Nah, bicara perangkat embedded yang terjangkau dan oprek-able, alternatif berikut bisa dicoba: TP-Link MR-3220. Perangkat ini hanya berharga Rp 245 ribu, berisi prosesor Atheros 400MHz, RAM 32MB, NVRAM 4MB, Wifi, dan LAN.  Satu hal yang menarik di situ: USB port. Dengan adanya port ini, kita bisa mengakses banyak perangkat tambahan. Asalkan dayanya tidak terlalu membebani atau memakai catu daya sendiri. Apalagi sudah tersedia distribusi Linux versi OpenWrt yang siap pakai.

Di era sekarang, Internet adalah harga mati. Apa yang perlu ada di perangkat tersebut? Sudah tentu, modem GSM/CDMA. Demi menunjang tambahan aplikasi, kapasitas penyimpan juga harus ditambah. Dua perangkat ini juga murah, GSM modem ZTE MF 633 (dan slot MicroSD) Rp 190rb dan MicroSD Sandisk 4GB Rp 62rb. Dengan hanya sekitar Rp 500rb, kita sudah mendapatkan server Linux yang hemat energi dan hemat tempat pula.

OpenWrt sudah menggunakan filesystem yang overlay. Sehingga kapasitas NVRAM yang 4MB hanya sekedar menaruh kernel Linux dan modul/aplikasi pendukung, selanjutnya di-extroot sesuai kapasitas penyimpan tambahan. Tambahan MicroSD 4GB di atas, sangat memadai untuk meng-install banyak aplikasi. Apalagi OpenWrt juga mempunyai manajemen aplikasi dalam bentuk package, yang dilakukan dengan program opkg (seperti rpm di Redhat dkk).

So, tinggal lirik perangkat USB apalagi yang ingin ditanam di server Linux tersebut? Webcam, harddisk external, TV tuner, bluetooth, dst. Asalkan, ada tambahan adapter 5 volt sendiri bilamana tidak kuat diambil dari port USB. Barangkali, dulu yang hobi elektronik bisa disalurkan dengan menyambung-nyambung perangkat digital yang murah meriah.  Selamat mengoprek ya.

Link Terkait:

http://www.tp-link.com/en/products/details/?model=TL-MR3220

http://www.kaskus.us/showthread.php?t=10124215

http://wiki.openwrt.org/toh/tp-link/tl-mr3420

http://www.viraindo.com/

http://www.rakitan.net/

Virus ini jelas-jelas buatan hacker lokal, dan tampaknya ada 3 versi yang beredar luas. Sebenarnya virus ini tidak berbahaya, namun bagaimanapun tetap mengganggu, dan harus secepatnya dibasmi.

Karakteristik Virus

Kusumah.2588:

• Menyerang file .COM, .EXE, dan Overlay.
• Menambah besar file yang ditularinya sebesar 2588 byte.
• Mencegat Vektor 08h yang digunakan sebagai penghitung cacahan waktu pada komputer. Bila hitungannya tercapai, maka virus ini akan menampilkan:

         ÉÍ< INGAT SHALAT.!! >Í»
     º     UNIVERSITAS     º
     º  JEND. ACHMAD YANI  º
     º  ® E l e k t r o ¯  º
     ÇÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄĶ
     º (C) KUSUMAH SASMITA º
     ÈÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍÍͼ

• Vektor 21h, inti dari fungsi DOS, dimanipulasi untuk beberapa fungsinya, yaitu:

• Ketika pertama kali diinstalasi virus ini akan berusaha mencari dan menginfeksi file COMMAND.COM, terutama di direktori C:\DOS.
• Mengganti label pada disket menjadi ‘KUSUMAH S’.
• Pada tiap hari Jum’at akan dibuat file SELAMAT.COM yang bila dijalankan akan menampilkan: ‘Create by: KUSUMAH SASMITA, UNJANI Bdg-Cmh …. Good Day !’

Kusumah.3016:

Sebagian besar sama dengan Kusumah.2588, namun dengan sedikit perbedaan di proses instalasi, tampilan, pencegatan fungsi, maupun struktur file yang diinfeksi. Beberapa perbedaan:

• Menambah besar file program sebanyak 3016 byte.
• Mencegat Int 21 fungsi 3Dh, 4B00h, 43h, 56h, 0FFFFh, 2521h, 2513h.
• Secara tidak langsung mencegat Int 1Ch, sebagai pengganti Int 08h. Proses ini dilakukan lewat fasilitas alarm pada Int 1Ah.
• Tampilan bila cacahan terpenuhi:

         ÉÍ< INGAT SHALAT.!! >Í»
         º     UNIVERSITAS     º
         º  JEND. ACHMAD YANI  º
         º  Bandung Indonesia  º
         ÇÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄÄĶ
         º By: KUSUMAH SASMITA º
         ÈÍÍÍÍÍ< W I N G >ÍÍÍÍͼ

• Pada awal program .COM terdapat string kalimat:
              – U N J A N I –
                  Ver.  2.00
               By: KUSUMAH S
                   Bandung
                   Indonesia
• Pengecekan isi COMSPEC saat instalasi virus.

Kusumah.3967:

Pada virus ini mulai banyak dikembangkan trik-trik baru dalam kerja virus. Banyak perbedaan dari kedua versi sebelumnya, terutama dari makin banyaknya manipulasi fungsi yang dilakukan. Perbedaan itu antara lain:

• Menambah besar file program sebesar 3967 byte.
• Bisa dibilang semi ‘stealth’ hingga mampu menerobos sebagian program imunisasi. Namun tidak setiap operasi file diberikan fasilitas ini, dan tampaknya hanya untuk menghindari pengecekan sendiri pada sebuah program.
• Mencegat vektor pada lapisan dalam, yaitu dengan jalan menelusuri vektor Int 21h, dan memodifikasi pada titik terakhir.
• Mencegat Int 21h, fungsi 4Eh, 43h, 0FFFFh, 0FFFEh, ditambah:

• Mulai menerapkan teknik enkripsi dan trik anti debugging yang mungkin dapat mempersulit mereka yang ingin membongkar virus ini.
• Tampaknya tidak memiliki tampilan khusus, hanya kadang-kadang memberikan pesan “Moslem Power Never End.(P) KuSuMaH’s. ElEkTrO UnJaNi” bila virus gagal melakukan instalasi di memori.
• Seperti umumnya virus file yang ‘stealth’, virus ini juga nampaknya mengecek dijalankannya program ‘CHKDSK’ agar tidak memberikan hasil yang keliru.
• Program SELAMAT.COM bila dijalankan akan menampilkan: ‘(P) KuSuMaH S, Elektro UNJANI Bdg-Cmh’. Parameter waktu turut diperhatikan dalam pembuatan file SELAMAT.COM.
• Pada awal badan virus di file program terdapat string ‘KuSuMaH’S UnJaNi, Bandung’.

Kusumah.3968:

Pada dasarnya sama dengan Kusumah.3967, hanya terdapat sedikit perbedaan. Walau begitu kedua virus ini saling tidak mengenal satu sama lain dengan baik, terbukti dengan saling bertumpuknya kedua virus bila diaktifkan secara berganti-ganti. Perbedaan utama:

• Menambah besar file sebesar 3968 byte.
• Tidak terdapat string pengenal pada awal badan virus.

Baik virus Kusumah.2588 maupun Kusumah.3016 terlihat banyak kemiripan dengan virus Keypressed. Sedangkan virus Kusumah.3967 dan Kusumah.3968 tampak banyak mengambil ide dari virus Die-hard (atau sebaliknya?). Keempat virus ini juga melakukan penyesuaian besar file asal hingga tepat per satuan paragraph (10h byte). Tampak jelas bahwa virus ini dibuat dari program berformat .COM, hal ini dapat dilihat dari pengaturan ofset program baik di file maupun di memori.

Program Serum Virus

Cara yang ampuh untuk membasmi virus ini yaitu dengan menggunakan program serum yang penulis sertakan. Program ANTIKSM.PAS dibuat dengan bahasa Pascal, dan dikompilasi dengan Turbo Pascal 6.0+. Sebaiknya Turbo Pascal 7.0 seperti yang penulis gunakan. Bila Anda menggunakan Borland Pascal 7.0, atur agar target kompiler ke modus real.

