Sunday, November 23, 2008

Menghidar dari KillerVB atau AVBKIller

Apa itu KillerVB?
KillerVB adalah sebuah program pembunuh proses dari program yang terbuat dari Visual Basic .
Biasanya program Visual Basic dikenali dengan adanya modul MSVBVM50.DLL (VB 5) dan MSVBVM60.DLL (VB6) ,
pada Windows XP biasanya ada di C:\WINDOWS\system32\ .
Dengan me-rename atau menghapus file itu semua program VB tidak akan berjalan .
Karena virus-virus lokal kebanyakan menggunakan Visual Basic ,
maka dibuatlah program KillerVB ini .
Konsep dasar dari KillerVB adalah membunuh semua proses yang sedang memakai modul MSVBVM50.DLL atau MSVBVM60.DLL . Untuk menghindar deteksi dari program ini , buka program EXE dari Visual Basic Anda dengan Hex Editor cari semua string MSVBVM50.DLL atau MSVBVM60.DLL , lalu ubah string tersebut sesuka Anda misal MSVBVM00.DLL .
Ada juga aplikasi pembunuh VB dengan melihat Titel Class Name yang secara default adalah ThunderRT*Form . Untuk menghindarinya Anda dapat menghapus/mengubah string Thunder tersebut yang ada dalam file library VB ,misal Thundor .
Ada lagi aplikasi AVBKiller buatan Anvie yang dapat didownload di www.ansav.com . AVBKiller ini terbuat dari bahasa C++ 6 dengan mode DOS . Dalam source code-nya program ini memiliki 2 metode , yaitu RVA mode dan RAW mode .Untuk RVA mode metodenya sama seperti KillerVB , yaitu mencari apa program memakai modul VB (MSVBVM60.DLL) . Jadi , mode ini juga akan membunuh Microsoft Visual Basic 6 karena memakai modul MSVBVM60.DLL . Untuk RAW mode ada 2 tahap pengecekan , pertama EXPORT TABLE dan kedua ENGINE SECTION STUB .
Beberapa cara yang saya cari tidak menghasilkan . Ada cara yang terbukti ampuh, saya menemukan cara ini setelah mengkompres file EXE tetapi tetap terdeteksi . Caranya adalah kompres file library tersebut, misal dengan UPX . Namun,usahakan menggunakan compressor yang kurang dikenal .
Terima kasih pada ANSAV+ Anvie dan ANDA .
Mohon maaf jika tulisannya kurang dipahami .