Angel2. Facebook merupakan  jejaring sosial yang paling banyak digemari saat ini, menjadi media bersosialisasi di dunia maya. Tetapi ada kalanya nama Facebook juga dimanfaatkan oleh sebagian orang sebagai media untuk menyebarkan malware. Yang menarik adalah, terkadang bukan user yang secara tidak sengaja mengunduhnya kemudian menjalankan malware tersebut, tetapi justru dengan sengaja mengunduhnya kemudian menjalankannya.

A. Info File
Nama Worm : Angel2
Asal : Makasar, Sulawesi Selatan
Ukuran File : 324 KB (331,776 bytes)
Packer : ~
Pemrograman : Microsoft Visual Basic 5.0 -6.0
Icon : Malware Icon
Tipe : Worm

B. About Malware
“Download Facebook Hacking Tools” atau “How to Hack Facebook” bisa dikatakan adalah keyword yang jika diketikkan pada search engine, akan menampikan banyak hasil yang bisa dijadikan pilihan dan mungkin akan sesuai dengan keinginan user yang membutuhkannya. Untuk sebagian virus maker, hal ini bisa dijadikan kesempatan untuk menyebarkan malware buatannya. Sama seperti Angel2 yang sampelnya kami dapatkan dari Makasar dan diduga kuat merupakan malware yang menyebar dengan memanfaatkan social engineering berupa tool untuk melakukan hacking pada Facebook.

000000039366   000000439366      0   VS_VERSION_INFO
0000000393C2   0000004393C2      0   VarFileInfo
0000000393E2   0000004393E2      0   Translation
000000039406   000000439406      0   StringFileInfo
00000003942A   00000043942A      0   040904B0
000000039442   000000439442      0   CompanyName
00000003946A   00000043946A      0   ProductName
000000039484   000000439484      0   Trojan
00000003949A   00000043949A      0   FileVersion
0000000394C6   0000004394C6      0   ProductVersion
0000000394F6   0000004394F6      0   InternalName
000000039510   000000439510      0   Facebook Hacking
00000003953A   00000043953A      0   OriginalFilename
00000003955C   00000043955C      0   Facebook Hacking.exe

Icon Angel2 yang menyerupai permainan Angry Birds Rio ini akan semakin membuat user menjadi sedikit penasaran kemudian menjalankannya. Namanya diambil dari salah satu string yang terdapat pada tubuh malware.

C. Companion/File yang dibuat
Angle2 hanya membuat 2 buah file companion, antara lain Angel2.exe dan window.exe. Akan tetapi, dengan modul membuat file dengan nama yang sama seperti nama folder akan membuat malware ini menjadi sangat banyak.

D. Hasil Infeksi
Berbeda dengan worm yang menggandakan file dengan nama folder lainnya, Angel2 melakukan overwrite terhadap file yang sama. Dengan kata lain, jika di dalam folder Winamp terdapat winamp.exe, maka file winamp.exe yang asli akan diubah dengan file winamp.exe buatan Angel2. Maka dari itu, bisa dikatakan Angel2 adalah worm yang cukup berbahaya.

Payload yang dibuat oleh Angel2 ini cukup banyak memakan resource memory, sehingga komputer yang sudah terinfeksi akan sangat terasa lambat. Dan terbukt denga CPU Usagenya yang mencapai 100 %.

Selain memperbanyak companion, Angel2 juga melakukan injeksi serta memodifikasi entry pada registry. Berikut ini adalah beberapa value key yang dibuat.

# Created and Modified DWord
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- DisableThumbnailCache
- Hidden
	
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system
- DisableTaskMgr
- DisableRegistryTools
	
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- NoFolderOptions
	
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System
- DisableCMD
	
# Modified value key in CLSID for My Computer
HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}
- LocalizedString = @%SystemRoot%\system32\SHELL32.dll,-8964
- InfoTip = @%SystemRoot%\system32\SHELL32.dll,-22913
	
HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\DefaultIcon
- (Default) = %SystemRoot%\System32\shell32.dll,31
	
# Modified value key in CLSID for Recycle Bin
HKEY_CLASSES_ROOT\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}
- LocalizedString = @%SystemRoot%\system32\shell32.dll,-9216
- InfoTip = @%SystemRoot%\system32\SHELL32.dll,-22915
	
HKEY_CLASSES_ROOT\CLSID\{645FF040-5081-101B-9F08-00AA002F954E}\DefaultIcon
- (Default) = %SystemRoot%\Explorer.exe,0
- Empty = %SystemRoot%\Explorer.exe,0
- Full = %SystemRoot%\Explorer.exe,0
	
# Create Value Key In Startup
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- gpmce = \Angel2.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- gpmce = \Angel2.exe
	
# Modified
- HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Start Page = www.gpmce.net
- Search Page = www.booble.com

Hasil infeksi yang paling terlihat adalah berubahnya Icon My Computer dan Recycle Bin pada Windows Explorer, serta diikuti dengan perubahan nama pada keduanya.

E. Pembersihan

PCMAV 6.2 Update Build1

Untuk membasmi virus ini ataupun varian virus lainnya, PCMAV 6.2 Update Build1 telah hadir dengan penambahan 29 pengenal varian virus baru. Bagi Anda pengguna PCMAV 6.2, sangat disarankan segera melakukan update, agar PCMAV Anda dapat mengenali dan membasmi virus lebih banyak lagi.

Untuk mendapatkan dan menggunakan update PCMAV ini, Anda cukup menjalankan PCMAV.exe, komputer harus dalam keadaan aktif terhubung ke Internet. Jika koneksi Internet menggunakan proxy, tentukan konfigurasi proxy pada file proxy.txt. Fitur Automatic Updates dari PCMAV akan secara otomatis men-download dan meng-update database dari PCMAV. Anda juga dapat mengupdate kapan saja dengan klik kanan icon PCMAV pada system tray dan pilih Update.

Bagi Anda yang ingin mendapatkan file update tersebut secara manual, Anda bisa men-download file-nya melalui beberapa link ini:

SendSpace.com

ZippyShare.com (mirror)

RapidShare.com (mirror)

Letakkan file hasil download tersebut (update.vdb) ke dalam folder \vdb. Jika sebelumnya telah terdapat file update yang lama, Anda cukup menimpanya. Pastikan sekali lagi, bahwa nama file update adalah update.vdb, jika berbeda, cukup ubah namanya. Dan nanti saat Anda kembali menjalankan PCMAV, ia sudah dalam keadaan kondisi ter-update.

Daftar tambahan virus hingga PCMAV 6.2 Update Build1:
BlackLabel.drp
BlackLabel.A
BlackLabel.B
BlackLabel.C
BlackLabel.C.tmp
BlackLabel.D
BlackLabel.D.exe
BlackLabel.E
BlackLabel.F.exe
BlackLabel.F
BlackLabel.G
BlackLabel.H
BlackLabel.I
WmplayerC.lnk
Serviks.vbs.D
Serviks.vbs.D.vbe
Serviks.vbs.D.doc
Serviks.vbs.D.tmp
Persist
Angel2
NgrBot.V
NgrBot.V.drp
NgrBot.V.exe.A
NgrBot.V.exe.B
NgrBot.W
NgrBot.E.inf
Sality.drp
VB-Shortcut-1.lnk.D
VB-Shortcut-4