Memperbaiki Browser Yang Dibajak/Hijacked

Pada kehidupan saat ini di mana internet menjadi sebuah kebutuhan maka peran browser menjadi sangat besar. Penggunaan browser yang sudah menjadi kebiasaan ditambah dengan berbagai macam fitur tambahan seperti plugin semakin menjadi satu hal yang tidak bisa dipisahkan dalam  berselancar di suni maya. Hal ini sudah jelas bisa menjadi sasaran empuk bagi orang-orang yang tidak bertanggung jawab. Dengan tujuan untuk mencari keuntungan atau sekedar merusak, browser dapat dieksploitasi sehingga penggunaannya dapat berakibat fatal bagi pengguna. Bukan masalah apabila komputer yang digunakan tidak menyimpan data-data penting atau tidak digunakan untuk login ke website yang menyimpan data-data pribadi dari pengguna. Eksploitasi ini bisa berupa malware atau junkware yang terpasang secara otomatis saat pengguna melakukan instalasi aplikasi tertentu dari internet. Program jahat seperti ini biasa ditemukan di halaman-halaman website download gratis yang mengandung banyak jebakan tombol download palsu. Pengguna yang tidak jeli biasanya langsung membuka file hasil download yang biasanya berekstensi ‘exe’. Bisa juga terpasang karena tidak membaca option (pilihan) instalasi dengan langsung mengklik tombol next sehingga semua program tambahan yang sifatnya optional juga ikut terpasang. 

Ciri-ciri browser yang sudah dieksploitasi/hijacked

Browser yang sudah tereksploitasi biasanya memiliki ciri-ciri sebagai berikut:

• Toolbar dipenuhi dengan shortcut yang tidak dibuat oleh pengguna
• Halaman awal (homepage) diarahkan ke website semacam search engine yang tidak biasa (asing). Jika anda tetap menggunakan search engine palsu ini, maka pembuatnya akan mendapatkan penghasilan berdasarkan query yang dihasilkan dari pencarian. Homepage ini tidak bisa diganti meskipun sudah dihapus dari pengaturan di browser.
• Pada saat browsing, browser akan membuka tab atau halaman baru yang bukan keinginan pengguna.
• Proses browsing lebih lambat dari biasanya.

Cara mengatasinya

Langkah awal untuk menyelamatkan browser yang sudah tidak beres adalah dengan mereset browser ke pengaturan awal. Cara ini tidak selalu berhasil, namun tetap perlu dilakukan. Perlu diketahui bahwa proses ini akan mengakibatkan semua bookmark yang tersimpan di browser hilang.

       Untuk Mozilla Firefox

• Klik menu, kemudian klik icon help menu.

Menu Help

• Klik Troubleshooting Information, kemudian klik Refresh Firefox.

Troubleshooting Information

Refresh Firefox

Untuk Chrome

• Klik icon “customize and control google chrome”, kemudian klik settings

customize and control google chrome

• Scroll ke bawah kemudian klik tombol Reset Settings.

Reset Settings

• Klik Reset pada kotak konfirmasi. 

Konfirmasi Reset

Apabila reset ke pengaturan awal tetap tidak berhasil mengembalikan browser ke kondisi semula, maka kemungkinan besar malware sudah masuk ke sistem windows. Bisa dalam bentuk file yang aktif di background, registry, dll. Untuk kondisi seperti ini anda akan membutuhkan tool khusus dari pihak ketiga. Adw Cleaner adalah salah satu aplikasi pembersih yang banyak digunakan. Software gratis ini bisa didownload langsung dari websitenya di sini.

ADWCleaner

Setelah download selesai program bisa langsung dijalankan tanpa perlu instalasi.
·         Klik tombol scan untuk memulai pengecekan

Tampilan awal ADW Cleaner

·       

       Setelah proses scan selesai, periksa semua tab dari tab service, Folders, Files, DLL dst.

·         Apabila kolom di dalam salah satu atau semua tab itu ada isi/daftarnya, berarti memang ada masalah dengan browser atau sistem Windows anda.

Proses scan

•  Klik Clean untuk membersihkan.

·         Setelah proses pembersihan selesai, ADW cleaner akan merestart komputer. Log pembersihan akan ditampilkan setelah komputer restart.

Untuk mencegah hal yang sama terjadi lagi, sebaiknya :

• Hati-hati dalam mendownload file dari internet. Lebih aman lagi jika download dilakukan dari website resmi/terpercaya.
• Saat download, pastikan ekstensi file sesuai dengan yang anda inginkan. Misalnya: Pastikan yang tampil di box sebelum download dimulai adalah “namafile.mp3” jika anda ingin download file audio mp3 dan bukannya “namafile.exe”
• Saat menginstalasi program, pastikan membaca informasi yang ditampilkan di setiap step/lamgkah instalasi.  Jangan terburu-buru mengklik tombol next.
• Hilangkan centang pada program tambahan (optional) yang akan diinstal jika memang tidak dibutuhkan misalnya semacam toolbar.
• Aktifkan deteksi otomatis untuk PUP (Potentially Unwanted Program) pada antivirus anda.

