• Melacak siapa pemilik situs itu, dan dalam kasus web site gratisan, pihak-pihak tertentu (administrator ISP, dll) bisa diminta untuk melacak orang yang mendaftarkan situs tersebut atau mengakses situs tersebut kali pertama (kemungkinan besar sang pembuat virus).
• Administrator bisa memblok URL update virus di level proxy atau firewall.
• Dengan melihat log, administrator bisa melacak komputer mana yang terinfeksi Brontok.

!!! Akan Kubuat Mereka (VM lokal yg cengeng & bodoh)
Terkapar !!!

Fakta dan catatan

1. Saat ini saya bukan pengguna Windows lagi meskipun saya masih punya satu partisi Windows yang saya gunakan untuk keperluan seperti ini (analisis virus, dan mencoba-coba program Windows). Saya tidak menyimpan data di Windows, jadi eksperimen semacam ini cukup aman bagi saya. Sehari-hari saya memakai Mac OS X di iBook G4, dan GNU/Linux (Fedora Core 4) di AMD64. Karena bukan pengguna Windows, mungkin pengetahuan saya sedikit tertinggal dalam hal aplikasi-aplikasi yang ada di Windows, tapi pengetahuan teknis low level Windows selalu saya update.
2. Saat ini saya tidak bekerja di bisnis security ataupun memiliki bisnis yang berhubungan dengan security. Segala macam pernyataan saya terhadap entitas bisnis lain tidak dimaksudkan untuk menguntungkan diri saya. Pekerjaan saya adalah teaching assistant di Jurusan Teknik Informatika Sekolah Tinggi Elektro dan Informatika (dulu bagian dari Fakultas Teknologi Industri) Institut Teknologi Bandung.
3. Saya bukan cracker, saya bukan orang-orang dari kelompok pembuat virus baik kelompok luar negeri maupun Indonesia.
4. Saya hanya memiliki Brontok versi lama (contoh Brontok diambil dari salah satu lab di ITB), dan versi terbaru (contoh Brontok diambil dari Universitas Negeri Jakarta/UNJ), versi di antaranya saya tidak punya.
5. Saya tidak mencantumkan URL aneka tools yang saya pakai, karena URL untuk tools yang dapat membantu proses cracking biasanya selalu berpindah, gunakan Google untuk mencari tools-tools yang saya sebutkan.
6. Saya tidak membuatkan antivirus untuk Brontok ini, silakan Anda gunakan antivirus yang sudah ada (saya tidak ingin bersusah payah mengupdate antivirus terhadap Brontok yang selalu diupdate, banyak antibrontok yang ada di Internet sudah tidak bisa lagi mendeteksi, menghapus, atau menangani Brontok versi yang baru). Antivirus yang ada di pasaran dengan update terbaru seharusnya sudah cukup. Namun jika Brontok ini makin sulit diberantas, saya akan membuatkan antivirus khusus untuk Brontok. Namun saya memberikan langkah pembersihan Brontok manual yang generik untuk berbagai versi Brontok saat ini.

Bagaimana analisis virus dilakukan?

Black box analysis

Disassembly dan atau dekompilasi

Melihat jalannya virus dengan debugger

Pendekatan analisis Brontok

Karakteristik Brontok

1. Brontok menggunakan ikon folder standar Windows, Anda yang memakai theme aneh/nonstandar akan melihat keanehan ikon ini.
2. Brontok membuat banyak perubahan di registry agar sulit dibersihkan (menonaktifkan registry editor, menghilangkan menu folder options, dll). Tepatnya, Brontok melakukan perubahan pada nilai di subkey:
   
   
   • HKCU\software\microsoft\windows\currentversion\run
     
     
     • Nilai Tok-Cirrhatus menjadi path ke Brontok.
     • Nilai Tok-Cirrhatus-XXX (xxx adalah acak) menjadi path ke Brontok yang namanya juga acak.
     
     
     
   • HKLM\software\microsoft\windows\currentversion\run
     
     
     • Nilai Bron-Spizaetus menjadi path ke Brontok.
     • Nilai Bron-Spizaetus-xxx (xxx adalah acak) menjadi path ke Brontok.
     
     
     
   • HKCU\software\microsoft\windows\currentversion\Policies\Explorer\
     
     
     • Nilai NoFolderOptions menjadi 1.
     
     
     
   • HKCU\software\microsoft\windows\currentversion\Policies\System\
     
     
     • Nilai DisableCMD menjadi 0.
     • Nilai DisableRegistryTools menjadi 1.
     