Secara garis besar program ini mempunyai dua prosedur untuk pembasmian virus Kusumah, yaitu:

1. PMem, mendeteksi keaktifan virus di memory. Virus Kusumah hanya dapat menyusup ke akhir memori konvensional (yang normal), dan bermasalah bila selain itu. Untuk melumpuhkannya cukup dengan mencari akhir dari memori 640K, dan melakukan pencarian terhadap identitas virus. Dilanjutkan dengan melakukan ‘patching’ terhadap rutin-rutin virus di memory, sehingga jalur-jalur sistem yang dicegat dapat dikembalikan ke kondisi asalnya. Bila proses pelumpuhan ini gagal, maka program akan langsung berhenti, untuk mencegah penyebaran virus lebih lanjut.
2. PDir, mendeteksi dan melenyapkan virus di file-file program pada direktori yang disebutkan lewat parameter. Pendeteksian meliputi seluruh program .EXE atau .COM. Bila diinginkan dapat dilakukan proses ‘scan’ pada seluruh file, mengingat banyak file-file program yang termuat sebagai overlay atau driver sistem dengan bermacam ekstensi. Bila file positif terkena virus, maka akan segera dibersihkan dan dikembalikan seperti semula. Perhatian khusus bila file terserang lebih dari satu virus. Apabila virus Kusumah tidak berada pada lapisan terluar, maka program tidak mendeteksi adanya virus pada file tersebut. Hal ini sulit dicari jalan keluarnya, kecuali virus-virus yang masuk setelah Kusumah dibersihkan terlebih dahulu.

Setelah listing program ANTIKSM.PAS tersedia, panggilah program Turbo Pascal dan buka listing tersebut. Bila dalam menu Compile tersedia pilihan Destination, pastikan untuk ditujukan ke Disk, agar terbentuk file ANTIKSM.EXE. Lalu lakukan proses Compile, Run, Make atau Build, sehingga tercipta file ANTIKSM.EXE yang siap untuk dijalankan.

Atau dapat pula Anda kompilasi langsung lewat program TPC.EXE, satu paket dengan Turbo Pascal, yaitu dengan mengetikkan:
      C:\>TPC ANTIKSM
bila tidak ada kesalahan maka akan tercipta file ANTIKSM.EXE.

Pemakaian Serum

Untuk menjalankan program ANTIKSM, ketiklah di prompt DOS sebagai berikut:

            C:\>ANTIKSM <[dir1] [dir2]…> [/S /A]

[dir1] [dir2]…, maksudnya adalah direktori yang dituju bisa lebih dari satu direktori. Contoh:
     C:\>ANTIKSM C:\DOS D:\WINDOWS A:\

/S, maksudnya apabila terdapat sub direktori maka program akan masuk ke seluruh sub direktori yang ada.

/A, artinya program tidak hanya memeriksa file-file yang berektensi .EXE atau .COM, namun seluruh file.

Ada baiknya sebelum menggunakan serum ini Anda cobakan dulu pada beberapa file untuk memastikan bahwa serum bekerja dengan baik. Juga perlu dipastikan bahwa memori dalam keadaan bebas virus (lain), agar proses berjalan sesuai yang diharapkan.

Penulis telah melakukan uji coba pembersihan terhadap bermacam-macam file, dan hasilnya berjalan dengan baik. Kesalahan pembersihan telah diusahakan seminim mungkin. Pada pemulihan file akibat infeksi virus Kusumah.2588 atau Kusumah.3016, besar file asal mungkin tidak kembali seperti semula. Hal ini akibat proses teknis dari kerja virus, dan sulit dicari cara untuk mengatasinya. Namun secara umum ini tidak menimbulkan efek apa-apa.

Dalam prosesnya program ini tidak mengharapkan input dari pemakai, kecuali lewat parameter. Jadi bila suatu operasi tulis file gagal, karena disket diprotek misalnya, proses terus berjalan dengan memberikan pesan kesalahan secara umum. Proses dapat diulang kembali bila kesalahan telah diperbaiki. Hal ini untuk menyederhanakan pembuatan program, sebab bisa dibilang hanya sedikit kesalahan yang dapat terjadi.

Penutup

Di era globalisasi ini tampaknya teknologi pervirusan, khususnya virus lokal, akan terus berkembang. Apalagi didukung program-program bantu yang memadai dan makin canggih. Ditambah pula banjirnya informasi, tentang apapun, yang dapat membuat efek tersendiri.

Tentang virus Kusumah ini tampaknya masih terus dikembangkan oleh pembuatnya. Tampak dari banyak versi yang dibuat oleh orang yang sama, namun dengan struktur dan teknik yang berbeda. Begitulah virus komputer, tantangan dan godaan seperti tidak ada habis-habisnya. Setidaknya, minumlah segelas air putih dan tarik nafas dalam-dalam. Pikiran jernih, itulah yang kita perlukan.

Akhirnya penulis berharap semoga program ini bermanfaat bagi pembaca sekalian. Komentar, saran, kritik, atau apapun silakan layangkan ke Antivirus Media untuk ditanggapi seperlunya.

Daftar Pustaka

1. David Jurgens. HelpPC v2.10 (c)1991.
2. Ralf Brown. The MSDOS Interrupt List.
3. Ediman Lukito. Membongkar, Memberantas dan Mencegah Virus Komputer.

Listing Program

{***********************************************}
{ File:      ANTIKSM.PAS => ANTIKSM.EXE         }
{ Deskripsi: Anti Virus Kusumah                 }
{ Kompiler:  Turbo Pascal 6.0+, Borland, Inc    }
{ Utilitas:  Soft-ICE v2.64, Nu-Mega            }
{ Penulis:   M. Harjono                         }
{ Tanggal:   03 Juni 1997                       }
{ Dedikasi:  * Pembaca AntiVirus Media          }
{            * BL-TI-93                         }
{ (c)1997 Antivirus Media                       }
{***********************************************}
{$S-,R-,G+,I+,X+,Q-,A+,B-}
{$M 7505,0,0}
program Anti_Kusumah;

uses
  Dos;

type
  R_Exe = record
    MZ: word;
    _Mod: word;
    _Div: word;
    Rel: word;
    Hed: word;
    _M1,_M2: word;
    _SS,_SP: word;
    CkSum: word;
    _IP,_CS: word;
  end;
  R_Com = record
    Kod: byte;
    JMP: word;
  end;
  R_Id = array[1..6] of byte;
  R_PVir = function(Bs:word; var BufV,BufH): word;
  R_DVir = record
    Lf: integer;    {lok kode virus}
    La: integer;    {lok awal virus}
    Lh: integer;    {lok hdr asli}
    Id: R_Id;       {Id vir}
    Pr: R_PVir;     {rutin proses}
  end;
  R_MVir = record
    La: integer;    {lok awal mem vir}
    Lc: integer;    {lok awal modif}
    Kb: word;       {kode awal modif}
    Kj: word;       {kode modif}
    Id: R_Id;       {Id vir}
  end;
  Exe = ^R_Exe;
  Com = ^R_Com;
  P_W = ^word;
  P_L = ^longint;

var
  Lok_H: longint;

function MCBAkhir: word; assembler;
asm
{-- ambil MCB pertama --}
  mov ah,52h
  int 21h
  mov dx,es:[bx-2]
  cld
{-- ambil dan set UMB link --}
  mov ax,5802h
  int 21h
  jc @@U_1
  push ax
  mov ax,5803h
  xor bx,bx
  int 21h
  pop bx
  jnc @@1
@@U_1:
  mov bl,-1
{-- telusuri MCB --}
@@1:
  mov es,dx
  xor si,si
  SegES lodsb
  cmp al,5Ah
  jz @@2
  cmp al,4Dh
  jnz @@3
  lodsw
  SegES lodsw
  stc
  adc dx,ax
  jmp @@1
@@2:
  stc
  adc dx,es:[3]
@@3:
{-- kembalikan UMB link --}
  cmp bl,-1
  jz @@U_O_2
  mov ax,5803h
  mov bh,0
  int 21h
@@U_O_2:
  xchg dx,ax
end;

function SegIdMem(_Seg,Lok: word;var Id): word; assembler;
asm
  push ds
  lds si,Id
  mov es,_Seg
  xor di,di
  mov cx,$4000
  cld
@@1:
  mov al,ds:[si]
  repnz scasb
  jnz @@2
  push cx
  push si
  push di
  inc si
  mov cx,type R_Id-1
  repz cmpsb
  pop di
  pop si
  pop cx
  jnz @@1
  dec di
  mov ax,Lok
  neg ax
  sub di,ax
  jb @@2
  xchg di,ax
  mov cl,4
  shr ax,cl
  add ax,_Seg
  jmp @@3
@@2:
  xor ax,ax
@@3:
  pop ds
end;

function CekId(P1,P2: pointer): boolean; assembler;
asm
  push ds
  lds si,P1
  les di,P2
  mov cx,type R_Id
  cld
  repz cmpsb
  mov al,00
  jnz @@1
  mov al,01
@@1:
  pop ds
end;

