Proteksi Anticopy EDU-Games (update)

Pindah alamat:

http://xcode.co.cc

Dengan membuka halaman ini saya anggap Anda telah membaca halaman berikut: http://khiang.wordpress.com/penting/

By opening this page, I assume you has read following page : http://khiang.wordpress.com/penting/

Tutorial ini ditujukan untuk pengetahuan semata, jika Anda suka dengan software ini silahkan membelinya secara resmi di http://www.edu-games.comMasih seputar cd Edu Games yang katanya mengandung virus dan Edu Games yang tidak bisa di copy. Hehehehe… Kemarin iseng-iseng maen ke website Edu Games lagi. Eh ternyata ada update program supaya file bawaan edugames tidak dianggap sebagai virus oleh antivirus.  Masa sih? Yup, ternyata setelah update diinstal, antivirus tidak lagi mengenali “oleh-oleh” bawaan cd Edu Games.

Sebenarnya apa sih yang ada di dalam update program Edu Games. Setelah saya telusuri ternyata update tersebut mengcopy beberapa file ‘baru’ kedalam komputer kita. Kali ini juga sama, ‘tanpa permisi’. Kenapa saya katakan tanpa permisi! Saat update dijalankan hanya muncul jendela ’selamat datang’ yang tampak sangat ramah. Setelah tombol ‘lanjut’ di klik, program langsung mengcopy file ke dalam komputer kita.

Tidak ada penjelasan sedikitpun tentang apa isi dari update tersebut.  Dari FAQ hanya dijelaskan update tersebut untuk memperbaiki kesalahan pendeteksian oleh antivirus. Sangat disayangkan lagi, pembuat edu games tidak menyertakan “License Agreement” di program updatenya…

setelah tombol ‘lanjut’ di klik, proses copy file langsung berjalan…

Berikut adalah daftar file baru yang dicopykan kedalam system komputer kita, berdasarkan file “Egu-Games Update Setup Log”

• C:\WINDOWS\winsis.exe
• C:\WINDOWS\wnhst.bin
• C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Kiler.exe
• C:\WINDOWS\system32\lgcmd.bin
• C:\WINDOWS\system32\tscmd.bin
• C:\WINDOWS\winlogon.exe
• C:\WINDOWS\system32\drvsck.exe

Gak terima mentah-mentah, gw coba kirim 3 file berextensi .exe tersebut ke Avira Lab. Dua hari kemudian gw dapet balasan dari Avira Lab, ketiga file yang gw kirim (winlogon.exe, winsis.exe dan drvsck.exe) dikenali sebagai malware (trojan) …

Namun saat file-file diatas saya cari hanya 4 file yang saya temukan, yaitu winlogon.exe, winsis.exe, kiler.exe dan drvsck.exe. Salah satunya langsung aktif dimemory, yaitu winlogon.exe. Fungsi dari winlogon.exe ini masih sama seperti svchost.exe di artikel saya sebelumnya, yaitu mengterminate proses ‘copy paksa’ dari beberapa aplikasi pengcopy cd. Diantaranya Alcohol, CloneCD, dan BlindWrite. Akibat dari terminasi program pengcopy cd yaitu komputer logoff/restart sendiri!!!

Winlogon.exe yang di sertakan kali ini mempunyai icon sama persis dengan winlogon.exe asli bawaan windows. Berukuran 40kb lebih kecil dari winlogon.exe asli yang berukuran 496kb. Hati-hati dalam meng-kill proses winlogon. Perhatikan gambar dibawah …

winlogon.exe palsu!!!

winlogon.exe asli

kill winlogon.exe dgn menggunakan process explorer

winlogon.exe diliat pake olly…

Untuk fungsi dari winsis.exe dan drvsck.exe saya belum tahu (gak punya cd edu games versi baru ). Yang pasti kesemua file yang di copykan pastilah memiliki tujuan tertentu, salah satunya mungkin untuk mencari file lama (svchost.exe & logcomd.exe) kemudian menghapusnya, lalu diganti dengan file baru yang tidak “terlalu mencurigakan” dan tidak terdeteksi oleh software antivirus. Fungsi lainnya mungkin untuk mencegah berjalannya game dengan menggunakan software emulasi seperti virtual cd atau daemon tool, dlsbnya.

NB: Berhubung saya tidak memiliki CD Edu Games yang baru, tulisan diatas hanya sebagai analisa saya saja. Selanjutnya terserah Anda! Klo saya pribadi sih, baiknya file-file mencurigakan tersebut dihapus saja…!!!