Conime.exe, CtDrvMgv.exe, CtDrvMfr.exe dan CtDrvMgq.exe

Ketiga file ini kecuali Conime, merupakan spyware atau malware ( masa bodo apapun itu yang jelas mengganggu banget ).  Kenapa saya sebut malware ?. Karena tak ada petunjuk sedikitpun di internet yang tidak menuju ke website anti spyware atau malware yang menyediakan fasilitas scan gratis, tapi untuk menghilangkan infeksi harus beli versi Full dari software yang mereka tawarkan. Anehnya, jika dilakukan scanning, semua file-file tidak jelas tersebut terdeteksi semuanya, sementara anti virus ,bahkan dengan update database terbaru tidak melihat adanya kejanggalan dari file-file tersebut.  Saya curiga pembuat program pengganggu tersebut justru adalah mereka-mereka yang menawarkan pembasmi program ciptaan mereka sendiri untuk memperoleh keuntungan  materi.

Kembali ke CtDrvMgq atau CtDrvMgv.exe atau CtDrvMfr.exe ( tergantung file yang anda temukan) dan Conime,

Ciri-ciri komputer yang telah terjangkit program jahat ini antara lain :

1. Fungsi show hide hidden file di Folder Option tidak berfungsi.


2. Koneksi internet akan terasa lambat


3. Jika menggunakan Firewall tambahan selain milik Windows, akan sering muncul pesan memberi tahu bahwa CtDrvMgq hendak melakukan koneksi internet ke IP tertentu. Jika pesan itu muncul pertama kali saat Windows selesai booting dan anda memilih option "Deny" maka otomatis browser anda tidak akan bisa digunakan untuk browsing karena seolah-olah sambungan internet terhenti.


4. Firewall tambahan juga akan memberi tahu bahwa file hosts dimodifikasi secara ilegal.


5. Tool seperti Cprocess, Hijackthis, Microsoft Malicious software removal tool dan sejenisnya tidak bisa dijalankan karena prosesnya akan selalu di "kill" ditengah jalan oleh salah satu proses yang berjalan di komputer. Sayangnya sampai sekarang saya tidak tahu nama proses itu. :(

Untuk anda yang komputernya terjangkit virus ini, saya ada beberapa tips dan cara untuk menghilangkan infeksinya.

1. Cari file msvbvm60.dll, letaknya ada di folder Windows\system32


2. Rename file tersebut menjadi misalnya msvbvm60ss.dll, jangan terlalu banyak melakukan perubahan dari nama aslinya karena nanti akan dikembalikan seperti semula.


3. Restart komputer, akan muncul beberapa pesan kesalahan karena beberapa program tertentu akan gagal berjalan karena membutuhkan file dll tadi termasuk virus dan bahkan antivirus  Smadav.


4. Jalankan regedit dari Run menu


5. Cari key dan value CtDrvMgq.exe atau CtDrvMgv.exe atau CtDrvMfr.exe ( tergantung file yang anda temukan) dengan menggunakan menu Find.


6. Hapus setiap value yang mengandung kata-kata CtDrvMgq.exe atau CtDrvMgv.exe atau CtDrvMfr.exe ( tergantung file yang anda temukan)


7. Teruskan pencarian dengan menekan tombol F3. jika ditemukan, hapus lagi. Ulangi sampai keluar pesan "Finish searching bla bla bla" (bla bla bla nya ga ada cuma saya lupa kata-kata lengkapnya) :)


8. Cari key atau value dengan kata kunci conime


9. Hapus jika value atau keynya nya adalah conime.exe lalu cari lagi seperti sebelumnya.


10. Selanjutnya, cari file CtDrvMgq.exe, atau CtDrvMgv.exe atau CtDrvMfr.exe ( tergantung file yang anda temukan)di drive C kemudian hapus file tersebut.


11. Kembalikan file dll yang telah direname sebelumnya ke nama aslinya yaitu msvbvm60.dll


12. Restart komputer, scan registry dengan smadav dan repair perubahan-perubahan registry yang ditemukan.


13. Download dan jalankan Microsoft Malicious software removal tool untuk mencari sisa-sisa malware lainnya jika ada .

P.S : Saya tidak bertanggung jawab jika terjadi masalah pada Windows anda apabila melakukan kesalahan pada saat menghapus bagian-bagian dari registry ( tahap paling berbahaya ).