     
     
   • HKCU\software\microsoft\windows\currentversion\explorer\advanced
     
     
     • Nilai Hidden menjadi 0.
     • Nilai HideFileExt menjadi 1.
     • Nilai ShowSuperHidden menjadi 0.
     
     
     
   • SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
     
     
     • Nilai Shell menjadi Explorer.exe "c:\windows\sembako-xxx.exe". (xxx adalah acak)
     
     
     
   • SYSTEM\CurrentControlSet\Control\SafeBoot\
     
     
     • Nilai AlternateShell menjadi cmd-bro-xxx.exe (xxx adalah acak). Perhatian: ternyata Windows akan secara otomatis menyalin isi semua key di HKLM, SYSTEM\CurrentContolSet\Control\SafeBoot ke HKLM, SYSTEM\ContolSet00X\Control\SafeBoot X (dari 1-2) jika proses restart dilakukan dengan sukses (atau jika komputer dimatikan lalu komputer dinyalakan lagi).
     
     
     
   
   
   
3. Brontok mengotori banyak direktori dengan salinan dirinya.
4. Brontok menimpa autoexec.bat dengan satu baris "pause", mungkin maksudnya menghentikan antivirus yang berjalan di mode DOS yang dijalankan dengan autoexec.bat.
5. Brontok membuat banyak item startup agar dijalankan ketika komputer dimulai (di start menu dan di aneka tempat di registry). Hal ini berlaku juga dalam safe mode (Perhatian perhatian, yang benar adalah "SAFE MODE" bukan "SAVEMODE").
6. Brontok mengupdate dirinya sendiri dari URL tertentu, tepatnya Brontok ini mendownload file exe dari situs tertentu dan mengeksekusinya (bisa saja isinya bukan update brontok, tapi kode untuk memformat seluruh isi komputer). Pembahasan ada di bagian berikutnya di artikel ini.
7. Brontok menggunakan enkripsi untuk menyembunyikan string-string dalam dirinya. Enkripsi Brontok juga dibahas pada artikel ini.
8. Brontok mengirimkan dirinya ke alamat email yang ditemukannya, jika alamat tersebut tidak mengandung string berikut (artinya brontok tidak akan mengirimkan dirinya ke Microsoft, perusahaan antivirus, dll): SECURE,SUPPORT,MASTER,MICROSOFT,VIRUS,HACK,CRACK,

