Meski terbilang baru, namun virus Ramnit menyebar dengan sangat cepat. Berikut adalah ciri-ciri komputer yang terjangkit virus tersebut:
Virus ini juga akan menjangkit file berekstensi exe, dan setiap file exe yang terinfeksi akan mempunyai ukuran 107KB lebih besar dari ukuran awalnya. Selain itu Ramnit akan menduplikasikan file tersebut di dalam folder yang sama.
- Virus akan membuat browser Internet Explorer menampilkan halaman yang berisi penawaran iklan, game, dan terkadang gamabar porno dalam jumlah yang banyak secara terus menerus selama komputer terkoneksi internet.
- Gejala selanjutnya adalah, icon removable media berubah menjadi icon folder. Setelah itu pengguna tidak dapat mengakses flashdisk tersebut dengan peringatan Access is denied. Dan terakhir muncul pula pesan Compressed (zipped) Folders pada saat mengklik drive tersebut.
- Muncul banyak file dengan nama file ‘Copy of Shortcut to (1).lnk’ s/d ‘Copy of Shortcut to (4).lnk’ di flashdisk pengguna. File ini digunakan oleh virus untuk menggandakan dirinya ketika dieksekusi pengguna.
- Salah satu hal yang unik dan membuat virus ini sangat mudah aktif dan sulit dibasmi adalah setiap kali user melakukan klik kanan. Selain menampilkan menu klik kanan, secara tidak langsung pengguna komputer juga telah menjalankan virus ini.
Virus ini juga akan menjangkit file berekstensi exe, dan setiap file exe yang terinfeksi akan mempunyai ukuran 107KB lebih besar dari ukuran awalnya. Selain itu Ramnit akan menduplikasikan file tersebut di dalam folder yang sama.
Secara umum virus ini cukup merepotkan, ia akan selalu melakukan koneksi ke internet untuk memanggil alamat website yang sudah ditentukan yang akan ditampilkan secara terus menerus sehingga mengakibatkan komputer menjadi lambat pada saat di akses, terlebih virus ini akan menginjeksi file yang mempunyai ekstensi EXE, DLL dan HTM/HTML baik berupa file program maupun file system Windows sehingga diperlukan langkah pembersihan khusus.
Ciri dan gejala
Berikut beberapa ciri dan gejala jika komputer terinfeksi virus W32/Ramnit (Win32.Siggen.8):
- Akan menampilkan aplikasi Internet Explorer yang berisi penawaran atau iklan investasi, game dan program-program promosi (terkadang menampilkan iklan porno) dalam jumlah yang banyak secara terus menerus selama komputer terkoneksi internet sehingga menghabiskan banyak bandwidth untuk iklan yang ditampilkan dan mengakibatkan akses internet menjadi lambat (lihat gambar 1).
Gambar 1, Alamat website yang akan ditampilkan oleh W32/Ramnit (Win32.Siggen.8)
- Icon Removable media (USB Flash) berubah menjadi icon Folder (lihat gambar 2)
Gambar 2, Icon USB Flash yang diubah W32/Ramnit (Win32.Siggen.8 )
- User tidak dapat mengakses USB Flash dengan menampilkan pesan ”Access is denied” (lihat gambar 3)
Gambar 3, Blok akses USB Flash
- Muncul pesan “Compressed (zipped) Folders” pada saat mengakses Flash disk (lihat Gambar 4)
Gambar 4, Pesan error saat akses USB Flash
- Muncul banyak file dengan nama file “Copy of Shortcut to (1).lnk” s/d “Copy of Shortcut to (4).lnk” di USB Flash. (lihat gambar 5)
Gambar 5, File virus yang di drop oleh virus di USB Flash
- Salah satu hal yang unik dan membuat virus ini sangat mudah aktif dan sulit dibasmi adalah setiap kali user melakukan klik kanan, selain menampilkan menu klik kanan, secara tidak langsung pengguna komputer juga menjalankan virus ini.
Dengan update terbaru Dr.Web antivirus mendeteksi virus ini sebagai Win32.Siggen.8 sedangkan untuk file-file lain dikenali sebagai Trojan.Packed.21232, Trojan.Hotrend.34 atau Trojan.Starter.1602 (lihat gambar 6)
Gambar 6, Hasil deteksi Dr.Web antivirus
Ciri-ciri file induk virus
Sebagai informasi, virus ini akan menyebar menggunakan Removable media (USB Flash) dengan memanfaatkan fitur autorun Windows. Agar virus dapat aktif secara otomatis, ia akan membuat file autorun.inf, selain itu ia akan membuat 4 (empat) buah file shortcut dengan nama ”Copy of Shortcut to (1).lnk” s/d “Copy of Shortcut to (4).lnk”. Jika user menjalankan salah satu ke 4 file shortcut tadi maka secara otomatis akan menjalankan file virus yang sudah dipersiapkan di direktori [%USB Flash%:\RECYCLER\%nama_acak%.exe].
Virus ini juga akan menginjeksi file yang mempunyai ekstensi EXE, setiap file EXE yang terinjeksi akan mempunyai ukuran 107 KB lebih besar dari ukuran asalnya. Pada saat menjalankan file EXE yang sudah terinjeksi maka virus akan membuat file duplikat yang di simpan di direktori sama dengan format %nama_file_asal%mgr.exe (contohnya: jika user menjalankan file yang sudah di injeksi dengan nama ”ATF-Cleaner.exe” maka akan muncul file duplikat virus dengan nama ”ATF-Cleanermgr.exe” dengan ukuran 105 kb, file duplikat ini dideteksi sebagai Trojan.Packed.21232.
Gambar7, Contoh file asli (sebelum injeksi), setelah injeksi dan file duplikat virus
Pada saat user menjalankan file tersebut, virus akan melakukan sinkronisasi ke beberapa alamat IP yang sudah dipersiapkan untuk mendownload file atau virus lain untuk dijalankan di komputer target. File yang di download akan mempunya nama file dan ukuran yang berbeda-beda, jadi antara komputer target yang satu dengan yang lain akan mempunyai nama file induk yang berbeda-beda.
Berikut beberapa contoh file induk Win32.Siggen.8
- C:\WINDOWS\Temp\dbww\setup.exe
- C:\Documents and Settings\%user%\Application Data
· %xx%.exe, dimana %xx% adalah acak
- C:\Documents and Settings\%user%\Local Settings\Temp\%xx%.exe dan %yy%.dll
Catatan: %xx% dan %yy% ini berbeda-beda, contohnya : Nh0.exe, Nh1.exe, Nh2.exe, Nhz.exe dengan menggunakan icon “Adobe Player Setup” dengan ukuran yang berbeda-beda (lihat gambar 8)
Gambar 8, File induk virus
File ini di deteksi oleh Dr.Web anti-virus sebagai Win32.Siggen.8
- C:\Documents and Settings\%user%\Start Menu\Programs\Startup
· %xx%.exe, dimana %xx% adalah acak (terdeteksi sebagai Trojan.Packed.21232)
- C:\WINDOWS\Nzazab.exe, Nzazaa.exe, Explorermgr.exe