{-- Bagian Pemulih di Memory --}
const
  PjDatM = 4;
  KusM : array[1..PjDatM] of R_MVir =
    ((La:-$8FA;Lc:$8CE;Kb:$DBE8;Kj:$72EB;Id  $75,$04,$B8,$4B,$4A,$CF)),
     (La:-$A12;Lc:$9F8;Kb:$4EE8;Kj:$6CEB;Id  $75,$04,$B8,$53,$4B,$CF)),
     (La:-$76E;Lc:$75B;Kb:$FB9C;Kj:$A2EB;Id  $05,$B8,$53,$4B,$9D,$CF)),
     (La:-$75E;Lc:$74B;Kb:$FB9C;Kj:$A2EB;Id  $05,$B8,$53,$4B,$9D,$CF)));

function PMem: shortint;
var
  _MCB,_Seg: word;
  I: integer;
begin
  PMem := 0;
  _MCB := MCBAkhir;
  for i := 1 to PjDatM do
    with KusM[i] do
    begin
      _Seg := SegIdMem(_MCB,La,Id);
      if (_Seg <> 0) and (MemW[_Seg:Lc]=Kb) then
      begin
        PMem := 1;
        MemW[_Seg:Lc] := Kj;
      end;
    end;
end;

{-- Bagian Pemulih di File --}
{$F+}
function Kus1Com(Bs:word; var BufV,BufH): word; assembler;
asm
  push ds
  lds si,BufV
  les di,BufH
  cmp Bs,3
  jb @@E
  mov cx,3
  mov ax,cx
  repz movsb
  jmp @@U
@@E:
  xor ax,ax
@@U:
  pop ds
end;

function Kus2Com(Bs:word; var BufV,BufH): word; assembler;
asm
  push ds
  lds si,BufV
  les di,BufH
  cmp Bs,$70
  jb @@E
  mov cx,$70
  mov ax,cx
  repz movsb
  jmp @@U
@@E:
  xor ax,ax
@@U:
  pop ds
end;

function Kus3Cxe(Bs:word; var BufV,BufH): word; assembler;
asm
  push ds
  mov cx,Bs
  les di,BufV
  xor ax,ax
  cld
@@3:
  repnz scasb
  jnz @@E
  cmp es:[di],ax
  jnz @@3
  cmp es:[di+2],al
  jnz @@3
  add di,3
  mov si,di
@@4:
  mov al,es:[di]   {dekrip header asli}
  xor al,$FD
  stosb
  loop @@4
  SegES lodsw
  mov word ptr Lok_H,ax
  SegES lodsw
  mov word ptr Lok_H+2,ax
  push es
  pop ds
  les di,BufH
  mov cl,type R_Exe
  mov ax,ds:[si]
  cmp ax,$5A4D
  jz @@1
  cmp ax,$4D5A
  jz @@1
  mov cl,type R_Com
@@1:
  mov ax,cx
  repz movsb
  jmp @@U
@@E:
  xor ax,ax
@@U:
  pop ds
end;

function Kus1Exe(Bs:word; var BufV,BufH): word; assembler;
asm
  push ds
  lds si,BufV
  les di,BufH
  cmp Bs,8
  jb @@E
  cld
  lodsw
  mov es:[di.R_Exe._SS],ax
  lodsw
  mov es:[di.R_Exe._SP],ax
  lodsw
  mov es:[di.R_Exe._CS],ax
  lodsw
  mov es:[di.R_Exe._IP],ax
  mov ax,type R_Exe
  jmp @@U
@@E:
  xor ax,ax
@@U:
  pop ds
end;
{$F-}

const
  PjDatV = 8;
  KusV: array[1..PjDatV] of R_DVir =
    ((Lf:-3;La:-$2A8;Lh:$A19;Id  $E2,$F7,$C3,$E8,$00,$00);Pr:Kus1Com),
     (Lf:-3;La:-$31A;Lh:$B58;Id  $78,$52,$45,$E8,$00,$00);Pr:Kus2Com),
     (Lf:+9;La:-$11B;Lh:$F36;Id  $01,$53,$CB,$A1,$A0,$10);Pr:Kus3Cxe),
     (Lf:+9;La:-$100;Lh:$F37;Id  $01,$53,$CB,$A1,$A1,$10);Pr:Kus3Cxe),
     (Lf:+6;La:-$74E;Lh:$107;Id  $B8,$FE,$FF,$CD,$21,$3D);Pr:Kus1Exe),
     (Lf:+12;La:-$8B7;Lh:$42D;Id  $B8,$FF,$FF,$CD,$21,$3D);Pr:Kus1Exe),
     (Lf:+5;La:-$11C;Lh:$105E;Id  $3B,$02,$53,$33,$DB,$C3);Pr:Kus3Cxe),
     (Lf:+5;La:-$101;Lh:$105F;Id  $2B,$02,$53,$33,$DB,$C3);Pr:Kus3Cxe));

function PulihFile(NmF: string): shortint;
var
  F1: file;
  Buf,BufH: array[0..$FF] of byte;
  Dapet,Attr: word;
  Lok_V,Wkt: longint;
  I: integer;
  _Exe: byte;
begin
  {$I-}
  PulihFile := 0;
  Assign(F1,NmF);
  FileMode := 0;
  Reset(F1,1);
  if (IOResult <> 0) then
    Exit;
  BlockRead(F1,Buf,SizeOf(Buf),Dapet);
  if (Dapet<>SizeOf(Buf)) then
  begin
    Close(F1);
    Exit;
  end;
  if (Exe(@Buf)^.MZ = $4D5A) or (Exe(@Buf)^.MZ = $5A4D) then
  begin
    _Exe := 1;
    with Exe(@Buf)^ do
      Lok_V := longint(hed+_cs)*$10 + _ip - 100;
  end
  else
  begin
    _Exe := 0;
    with Com(@Buf)^ do
      Lok_V := JMP + 3 - 100;
  end;
  Seek(F1,Lok_V);
  BlockRead(F1,Buf,SizeOf(Buf));
  Close(F1);
  I := 1;
  while not CekId(@Buf[KusV[i].Lf+100],@KusV[i].Id) and (I <= PjDatV) do
    Inc(I);
  if (I <= PjDatV) then
  begin
    {-- positif bervirus --}
    PulihFile := -1;
    GetFAttr(F1,Attr);
    if (Attr and ReadOnly = ReadOnly) then
      SetFAttr(F1,Attr and not(ReadOnly));
    FileMode := 2;
    Reset(F1,1);
    if (IOResult <> 0) then
      Exit;
    GetFTime(F1,Wkt);
    Lok_H := Lok_V+100+KusV[i].La;
    Seek(F1,Lok_H+KusV[i].Lh);
    BlockRead(F1,Buf,SizeOf(Buf),Dapet);
    if (_Exe=1) then
    begin
      Seek(F1,0);
      BlockRead(F1,BufH,SizeOf(BufH));
      with Exe(@BufH)^ do
      begin
        _Mod := Lok_H mod 512;
        _Div := (Lok_H div 512);
        if (_Mod <> 0) then
          Inc(_Div);
      end;
    end;
    Seek(F1,0);
    BlockWrite(F1,BufH,KusV[i].Pr(Dapet,Buf,BufH),Dapet);
    if (Dapet=0) or (IOResult <> 0) then
    begin
      Close(F1);
      Exit;
    end;
    Seek(F1,Lok_H);
    Truncate(F1);
    SetFTime(F1,Wkt);
    Close(F1);
    if (IOResult <> 0) then
      Exit;
    if (Attr and ReadOnly = ReadOnly) then
      SetFAttr(F1,Attr);
    PulihFile := 1;
  end;
  InOutRes := 0;
  {$I+}
end;

const
  Par_Tidak: set of 1..15 = [];
  SubDir: boolean = false;
  Semua: boolean = false;
var
  Kena,Proses,NSubDir: word;