Update : Nama file virus ini bisa berbeda-beda. Tapi 6 karakter pertama ( CtDrvM??.exe ) pasti sama kecuali conime.exe yang namanya tidak berubah. Beberapa komputer yang saya temui terinfeksi virus ini namun dengan nama file CtDrvMgv.exe, CtDrvMfk.exe dan CtDrvMfr.exe. Meski demikian karakteristiknya sama dan cara menghilangkan efeknya tidak memiliki perbedaan yang signifikan. Dalam proses pencarian value atau key di registry, anda hanya harus menggunakan CtdrvMgv.exe, CtDrvMfk.exe atau CtDrvMfr.exe (sesuai nama virus yang anda temukan di komputer) sebagai kata kunci pencarian pada registry.

Jika cara diatas masih belum berhasil, mungkin windows bisa di repair dengan langkah-langkah yang dijelaskan disini

Karena media penyebarannya melalui internet, cara paling efektif untuk mencegah infeksi adalah dengan anti virus yang  di-update secara berkala menambahkan Firewall selain milik Windows.

Malware ccdrive32.exe

Hampir satu minggu ini saya dibikin kesal oleh Windows XP di netbook yang mengulah nggak mau connect ke internet secara tiba-tiba. Pada awalnya saya beranggapan bahwa masalah ini timbul hanya karena koneksi yang tidak baik, atau setting jaringan yang nggak beres. Saya berulang kali mengutak-atik seting jaringan bahkan sampai bertingkah aneh menurunkan connection speed sampai ke 10 Mbps namun tidak membuahkan hasil sama sekali. Website apapun tidak bisa ditampilkan di browser, tapi anehnya jika dilakukan ping selalu ada respon dari server.

Kecurigaan saya berpindah ke proses yang jalan di Windows. Dari Task Manager (Ctrl + Alt + Del) terlihat ada beberapa proses yang janggal. Proses-proses tersebut antara lain : ccdrive32.exe, vbslonto, dan conime.exe.
Saya coba mematikan ketiga proses ini dari task manager,lalu men-disable start up nya dari msconfig.

Koneksi memang berjalan sempurna setelah itu. Website yang dibuka tampil dengan seperti yang seharusnya. Meski demikian, beberapa saat kemudian tiba-tiba firewall Windows non aktif dengan sendirinya. Lambang perisai merah dengan tanda silang ditengahnya muncul di taskbar. Saya coba mengaktifkannya kembali melalui security center dari control panel. Penasaran, Task manager saya buka lagi dan ternyata, ada macam-macam proses aneh lagi yang berjalan disana. seperti 765.exe dan lain-lain dengan angka acak yang terdiri dari 3 digit. Proses ccdrive32.exe juga nongol lagi disana.

Kemudian saya coba search file-file tersebut, dan memang ada. Posisinya persis di direktori temp milik Windows. Semuanya ketemu kecuali ccdrive32 yang nggak ketahuan nempelnya dimana.
ccdrive32 ini menyamar sebagai file driver milik windows dan dijalankan setiap komputer dinyalakan. Cukup berbahaya karena berdasarkan laporan di internet, proses yang dijalankan oleh malware ini akan membuka port-port tertentu dan melakukan koneksi ke server tertentu. Data di zone alarm yang saya install sebelumnya menampilkan data bahwa komputer saya mencoba melakukan koneksi ilegal ke sebuah server dengan domain biz.

Sebenarnya Smadav sudah bisa mendeteksi secara langsung aktivitas mencurigakan dari file-file ini dan mampu memperbaiki registry yang dimodifikasi olehnya. Namun begitu terhubung kembali ke internet, semuanya mulai berulah lagi.

Salah satu cara yang bisa menangkal masalah ini adalah dengan memasang firewall selain milik Windows di komputer, misalnya Zone Alarm, komodo firewall dan yang sejenisnya. Namun yang perlu diperhatikan, firewall juga bisa jadi merepotkan saat semua koneksi yang masuk dan keluar harus dimonitor sendiri.

Sementara ini masalah ccdrive32 saya anggap selesai karena si file malware ini sudah tidak muncul lagi (entah nanti dia muncul lagi saya nggak tahu).

Yang saya lakukan untuk menghilangkan virus malware ini :

1. Putuskan koneksi komputer dengan internet.


2. Matikan proses ccdrive32 dan teman-temannya dari task manager


3. Full Scan dengan Smadav untuk mencari file virus dan registry yang termodifikasi, virus dihapus kemudian registry di fix semua.


4. Buka registry editor dengan mengetikkan regedit pada menu run. Navigasi ke HKey_Local_Machine\software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run dan hapus string Microsoft Driver Setup  C:\Windows\ccdrive32.exe


5. Ketikkan %temp% dari menu run kemudian hapus semua file dari folder temp


6. Disable start-up dari file virus melalui msconfig, dengan cara mengilangkan tanda centang pada ccdrive32, vbslonto dan conime.


7. Jika memungkinkan, tambahkan firewall di komputer anda.

Semoga berguna...