1. Ada sedikit perbedaan pada email jika email dikirim ke alamat dengan substring berikut ("alamat indonesia"): PLASA;TELKOM;INDO;.CO.ID;.GO.ID;.MIL.ID;.SCH.ID;.NET.ID;.OR.ID; .AC.ID;.WEB.ID;.WAR.NET.ID;ASTAGA;GAUL;BOLEH;EMAILKU;SATU. Perbedaannya pada asal pengirim, jika untuk tujuan Indonesia pengirimnya menjadi @boleh.com sedangkan kalau non "alamat Indonesia" pengirimnya menjadi @friendster.com (pada versi awal Brontok, untuk Indonesia memakai @kafegaul.com dan untuk alamat non Indonesia memakai alamat @pornstargals.com). (bodohnya isi emailnya tetap sama, dan memakai Bahasa Indonesia padahal isinya didownload dari Internet). Perhatian: banyak analisis salah yang menyatakan bahwa Brontok tidak mengirimkan dirinya ke alamat email di Indonesia.
2. Brontok berusaha mendapatkan alamat email korban dengan melakukan parsing terhadap file HTML, .HTM,.TXT, .EML, .WAB, dan .PHP yang ditemuinya (Brontok mencari semua string xxx@yyy.zzz dalam file).
3. Brontok melakukan koneksi SMTP langsung ketika mengirim email, tapi tidak menggunakan MX record (Mail eXchanger Record) DNS suatu domain. Jika Brontok mengirim ke alamat @yahoo.com, dia akan mencoba memakai SMTP server mta237.mail.re2.yahoo.com, sedangkan jika ke domain lain Brontok mencari MX/Server SMTP dengan menambah prefix smtp., mail. atau ns1. pada domain mail.
4. Brontok Membuat file yang isinya agar semua orang menghentikan kejahatan (bla bla bla, silakan baca di situs lain jika Anda penasaran dengan isinya).
5. Brontok merestart komputer ketika program tertentu aktif. Pengecekan program dilakukan dengan melihat teks Window program terhadap string: REGISTRY,SYSTEM CONFIGURATION,COMMAND PROMPT,.EXE,SHUT DOWN,SCRIPT HOST,LOG OFF WINDOWS,KILLBOX,TASK, dua string terakhir baru ditambahkan untuk mengantisipasi program yang dapat membunuh task Brontok, misalnya program HijakThis.
6. Brontok menjadwalkan dirinya agar dijalankan di jam tertentu. Versi awal brontok menjadwalkan dirinya hanya pada jam 17:08, tapi versi baru juga menjadwalkan eksekusi pada jam 11:03 (keduanya dijadwalkan setiap hari).
7. Brontok berusaha mengakses share di jaringan lokal dan menginfeksinya juga.
8. Brontok memiliki string: By: HVM31 -- Jowobot #VM Community -- (Perhatikan kata VM/Virus Maker community ini, mungkin saja HVM31 itu punya teman yang tahu tentang ini).
9. Brontok versi lama menyerang (maksudnya ingin melakukan DDOS/Distributed Denial of Service attack) situs 17tahun.com dan israel.gov.il dengan ping, sedangkan versi baru menggunakan HTTP Get untuk menyerang www.17tahun.com, www.kaskus.com, dan www.fajarweb.com.
10. Brontok membuat counter di situs debuging.com, URLnya: http://debuging.com/WS1/cgi/x.cgi?NAVG=Tracker&username=%64%65%6C%62%65%6C%62%72%6F (usernamenya adalah delbelbro). Saya belum mengontak pemilik situs tersebut. Counter dinaikkan nilainya setiap selesai menyerang situs yang ada di daftarnya (www.17tahun.com, www.kaskus.com, dan www.fajarweb.com).
11. Brontok membuat file sistem.sys di direktori %windir%/system32/sistem.sis yang isinya adalah kode waktu saat brontok aktif kali pertama. Kode ini terdiri atas 2 digit bulan, 2 digit tanggal, 2 digit jam dan 2 digit menit. Misal: 01122245 berarti Brontok aktif kali pertama pada 01 = Januari, 17 = tanggal 17, 22 = jam 1 malamm, 45 = menit ke 45. File ini juga dicopykan ke direktori \Documents and Settings\Username\Application Data\ dengan nama file BronMes*.ini (bagian * bisa bervariasi).
12. Brontok akan berusaha membunuh paksa beberapa proses (proses adalah program yang berjalan) dengan command taskkill /f /im namaproses. Proses yang dibunuh meliputi virus/worm lokal lain, dan sepertinya beberapa antivirus. Tepatnya proses yang dibunuh adalah mcvsescn.exe;poproxy.exe;avgemc.exe;ccapps.exe;tskmgr.exe;syslove.exe; xpshare.exe;riyani_jangkaru.exe;systray.exe;ashmaisv.exe; aswupdsv.exe;nvcoas.exe;cclaw.exe;njeeves.exe;nipsvc.exe;dkernel.exe; iexplorer.exe;lexplorer.exe.
13. Brontok akan mengubah atribut file MSVBVM60.DLL yang ada di direktori sistem Windows. Atribut file akan diubah menjadi hidden, system, dan read only. Tujuan langkah ini adalah agar lebih sulit menghapus file msvbvm60.dll dari mode DOS seperti yang dibahas dalam beberapa website.
14. Brontok akan mendownload file dari sebuah URL acak (lihat bagian update Brontok) dan berusaha menimpa file %windir%\system32\drivers\etc\hosts dengan file yang didownloadnya.
15. Jika Brontok menemui file .DOC, .PDF .XLS, dan .PPT maka attributnya akan dikembalikan ke normal, sifat ini sepertinya dilakukan untuk mengembalikan dokumen yang disembunyikan (dijadikan hidden) oleh virus lain.
16. Brontok berusaha menghapus file dengan substring "kangen", *RORO*.HTT, FOLDER.HTT. Jika ekstensi file adalah .EXE, maka Brontok juga akan menghapus file jika substring file memiliki nama .DOC.EXE;.DOC ;.XLS.EXE;. XLS ;PATAH;HATI; CERITA; LUCU;MOVZX;CINTA;UNTUKMU;DATA-TEMEN;RIYANI;JANGKARU;KANGEN;JROX; DIARY;DKERNEL;IEXPLORER;LEXPLORER;ADULTONLY;ASIAN;VIRTUAL GIRL;X-PHOTOS;BESTMODEL;GAME NUDE;HOT SCREEN;HOTBABE; NAKED ;MODEL VG;SEXY ;V-GIRL7;JAPANESEGIRL;PUISI (perhatikan bahwa Brontok tidak menghapus .DOC, tapi .DOC yang diikuti spasi dan dengan ekstensi .EXE, demikian juga halnya dengan .XLS).
17. Brontok juga menghapus file: C:\!submit\winword.exe, c:\submit\xpshare.exe,c:\windows\systray.exe, %windir%\systray.exe, %windir%\fonts\tskmgr.exe, c:\windows\rundll32.exe. Masih ada beberapa file lagi yg dihapus Brontok ini (saya tidak melanjutkan analisis penghapusan file sampai di sini).