{$S+}
procedure PDir(S: PathStr);
var
  SR: SearchRec;
begin
  Inc(NSubDir);
  FindFirst(S+'*.*',anyfile,SR);
  while DosError = 0 do
  begin
    if (SR.Name[1] <> '.') and (SR.Attr and VolumeID <> VolumeID) then
    begin
      if (SR.Attr and Directory = Directory) then
      begin
        if SubDir then
        begin
          WriteLn(#13'Periksa ',S+SR.Name,' ':10);
          PDir(S+SR.Name+'\');
        end;
      end
      else
      begin
        if Semua or (pos('.EXE',SR.Name) <> 0) or (pos('.COM',SR.Name) <> 0) then
        begin
          Inc(Proses);
          Write(#13,SR.Name:14);
          case PulihFile(S+SR.Name) of
             1:
            begin
              WriteLn(' [terinfeksi, dipulihkan]');
              Inc(Kena);
              while (PulihFile(S+SR.Name)=1) do;
            end;
            -1:
            begin
              WriteLn(' [terinfeksi, gagal dipulihkan]');
              Inc(Kena);
            end;
          end;
        end;
      end;
    end;
    FindNext(SR);
  end;
end;
{$S-}

procedure IntNull; assembler;
asm
  mov al,03
  iret
end;

var
  Par: string[128];
  I,P: integer;
begin
  WriteLn(#13#254' Anti Virus Kusumah  v1.00'#10+
          #13#254' Dibuat oleh M. Harjono'#10+
          #13#254' (c)1997 Antivirus Media'#10);
  P := ParamCount;
  if (P = 0) then
  begin
    WriteLn('Sintak: ANTIKSM <[dir1] [dir2]...> [/S /A]'#10#13+
            '  /S = Masuk Sub Direktori'#10#13+
            '  /A = Semua File');
    Exit;
  end;
  {-- init rutin pemulih --}
{ KusV[1].Pr := Kus1Com;
  KusV[2].Pr := Kus2Com;
  KusV[3].Pr := Kus3Cxe;
  KusV[4].Pr := Kus3Cxe;
  KusV[5].Pr := Kus1Exe;
  KusV[6].Pr := Kus1Exe;
  KusV[7].Pr := Kus3Cxe;
  KusV[8].Pr := Kus3Cxe;
  {-- periksa memori --}
  Write('Cek Memori.... ');
  if (PMem=1) then
    WriteLn('[virus aktif, dilumpuhkan]')
  else
    WriteLn('[ok]');
  {-- olah parameter --}
  for I := 1 to P do
  begin
    Par := ParamStr(I);
    if (length(Par)=2) and (Par[1]='/') then
    begin
      case UpCase(Par[2]) of
        'S': SubDir := true;
        'A': Semua := true;
      end;
      Par_Tidak := Par_Tidak + [I];
    end;
  end;
  {-- init program --}
  SetIntVec($1B,@IntNull);
  SetIntVec($23,@IntNull);
  SetIntVec($24,@IntNull);
  Kena := 0;
  Proses := 0;
  NSubDir := 0;
  {-- periksa file --}
  for I := 1 to P do
  begin
    if not (I in Par_Tidak) then
    begin
      Par := ParamStr(I);
      if (Par[length(Par)] <> ':') and (Par[length(Par)] <> '\') then
        Par := Par + '\';
      WriteLn(#13'Periksa ',Par,' ':10);
      PDir(Par);
    end;
  end;
  WriteLn(#13'Hasil:        '#13#10+
          '  Direktori = ',NSubDir:6,#13#10+
          '  File      = ',Proses:6,#13#10+
          '  Terkena   = ',Kena:6,#13#10);
end.

Virus berisi 4250 byte kode ini termasuk virus yang sederhana dan jinak. Tugas intinya hanya untuk menginfeksi file Exe/Com yang akan dijalankan. Ada kemampuan tambahan yang memberikan nilai tambah pada virus ini, yaitu rutin pengacak kode (polimorfik) dan (sepertinya) rutin anti heuristik. Sayangnya teknik pemrograman yang digunakan sangat mudah dibaca, sehingga upaya untuk mempersulit pembuatan serum tampaknya sia-sia. Pada waktu-waktu tertentu, menit=30 dan detik<15, virus ini menampilkan efek video berupa tampilan berbahasa Perancis dalam mode grafik. Sesuai nama pembuatnya, kita sebut saja virus ini dengan nama Spanska.4250.

Instalasi dan Pencegatan

Pada saat pertama aktif virus ini membuka kunci sandinya (dekrip) lewat rutin yang dapat berubah-ubah bentuk (polimorfik). Setelah seluruh kode virus kembali ke bentuk aslinya, virus lalu mengecek kehadirannya di memori lewat fungsi AX=6969h Int 21h, dan bila menghasilkan BX=6969h berarti virus telah aktif dan rutin instalasi tidak dilanjutkan. Selanjutnya virus memodifikasi alokasi memori, memindahkan tubuhnya ke sana, dan membelokkan vektor DOS ke rutin manipulasinya. Lalu virus berusaha mencari file WIN.COM pada direktori WINDOWS, dan bila ditemukan maka file ini akan langsung diinfeksi. Pada akhir proses dilakukan pengecekan terhadap waktu sistem, yang bila sesuai maka virus ini akan melaksanakan rutin efeknya. Setelah semuanya beres maka virus melompat ke awal rutin asli program dan program berjalan seperti semula.

Dalam fungsi DOS virus ini melakukan beberapa cegatan:

• 11h (Search First using FCB), 12h (Search Next using FCB), fungsi yang biasa digunakan oleh instruksi internal DOS, DIR, dimanipulasi agar seakan-akan file yang terinfeksi tidak berubah ukurannya. Virus ini menggunakan tanda detik=30 untuk menentukan apakah suatu file telah terinfeksi, yang tentu saja tidak selalu benar. Selain itu fungsi ini juga telah usang (obsolete), dan mulai dari Windows 95 sudah tidak digunakan lagi.
• 4B00h (Load and Execute Program), dimanipulasi untuk menularkan file Exe/Com yang akan dijalankan. Ada kecenderungan virus ini hanya menulari file yang berekstensi hanya Exe atau Com saja, dan tidak untuk ekstensi yang lain. Setiap kali menginfeksi virus ini selalu melakukan pengecekan tanggal dan melakukan proses acak lewat acuan tanggal tersebut. Juga virus ini mengecek apakah file yang akan dijalankan sejenis ‘New Executable’, program-program Windows atau OS/2, dan menolak untuk menginfeksi bila ya. Dan untuk mencegah agar infeksinya menimbulkan kecurigaan, virus ini juga menolak menginfeksi file-file program yang diawali huruf berikut: TB, VI, AV, NA, VS, FI, F-, FV, IV, DR, SC, GU, CO, dan memberi perlakuan khusus terhadap program berawalan PK, AR, RA, LH, dan BA.
• 6969h, menghasilkan BX = 6969h, sebagai tanda virus telah aktif di memori.

Rutin Polimorfik

Pada virus Spanska.4250 ini mempunyai kemampuan untuk berubah-ubah bentuk. Untuk keperluan ini virus telah dilengkapi dengan kombinasi beberapa rutin dengan proses kerja yang sama namun dengan kode instruksi yang berbeda-beda. Dengan memecah proses pembuka sandi ke beberapa bagian, dan tiap bagian memiliki beberapa kemungkinan, menghasilkan kode program yang dapat berbeda-beda pada tiap kali infeksi.

