotTip: Mengeliminas W32.Brontok Tanpa AV Secara Tuntas!!!i"