Perkembangan versi Brontok

Enkripsi pada Brontok

/*dekriptor string Brontok*/
/*Copyright (c) 2006 Yohanes Nugroho*/
#include 
#include 
#include 
/*input dari stdin akan didekrip ke stdout*/
int main()
{
char buff[1000];
int i;
char *tab1="/[ 4ysmga|&!VPJD.?93xrlf{+^~UOIC,>
82wqke\\_%ZTNHB'<71vpjd="
")$YSMGA;]:}650zutonihcb-`
(*#@XWRQLKFE\"";
char *tab2="ABCDEFGHIJKLMNOPQRSTUVWXYZ~!@#$%^&*()_
+|`-=\\{abcdefghijkl"
"mnopqrstuvwxyz0123456789 }:<>?[];',./";
while (fgets(buff, sizeof(buff), stdin)) {
for (i = 0; i<strlen(buff)-1; i++){
int c = (int) (strchr(tab1,
buff[i])-tab1);
if (c<0) continue;
printf("%c", tab2[c]);
}
printf("\n");
}

return 0;
}

Update Brontok

http://www.20mbweb.com/Kids/dbrosji/
http://www.20mbweb.com/Kids/dbrolro/
http://www.20mbweb.com/Kids/dbrotlu/
http://www.20mbweb.com/Kids/dbrotppt/
http://www.20mbweb.com/Kids/dbrolma/

1. Brontok menghasilkan URL acak (salah satu URL di atas).
2. Brontok membuat URL dengan menambah IN.18.css (18 adalah versi Brontok saat ini yang saya miliki).
3. Brontok mendownload URL pada langkah sebelumnya menjadi file (Update.Bron.Tok.bin) yang isinya adalah daftar file yang akan dihapus, ukuran Brontok yang baru, dan sebuah prefix URL baru (namakan ini Z).
4. Brontok menghapus file-file yang tercantum dalam hasil download, membuat file szbro[N].txt yang isinya adalah ukuran Brontok yang baru (dengan N adalah versi Brontok saat ini).
5. Brontok akan menghasilkan string X dari menit saat ini. Brontok membentuk string dari array (LON,UTS,AUD,AGT,TPE,AML,MNE,HJT,PLD,LBS). Perhatikan bahwa itu sebenarnya NOL, STU, DUA, TGA, dst dibalik. Jadi menit 15 akan menghasilkan string UTSAML (UTS = 1, AML=5). Jika menit <10,>
6. Brontok membentuk string dari URL Z di atas di tambah .ico (ini file exe Brontok yang baru)
7. Brontok mendownload file dan memastikan ukurannya antara 43000 sampai 49000 (eksklusif) byte, dan membandingkannya dengan ukuran file pada szbro[N].txt . Jika file terlallu besar atau kecil, atau tidak sama dengan isi szbro[N].txt maka Brontok akan membatalkan proses update.
8. Brontok mendownload file exe yang baru menjadi bernama Update.AN.[N].A.Bron.Tok.exe.
9. Brontok menyalin Update.AN.[N].A.Bron.Tok.exe menjadi A.Bron.Tok.tempo.exe, dan menghapus file Update.AN.[N].A.Bron.Tok.exe.
10. Brontok mengeksekusi file A.Bron.Tok.tempo.exe.

Membersihkan Brontok

1. Matikan fitur system restore di Windows.
2. Tutup semua program yang berjalan, simpan semua dokumen Anda.
3. Pertama, bunuh proses Brontok (proses adalah program yang sedang berjalan).
   