Rutin intinya sbb:

Kelemahan utama dari cara ini adalah lokasi instruksi tetap untuk tiap-tiap bagian. Akibatnya tentu panjang rutin, walaupun isinya berubah-ubah, adalah tetap, yang mengakibatkan awal kode tersandi juga tetap. Apalagi dengan metode penyandian yang sangat sederhana, terdiri dari 6 kemungkinan: NEG, NOT, DEC, ROR, SUB, dan XOR, membuat cara untuk membuka sandinya juga sangat mudah. Kita cukup membaca awal kode tersandi, pada virus ini mulai alamat 0087h, dan lakukan operasi terbalik terhadap 6 kemungkinan di atas, yaitu: NEG, NOT, INC, ROL, ADD dan XOR. Tiap-tiap operasi dibandingkan terhadap rutin yang tidak tersandi. Bila sesuai maka metode itulah yang digunakan untuk menyandi seluruh tubuh virus. Parameter sandi, yang acak menurut tanggal, diletakkan virus pada akhir file, atau alamat relatif 1099h.

Teknik Anti Heuristik

Pada beberapa program anti virus dikenal teknik heuristik, yang tujuannya untuk mengenali serangkaian kode pada suatu program terhadap operasi yang mencurigakan. Ada beberapa kesamaan proses pada kebanyakan virus, yang umumnya tidak dijumpai pada program/pemrograman yang normal. Dengan mengenali keanehan tersebut, suatu  program dapat dicurigai terserang suatu virus, walaupun virus tersebut tidak dikenal.

Melihat beberapa rutinnya, tampaknya virus Spanska.4250 ini berupaya untuk mengelabui teknik heuristik tersebut. Tampak dari beberapa instruksi yang bisa dikatakan aneh. Misalnya untuk membelokkan vektor interupsi DOS (21h), virus ini melakukan cara sbb:

Walaupun dengan penelusuran tubuh virus ini secara manual, cara kerja virus dapat diketahui dengan mudah. Tampaknya proses konversi dari instruksi yang normal ke bentuk anti heuristik dilakukan lewat suatu makro, fasilitas dalam bahasa assembly, yang mengakibatkan banyak terjadi perulangan instruksi hingga besar virus jadi membengkak. Untuk ukuran 4250 pada program virus yang biasa, ini bisa berupa suatu virus kompleks dengan kemampuan stealth (siluman) yang canggih.

Program Serum Virus

Bagi Anda yang berminat untuk mempelajari cara membuat program serum untuk virus ini, penulis telah menyertakan listing programnya. Program ditulis dengan bahasa Turbo Pascal versi 6.0+ pada mode real. Cara kerja maupun petunjuk pemakaian program dapat Anda pelajari dari listing tersebut. Sebenarnya listing ini hanya modifikasi dari program serum virus file buatan penulis, yang telah disesuaikan khusus untuk memberantas virus Spanska.4250.

Penutup

Melihat cara kerja dan rutin prosesnya, bolehlah virus ini masuk kategori sederhana. Namun ada satu hal yang membuat penulis salut, efek videonya. Tampilannya cukup menarik dan terkesan profesional. Untuk ukuran 4250 efek ini bisa dibilang cukup mengesankan.

Reviens. Respire. Puis repars. J’aime ton mouvement. Bruja con ojos verdes Eres un grito de vida, un canto de libertad. (eh, apa sih artinya?)

Akhirnya penulis berharap semoga program ini bermanfaat bagi pembaca sekalian. Komentar, saran, kritik, atau apapun silakan layangkan ke Antivirus Media untuk ditanggapi seperlunya.

Listing Program

{$S-,R-,I+,G+,X+,A+,B-}
{$M 7505,0,0}
{***********************************************}
{ File:      ANTISPAN.PAS => ANTISPAN.EXE       }
{ Deskripsi: Anti Virus Spanska.4250            }
{ Kompiler:  Turbo Pascal 6.0+, Borland, Inc    }
{ Utilitas:  Debug.Exe, Microsoft, Corp         }
{ Penulis:   M. Harjono                         }
{ Tanggal:   27 Oktober 1997                    }
{ Dedikasi:  * Pembaca Antivirus Media          }
{            * BL-TI-93                         }
{ (c)1997 Antivirus Media                       }
{***********************************************}

program Anti_Virus_Spanska;
uses
  Dos;
type
  R_Hdr = record
    case Byte of
    1  Kod: Byte;
      JMP: Word;
      KodInfek: Byte);
    2  MZ: word;
      _Mod: word;
      _Div: word;
      Rel: word;
      Hed: word;
      _M1,_M2: word;
      _SS,_SP: word;
      CkSum: word;
      _IP,_CS: word);
  end;
  R_Pch = record
    Lc: Word;
    Kb: Word;
    Kj: Word;
  end;
const
  BnPch = 1;
  SpanJ: array[1..BnPch] of R_Pch =
    ((Lc:$012D;Kb:$802E;Kj:$26EB));
  Par_Tidak: set of 0..15 = [];
  Pil: set of 0..7 = [];
  BnExt = 5;
  DaftExt: array[1..BnExt*3] of Char =
    'EXECOMBINOVROVL';
  MulaiDekrip = $0087;
  ParDekrip   = $1099;
  LokHdrAsli  = $04A0;
  KodeVirus: array[1..8] of Byte =
    ($1F,$07,$06,$1E,$B8,$69,$69,$CD);
  OpsDek: array[0..5] of Word =
    ($D8F6,$D0F6,$C0FE,$C0D0,$D000,$D030);
  Kena: Word = 0;
  Proses: Word = 0;
  NSubDir: Word = 0;
  TotPar = 5;
  DafPar: array[1..TotPar] of Char = 'RACGN';
var
  Par: string[128];
  NPar: Word;
  Exe: Byte;
  Buf: array[0..4249] of Byte;
  BufH: R_Hdr;
  StrBar: string[80];

procedure Kondisi(K: Shortint);
begin
  case K of
   -1: Writeln(' [terinfeksi, gagal dipulihkan]');
   -2: Writeln(' [terinfeksi]');
    0: Writeln(' [ok]');
    1: Writeln(' [terinfeksi, dipulihkan]');
  end;
end;

function MCBAkhir: Word; assembler;
asm
  {-- init UMB_Konv --}
  mov dl,-1
  mov ax,5802h
  int 21h
  jc @@4
  xchg dx,ax
  mov ax,5803h
  xor bx,bx
  int 21h
  jnc @@4
  mov dl,-1
@@4:
  push dx
  xor si,si
{-- mulai dari MCB pertama --}
  mov ah,52h
  int 21h
  mov dx,es:[bx-2]
{-- telusuri MCB --}
@@1:
  mov es,dx
  mov al,es:[si]
  cmp al,5Ah
  jz @@2
  cmp al,4Dh
  mov ax,si
  jnz @@3
  add dx,es:[si+3]
  inc dx
  jmp @@1
@@2:
  inc dx
  mov es,dx
{-- cari Id virus --}
  mov cx,$4000    {16K byte akhir}
  xor di,di
  lea si,KodeVirus
  cld
  lodsb
@@7:
  repnz scasb
  jnz @@6
  push si
  push di
  push cx
  mov cx,type KodeVirus-1
  repz cmpsb
  pop cx
  pop di
  pop si
  jnz @@7
@@6:
  xchg cx,ax
  jnz @@3
  not ax
  add ax,$4000
  sub ax,MulaiDekrip
  mov cl,4
  shr ax,cl
  add ax,dx
@@3:
  {-- kembalikan mem alloc stra --}
  xchg dx,ax
  pop ax
  cmp al,-1
  jz @@5
  cbw
  xchg bx,ax
  mov ax,5803h
  int 21h
@@5:
  xchg dx,ax
end;

procedure WinKrit(M: Word); assembler;
asm
  mov ax,$1680
  add ax,M
  int 2Fh
end;

procedure PMem;
var
  Seg,I,J: Word;
  Kena: Shortint;
begin
  Kena := 0;
  Seg := MCBAkhir;
  if (Seg<>0) then
    for I := 1 to BnPch do
      with SpanJ[I] do
        if (MemW[Seg:Lc] = Kb) then
        begin
          WinKrit(1);
          MemW[Seg:Lc] := Kj;
          WinKrit(2);
          Kena := 1;
        end;
  Kondisi(Kena);
end;

procedure SetFTime(var F: file; Wkt: Longint); assembler;
asm
  les di,F
  mov bx,es:[di]
  mov cx,word ptr Wkt
  mov dx,word ptr Wkt+2
  mov ax,$5701
  pushf
  call SaveInt21
  jc @@1
  xor ax,ax
@@1:
  mov DosError,ax
end;

function CekVirus(var BufD): Boolean; assembler;
asm
  les di,BufD
  lea si,OpsDek
  mov cx,type OpsDek/2
  mov dl,es:[di+ParDekrip]
  add di,MulaiDekrip
  cld
@@1:
  lodsw
  push cx
  push si
  push di
  mov cl,type KodeVirus
  lea si,KodeVirus
  mov word ptr cs:[@@Ops],ax
  jmp @@2
@@2:
  mov al,es:[di]
@@Ops:
  not al  {2 Byte}
  inc di
  inc si
  cmp al,ds:[si-1]
  loopz @@2
  pop di
  pop si
  pop cx
  jz @@3
  loop @@1
  jmp @@U
@@3:
  mov ax,ds:[si-2]
  mov word ptr cs:[@@Dek],ax
  les di,BufD
  add di,LokHdrAsli
  push di
  mov cl,$08
  jmp @@4
@@4:
  mov al,es:[di]
@@Dek:
  not al  {2 Byte}
  stosb
  loop @@4
  pop si
  lea di,BufH
  cmp Exe,1
  jz @@Exe
@@Com:
  SegES lodsw
  mov ds:[di],ax
  SegES lodsw
  mov ds:[di+2],ax
  jmp @@OK
@@Exe:
  SegES lodsw
  mov ds:[di.R_Hdr._IP],ax
  SegES lodsw
  mov ds:[di.R_Hdr._CS],ax
  SegES lodsw
  mov ds:[di.R_Hdr._SS],ax
  SegES lodsw
  mov ds:[di.R_Hdr._SP],ax
  mov ds:[di.R_Hdr.CkSum],cx
@@OK:
  inc cx
@@U:
  xchg cx,ax
end;

{$I-}
function PulihFile(NmF: string): shortint;
var
  F1: file;
  PjBc,Attr: Word;
  LokV,Wkt: Longint;

procedure PrsFile;
begin
  PulihFile := 0;
  FileMode := 0;
  Exe := 0;
  Reset(F1,1);
  if (InOutRes <> 0) then
    Exit;
  BlockRead(F1,BufH,SizeOf(BufH),PjBc);
  if (PjBc<>SizeOf(BufH)) then
    Exit;
  with BufH do
  begin
    if (MZ = $4D5A) or (MZ = $5A4D) then
    begin
      if (CkSum<>$006B) or (Rel=$0040) then
        Exit;
      LokV := Longint(Hed + _CS) * $10 + _IP;
      Inc(Exe);
    end
    else
      if (Kod=$E9) and (KodInfek=$6B) then
        LokV := JMP + 3
      else
        Exit;
  end;
  Seek(F1,LokV);
  BlockRead(F1,Buf,SizeOf(Buf),PjBc);
  if (PjBc<>SizeOf(Buf)) or not (CekVirus(Buf)) then
    Exit;
  {-- positif bervirus --}
  PulihFile := -2;
  if not (3 in Pil) then
    Exit;
  PulihFile := -1;
  Close(F1);
  GetFAttr(F1,Attr);
  if (Attr and ReadOnly = ReadOnly) then
    SetFAttr(F1,Attr and not(ReadOnly));
  FileMode := 2;
  Reset(F1,1);
  if (InOutRes<>0) then
    Exit;
  GetFTime(F1,Wkt);
  {-- sesuaikan hdr dengan pj file --}
  if (Exe=1) then
    with BufH do
    begin
      _Mod := LokV mod $200;
      _Div := LokV div $200;
      if (_Mod<>0) then
        Inc(_Div);
    end;
  {-- tulis hdr --}
  Seek(F1,0);
  BlockWrite(F1,BufH,SizeOf(BufH),PjBc);
  if (PjBc<>SizeOf(BufH)) or (InOutRes<>0) then
    Exit;
  {-- buang virus --}
  Seek(F1,LokV);
  Truncate(F1);
  {-- normalkan waktu file --}
  Wkt := Wkt and $FFFFFFF0;
  SetFTime(F1,Wkt);
  if (Attr and ReadOnly = ReadOnly) then
    SetFAttr(F1,Attr);
  if (InOutRes<>0) or (DosError<>0) then
    Exit;
  PulihFile := 1;
end;

begin
  Assign(F1,NmF);
  PrsFile;
  Close(F1);
  InOutRes := 0;
end;
{$I+}

{-- cari vektor 21h asli --}
function Vektor21h: Pointer; assembler;
asm
  push ds
  mov ax,PrefixSeg
  mov ds,ax
  mov si,$0005
  xor bx,bx
  xor dx,dx
  cld
@@3:
  lodsb
  cmp al,$9A
  jz @@1
  cmp al,$EA
  jnz @@2
@@1:
  lds si,ds:[si]
  jmp @@3
@@2:
  add si,4
  lodsw
  cmp ax,$FF2E
  jnz @@4
  lodsb
  cmp al,$2E
  jnz @@4
  lodsw
  xchg si,ax
  les di,ds:[si]
  mov cx,$0100
@@5:
  mov al,$FA
  repnz scasb
  jnz @@4
  cmp word ptr es:[di],$FC80
  jnz @@5
  mov dx,es
  lea bx,[di-1]
@@4:
  pop ds
  xchg bx,ax
end;

{-- konversi huruf kecil mjd besar --}
procedure HBesar(var S); assembler;
asm
  les di,S
  xor cx,cx
  mov cl,es:[di]
  jcxz @@L3
  cld
  inc di
@@L1:
  mov al,es:[di]
  cmp al,'a'
  jb @@L2
  cmp al,'z'
  ja @@L2
  sub al,' '
@@L2:
  stosb
  loop @@L1
@@L3:
end;

{-- cek ekstensi file terdaftar --}
function CekNmf(var Buf): Boolean; assembler;
asm
  mov dl,0
  les di,Buf
  mov al,'.'
  xor cx,cx
  mov cl,es:[di]
  inc di
  cld
  repnz scasb
  jnz @@1
  cmp cx,3
  jnz @@1
  lea si,DaftExt
  mov bx,BnExt
@@2:
  push si
  push di
  push cx
  repz cmpsb
  pop cx
  pop di
  pop si
  jz @@3
  add si,cx
  dec bx
  jnz @@2
  jmp @@1
@@3:
  mov dl,1
@@1:
  xchg dx,ax
end;

function CekKbdIn: Word; assembler;
asm
  mov ah,01
  int 16h
  jnz @@1
  xor ax,ax
@@1:
end;

function BacaKar: Char; assembler;
asm
  mov ax,$0C08
  int 21h
  cmp al,'a'
  jb @@1
  cmp al,'z'
  ja @@1
  sub al,' '
@@1:
end;

procedure CekBatal;
var
  Kar: Char;
begin
  if (CekKbdIn=$011B) then
  begin
    Write(' ':79,#13'  Batal Proses (Y/T)? ');
    repeat
      Kar := BacaKar;
    until (Kar='Y') or (Kar='T');
    if (Kar='Y') then
      DosError := $1001;
  end;
end;