   
   • Anda bisa memakai Process Explorer dari sysinternals.com, salah satu program yang masih belum dipikirkan oleh pembuat Brontok (program lain sejenis akan menyebabkan komputer restart. Mungkin saja di versi Brontok berikutnya program Process Explorer tersebut juga akan menyebabkan komputer restart jika dijalankan). Bunuh proses services.exe, lsass.exe, smss.exe, dan winlogon.exe.
   • Cara lain yang lebih mudah adalah dengan memanfaatkan program KillVB yang telah saya buat, program tersebut akan membunuh semua proses yang executablenya ditulis dalam VB (tidak hanya virus). Cukup download, ekstrak, dan jalankan file tersebut. Virus akan mati di memori setelah Anda menjalankan program tersebut dan Anda bisa meneruskan proses pembersihan komputer (tidak perlu restart atau masuk safe mode).
     
     
     
     killvb membunuh proses Visual Basic yang berjalan.
     
     
     
     
   
   
   
4. Di start menu, pilih programs, lalu pilih startup Klik kanan (jangan salah dengan klik kiri) pada Empty.pif, dan hapus file tersebut. (Kalau perlu, hapus semua file yang tidak Anda perlukan, di masa depan mungkin nama file Empty.pif akan berubah.)
5. Perbaiki registry dengan membuat file fixbrontok.inf yang tercantum di bawah, lalu mengklik kanan pada file tersebut dan memilih install (Anda bisa mendownload file tersebut di sini). File ini akan memperbaiki perubahan setting oleh Brontok, dan akan mengeset agar Explorer menampilkan file yang hidden dan menampilkan juga ekstensi file yang dikenal oleh Explorer.
6. 
   
   

   [Version]
   Signature="$Chicago$"
   Provider=Compactbyte
   
   [DefaultInstall]
   AddReg=fix
   DelReg=del
   
   [fix]
   HKCU, Software\Microsoft\Windows\CurrentVersion\

   
   
   
7. 
   
   

   Explorer\Advanced,Hidden,%REG_DWORD%,1
   HKCU, Software\Microsoft\Windows\CurrentVersion\

   
   
   
8. 
   
   

   Explorer\Advanced,HideFileExt,%REG_DWORD%,0
   HKCU, Software\Microsoft\Windows\CurrentVersion\

   
   
   
9. 
   
   

   Explorer\Advanced,ShowSuperHidden,%REG_DWORD%,0
   HKLM, Software\CLASSES\batfile\shell\open\

   
   
   
10. 
    
    

    command,,,"""%1"" %*"
    HKLM, Software\CLASSES\comfile\shell\open\

    
    
    
11. 
    
    

    command,,,"""%1"" %*"
    HKLM, Software\CLASSES\exefile\shell\open\

    
    
    
12. 
    
    

    command,,,"""%1"" %*"
    HKLM, Software\CLASSES\piffile\shell\open\

    
    
    
13. 
    
    

    command,,,"""%1"" %*"
    HKLM, Software\CLASSES\regfile\shell\open\

    
    
    
14. 
    
    

    command,,,"regedit.exe "%1""
    HKLM, Software\CLASSES\scrfile\shell\open\

    
    
    
15. 
    
    

    command,,,"""%1"" %*"
    HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\

    
    
    
16. 
    
    

    Winlogon, Shell,0, "Explorer.exe"
    
    [del]
    HKCU, Software\Microsoft\Windows\CurrentVersion\

    
    
    
17. 
    
    

    Run,Tok-Cirrhatus
    HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\

    
    
    
18. 
    
    

    Run,Bron-Spizaetus
    HKLM, SYSTEM\CurrentContolSet\Control\SafeBoot,

    
    
    
19. 
    
    

    AlternateShell
    HKLM, SYSTEM\ContolSet001\Control\SafeBoot,

    
    
    
20. 
    
    

    AlternateShell
    HKLM, SYSTEM\ContolSet002\Control\SafeBoot,

    
    
    
21. 
    
    

    AlternateShell
    HKLM, SYSTEM\ContolSet003\Control\SafeBoot,

    
    
    
22. 
    
    

    AlternateShell
    HKCU, Software\Microsoft\Windows\CurrentVersion\

    
    
    
23. 
    
    

    Policies\System,DisableCMD
    HKCU, Software\Microsoft\Windows\CurrentVersion\

    
    
    
24. 
    
    

    Policies\System,DisableRegistryTools
    HKCU, Software\Microsoft\Windows\CurrentVersion\

    
    
    
25. 
    