{$S+}
procedure PDir(S: PathStr);
var
  SR: SearchRec;
  Kond: Shortint;
begin
  FindFirst(S+'*.*',AnyFile,SR);
  if (DosError<>3) then
    Inc(NSubDir);
  while (DosError=0) do
  begin
    if (SR.Name[1] <> '.') and (SR.Attr and VolumeID <> VolumeID) then
    begin
      if (SR.Attr and Directory = Directory) then
      begin
        if not (1 in Pil) then
          PDir(S+SR.Name+'\');
      end
      else
      begin
        if (2 in Pil) or CekNmf(Sr.Name) then
        begin
          Inc(Proses);
          StrBar := S+SR.Name;
          Kond := PulihFile(StrBar);
          Write(#13'  ',StrBar,' ':77-Length(StrBar),#13);
          if (Kond<>0) then
          begin
            Write('  ',StrBar);
            Kondisi(Kond);
            Inc(Kena);
            while (Kond=1) and (PulihFile(S+SR.Name)=1) do;
          end;
        end;
      end;
    end;
    if (DosError<>$1001) then
    begin
      FindNext(SR);
      CekBatal;
    end;
  end;
end;
{$S-}

function DriveDisket(Drv: Byte): Boolean; assembler;
asm
  mov ax,$4408
  mov bl,Drv
  int 21h
  mov dl,0
  jc @@1
  or al,al
  jnz @@1
  inc dx
@@1:
  xchg dx,ax
end;

function DriveAktif: Byte; assembler;
asm
  mov ah,$19
  int 21h
end;

procedure IntNull; assembler;
asm
  mov al,03
  iret
end;

function ProsesPar: Shortint;
var
  I,J: Integer;
begin
  ProsesPar := -1;
  if (Npar=0) then
    Exit;
  for I := 1 to NPar do
  begin
    Par := ParamStr(I);
    HBesar(Par);
    if (Par[1]='/') or (Par[1]='-') then
    begin
      if (Length(Par)<>2) then
        Exit;
      J := 1;
      repeat
        if (Par[2]=DafPar[J]) then
        begin
          Pil := Pil + [J];
          J := TotPar+1;
        end;
        Inc(J);
      until (J>TotPar);
      if (J=TotPar+1) then
        Exit;
      Par_Tidak := Par_Tidak + [I];
    end;
  end;
  ProsesPar := 0;
end;

var
  I: Integer;
  Drv: Byte;
  Int21h: Pointer;
begin
  Writeln(#13#254' Anti Virus Spanska.4250  v1.02'#10+
          #13#254' Dibuat oleh M. Harjono'#10+
          #13#254' (c)1997 Antivirus Media'#10);
  {-- proses parameter --}
  NPar := ParamCount;
  if (ProsesPar<>0) then
  begin
    Writeln('Sintak: ANTISPAN <[dir1] [dir2]...> [/r /a /c /g /n]'#10#13+
            '  /r = hanya per direktori aktif'#10#13+
            '  /a = proses semua file'#10#13+
            '  /c = deteksi dan bersihkan'#10#13+
            '  /g = tunggu ganti disket'#10#13+
            '  /n = vektor 21h normal');
    Writeln('Contoh: ANTISPAN C: D: /a /c => Bersihkan semua file di drive C: dan D:');
    Exit;
  end;
  {-- init program --}
  Int21h := Vektor21h;
  if (Int21h<>nil) and not(5 in Pil) then
    SetIntVec($21,Int21h);
  SetIntVec($24,@IntNull);
  {-- periksa memori --}
  Write('Cek Memori....');
  PMem;
  {-- periksa file --}
  Writeln('Periksa File:');
  for I := 1 to NPar do
  begin
    if not (I in Par_Tidak) then
    begin
      Par := ParamStr(I);
      HBesar(Par);
      Par[Length(Par)+1] := '\';
      if (Par[Length(Par)]<>'\') then
      begin
        if (1 in Pil) and (Par[Length(Par)] = ':') then
          Dec(Par[0]);
        Inc(Par[0]);
      end;
      Drv := DriveAktif;
      if (Par[2] = ':') and (Par[1] in ['A'..'Z']) then
        Drv := Ord(Par[1])-Ord('A');
      if (Drv<=1) and (DriveDisket(Drv+1)) then
      begin
        if (4 in Pil) then
        begin
          Write('  <Tekan Enter...>',' ':61,#13);
          repeat
          until (BacaKar=#13);
        end;
      end;
      PDir(Par);
    end;
  end;
  Writeln(#13'Hasil:',' ':73,#13#10+
          '  Direktori = ',NSubDir:6,#13#10+
          '  File      = ',Proses:6,#13#10+
          '  Terkena   = ',Kena:6,#13#10);
end.

Virus ini tergolong virus berbahaya, karena di dalamnya terdapat bom waktu yang dapat meledak, yaitu setiap tanggal 22 pada bulan Agustus dan September. Aksinya berupa tampilan dan penulisan ke hard disk. Tampaknya virus ini berusaha secara cerdik mengoptimalkan dirinya agar berjalan dengan baik pada sistem operasi Windows. Beberapa trik sederhana namun efektif dilakukan untuk itu. Namun teknik infeksi partisi yang kurang sempurna, membuat virus ini cukup bermasalah bila dijalankan pada hard disk dengan konfigurasi tertentu.

Tampaknya virus ini berasal dari luar negeri, selain karena pesan di tubuhnya cara kerjanya pun yang cukup aneh. Bila virus aktif di memory, terlihat serangkaian kalimat: ‘HDEuthanasia v3 By Demon Emperor: Hare Krshna, hare, hare..’. Sesuai pesan tersebut dan panjang infeksinya, kita namakan saja virus ini virus Hare.7786.

Instalasi Virus File

Pada saat program EXE/COM/Overlay dijalankan, maka rutin virus yang menempel pada program tersebut yang akan pertama kali dijalankan. Pertama kali virus akan mendekrip dirinya sendiri, melalui serangkaian kode program yang dapat berubah-ubah bentuk (polimorfik). Lalu virus mengecek keberadaannya dalam sistem, melalui pemanggilan fungsi DOS, Int 21h AX=0FE23h. Bila didapat hasil AX=000Dh berarti virus sudah menetap di memori. Dilanjutkan dengan alokasi memori untuk tempat virus bekerja, yang dapat berupa memori konvensional (0-9FFFFh) maupun Upper Memory Block (0A0000h-100000h).

Pada proses selanjutnya virus juga berusaha untuk menginfeksi partisi hard disk. Dimulai dengan pengecekan fungsi virus untuk operasi disk, Int 13h AX=5445h. Bila hasil AX=4554h berarti rutin tersebut sudah aktif, partisi dianggap sudah terinfeksi. Bila tidak maka virus akan mencari lokasi fisik dari pojok hard disk, atau dikenal dengan Landing Zone. Proses ini dengan mudah dilakukan dengan mencari konfigurasi fisik hard disk (berapa track, berapa silinder dan berapa sektor), dan perhitungan track+1, silinder-1, sektor-10h. Partisi asli diletakkan di sektor ke-10h. Namun cara ini cukup riskan bila dijalankan pada komputer dengan hard disk > 528 MB dan sebagian besar BIOS 486 DX2 ke bawah. Pada BIOS ini belum dikenal mode LBA (Large Block Adressing) ataupun mode CHS dengan track > 1023. Akibatnya operasi track+1 pada 1023 (3FFh) menghasilkan 768 (300h). Lokasi ini bisa menimpa sembarang file.

Sesudah pojok hard disk ditentukan, maka badan virus ditulis di tempat tersebut melalui operasi disk normal (Int 13h). Pada penulisan kode partisi maka virus mempunyai 2 kemungkinan untuk melakukan proses ini. Bila Windows aktif dan sedang dalam modus enhanced maka operasi ini dilakukan secara ‘normal’ yaitu dengan menelusuri vektor 13h, operasi device DOS, dan dengan tambahan ‘tebak-tebakan’ dengan fasilitas virus warning dari BIOS. Pada BIOS 386 ke atas biasanya terdapat fasilitas untuk mencegah penulisan ke daerah partisi hard disk. Bila dideteksi ada penulisan ke partisi, maka biasanya BIOS memberi suatu peringatan dengan kemungkinan jawaban ‘Y’es atau ‘N’o. Entah apa maksudnya, namun virus Hare ini melakukan beberapa kemungkinan jawaban, yaitu NNNYY. Jika Windows tidak aktif maka virus ini akan melakukan penulisan langsung lewat operasi port. Untuk operasi ini virus Hare secara cerdik memeriksa langsung isi CMOS untuk apakah ada hard disk (IDE) terpasang. Maklum saja, biasanya hard disk model SCSI tidak terdaftar dalam CMOS, selain mengandalkan info BIOS internalnya. Dengan demikian jangan heran bila peringatan BIOS tidak muncul (sedikitpun) namun ternyata virus Hare telah bersarang dalam partisi Anda.