    

    Policies\Explorer,NoFolderOptions
    
    [Strings]
    REG_DWORD      = 0x00010001
    

    
    
    
26. Untuk langkah selanjutnya, untuk meyakinkan apakah objek dengan ikon folder adalah benar-benar folder, lakukan salah satu langkah berikut:
    
    
    • Gunakan view detail (di Explorer, pilih menu view, lalu details). Lihat di jenis objek apakah folder atau application. Jangan mengklik aplikasi dengan ikon folder.
    • Restart explorer (tanpa merestart Windows), caranya: jalankan task manager dengan menekan ctrl-alt-del, pilih processes, lalu pilih explorer.exe dan pilih End Process. Pilih "Yes", setelah itu pergi ke tab Application, pilih New Task, ketikkan Explorer.exe, lalu tekan enter.
    
    
    
27. Hapus semua file .exe di %windir%\shellnew (%windir% adalah direktori Windows Anda, misalnya C:\Windows). Tepatnya Anda harus menghapus yang memiliki ikon folder, tapi seharusnya direktori ini tidak berisi file .exe dan biasanya semua file exe di direktori tersebut aman di hapus.
28. Bersihkan sisa registry yang dibentuk dengan string random, gunakan msconfig (pilih start, ketik msconfig lalu Enter), dan lihat di bagian tab startup, hapus startup item dengan nama diawali dengan bbm dan dengan nama brxxxon (xxxx adalah angka acak). Sekali lagi: nama ini mungkin kelak berubah. Cara terbaik adalah dengan melihat bagian command (kolom kedua), misalnya tercantum C:\Windows\X.exe, lihat file C:\Windows\X.exe, jika file tersebut memiliki ikon folder Anda bisa menghapusnya.
    
    
    
    Tampilan msconfig.
    
    
    
    
29. Cari semua file .exe dan .scr di seluruh drive Anda menggunakan fitur find pada Explorer lalu hapus file tersebut jika file tersebut memiliki ikon folder. Untuk mengurangi jumlah file yang ditemukan batasi ukuran file menjadi <>hidden Untuk lebih jelasnya lihat gambar berikut.

Setting pencarian yang benar.
30. Hapus semua file .com yang ukurannya sama dengan ukuran Brontok yang Anda temukan pada langkah-sebelumnya di C:\Documents and Settings\%username%\Templates.
31. Hapus scheduled task di Control panel yang bukan milik Anda (yang namanya At1, At2, dst).
    
    
    
    Tampilan scheduled tasks di Windows XP.
    
    
    
    
32. Jika Anda memakai Windows 95, Windows 98, atau Windows ME, lihat isi file autoexec.bat yang ada di root folder (C:\autoexec.bat, D:\autoexec.bat, dst), jika isinya hanya satu baris (berupa satu kata "pause"). Hapus autoexec.bat .
33. Restart komputer, dan lihat apakah Brontok masih ada.

Admins unite: Mari kita tangkap pembuat Brontok!

Kemampuan Pemrograman Sang Pembuat Brontok

1. Kesalahan dalam kode, misalnya lupa menginisialisasi variabel yang diakumulasi dalam loop.
2. Melakukan hal aneh, misal membaca seluruh isi file untuk mengambil hanya baris PERTAMA.
3. Tidak konsisten memakai tipe dalam VB.
4. Tidak terlalu memahami pass by value atau by reference, sering menyalin parameter ke variabel lokal untuk diproses.
5. Tidak terlalu memahami API Win32, sehingga campur aduk, kadang memanggil program eksternal, kadang memakai API Windows.

Kesimpulan

Saran buat virus maker wannabes

1. Jangan buat virus yang merusak.
2. Jangan sebarkan virus Anda (pastikan ini dengan membuat kode agar virus tidak berjalan di komputer selain komputer Anda)
3. Jangan cuma membuat virus yang bodoh, eksplorasilah teknik tingkat lanjut seperti teknik stealth, polymorhic, dll.
4. Tuliskan hasil eksplorasi Anda, buat majalah virus Indonesia (tentunya majalah versi elektronik, coba tengok majalah virus 29A yang hanya mengeksplorasi teknik-teknik virus, tapi tidak membuat virus yang disebarkan, padahal mereka bisa membuat virus yang seribu kali lebih hebat dibanding dengan Brontok).
5. Salurkan bakat dan kemampuan Anda itu untuk hal-hal yang lain.

Saran buat hacker wannabes

Yohanes Nugroho (yohanes[at]gmail.com)