Selanjutnya virus menelusuri vektor DOS (21h) dan titik terdalam vektor ini yang dipanggil bila virus melakukan operasi DOS secara internal. Biasanya ini dilakukan untuk menghindari deteksi dari program anti virus. Untuk pencegatan vektor virus ini melakukannya secara biasa, yaitu pada titik teratas. Tidak heran, karena cara inilah yang paling aman bila virus ingin selamat saat dijalankan lewat Windows. Tidak kenal kompromi, bila dideteksi variabel sistem ‘WIN..=’ aktif, maka virus akan menghapus file ‘WIN..\SYSTEM\ IOSUBSYS\HSFLOP.PDR’. Sehingga nantinya operasi yang mengakses disket akan berlangsung lewat BIOS, yang tentu saja di bawah kendali virus.

Lalu virus mengembalikan register-register yang berubah dan kembali ke titik awal program asli. Sejak saat ini virus Hare telah aktif dalam sistem dan telah pula menginfeksi partisi. Dalam fungsi DOS virus ini melakukan beberapa cegatan:

• 4Eh (Find First Matching File), 11h (Search First Entry Using MCB), 4Fh (Find Next Matching File), 12h (Search Next Entry Using MCB), dimanipulasi agar seakan-akan file terinfeksi tidak berubah (besar), karena ternyata masih terdapat perbedaan kecil antara file yang terinfeksi dan yang tidak. Virus ini menggunakan tanda detik=34 untuk menandakan program telah terinfeksi, yang tidak selalu benar.
• 3Dh (Open File Using Handle), digunakan untuk menulari suatu file/program ketika akan dibuka, dengan syarat program tersebut bukan yang sedang dijalankan.
• 3Eh (Close File Using Handle), digunakan untuk menulari suatu file/program ketika akan ditutup. Virus ini mengambil langsung nama file dari Sistem File Table (SFT).
• 4B00h (Execute Program), digunakan selain untuk menginfeksi program ketika akan dijalankan, juga untuk memulihkan file program sebelum dijalankan. Hal ini untuk mencegah suatu program, termasuk anti virus yang menetap, mengetahui perubahan dari file program. Konsep ini cukup aneh namun terbukti aman dan efektif untuk mengelabui program anti virus.
• 00h (Program Terminate), 4Ch (Terminate Process With Return Code), 31h (Terminate Process and Remain Resident), dimanipulasi dalam rangkaian proses siluman, yaitu program yang telah selesai dijalankan sebelum kembali ke DOS maka akan dinfeksi kembali.
• 36h (Get Disk Free Space), disimulasikan agar suatu program (antivirus) yang selalu mengecek besar ruang kosong pada disk tidak mengetahui perbedaan akibat membengkaknya suatu file, ketika file (program) tersebut diperiksa.
• 0FE23h, penanda virus sudah aktif di memori, dengan hasil AX=000Dh.

Virus Hare juga menolak menginfeksi file program dengan nama berikut: TB*.*, F-*.*, IV*.*, CH*.*, COMMAND*.* dan nama program yang mengandung huruf V. Lebih baik mencegah daripada ketahuan, begitu mungkin prinsipnya.

Instalasi Virus Boot/Partisi

Pertama kali rutin virus aktif pada saat boot, dimulai dengan melakukan dekrip lewat rutin yang polimorfik, penentuan lokasi virus bersarang (memori konvensional-9 Kb), dan pemuatan badan virus dari daerah landing zone hard disk atau disket pada track 41/81. Lalu virus melakukan pengecekan/infeksi partisi dan menuliskan ulang tabel partisi beserta kode partisi yang sudah tertempel virus. Virus Hare untuk sementara tidak melakukan pencegatan pada vektor 13h. Penulis kira trik ini ada kaitannya dengan Windows 95, yang tujuannya mencegah cegatan virus dikenal sebagai mode kompabilitas DOS. Dilanjutkan dengan pengecekan tanggal, yaitu setiap tanggal 22 pada bulan Agustus dan September, virus menampilkan sederetan string dan melakukan aksinya. Setelah mencegat vektor 1Ch (System Timer Tick), rutin asli partisi/boot dijalankan.

Lewat Int 1Ch virus Hare mengecek apakan vektor DOS (21h) sudah diinisialiasi dan dapat segera dicegat. Proses cegat dan cek ini berulang beberapa kali, hingga pada proses terakhir virus mencegat sistem secara keseluruhan, yaitu Int 13h (Disk), Int 21h (DOS), dan Int 28h (Dos Idle). Cara yang cukup rumit ini terbukti mampu berjalan secara aman tanpa mengundang kecurigaan sistem. Namun bukan berarti tanpa kesalahan. Entah apa yang tidak benar, bila driver DBLBUFF.SYS dimuat dalam sistem, sistem operasi mogok berjalan. Setelah dicoba untuk menghapus file tersebut, barulah DOS maupun Windows berjalan dengan normal. Yang membingungkan, sebab driver tersebut biasanya akan dimuat baik dalam Windows 3.xx mapun Windows 95. Bila semuanya berjalan baik maka operasi virus selanjutnya tidak menimbulkan masalah berarti.

Dalam vektor 13h virus ini melakukan beberapa cegatan:

• 02h (Read Sector), virus akan memberikan data sektor yang asli bila dilakukan pembacaan pada lokasi boot/partisi.
• 03h (Write Sector), virus akan menulis sektor pada lokasi penyembunyian sektor asli.
• 16h (Change Status), pada kesempatan ini virus akan melakukan inisialisasi/infeksi pada disket.
• 5445h, bila AX=4554h berarti rutin virus boot/partisi telah aktif.

Rutin Polimorfik

Virus Hare mempunyai kemampuan untuk berubah-ubah kode pada awal rutin dekripnya. Padahal untuk mengetahui suatu program terinfeksi virus atau tidak, kita memerlukan suatu deretan kode yang bersifat tetap sebagai penanda virus. Biasanya deretan kode ini terletak minimal pada rutin dekripnya, karena kebanyakan virus mengenkripsi badan virusnya untuk mempersulit khalayak umum curiga atau mengetahui cara kerjanya.

Untungnya rutin polimorfik dalam virus Hare tidak rumit, dan lebih untung lagi karena virus Hare sendiri menyediakan cara tercepat untuk memulihkan file program ke bentuk semula. Setidaknya bila Hare percaya pada kemungkinan tersebut, mengapa kita tidak. Bila digambarkan maka rutin dekrip virus Hare sbb:

Pada rutin di atas, terdapat 4 kemungkinan kode dapat berubah, register isian awal (dl), operand isian (11h), operasi dekrip (xor), dan lokasi memori tujuan ([si]). Tentu saja di antara kode-kode tersebut dapat berupa kode-kode atau data-data sampah yang tidak berguna, dengan panjang yang dapat berubah-ubah. Kemungkinan lain dari kombinasi tersebut misalnya:

Dari 2 contoh di atas Anda dapat melihat ada sesuatu yang sama. Ya, kode segment override cs: (2Eh). Langkah pertama kita cari dulu lokasi awal rutin virus. Sesuai referensi dari Hare, kita baca sebanyak 32h byte, dan cari mundur kode 2Eh. Bila ditemukan dan 1 byte di depannya salah satu dari 3 kemungkinan operasi, yaitu xor, sub, dan and, maka ambil kode operand ke-2 dan cari mundur kode pengisian register, hingga didapat operand untuk proses dekrip. Dari titik ini lokasi mundur 1E6Ah merupakan awal badan virus, yang setelah kita dekrip awal perlu di-not lagi agar kode virus terbuka seluruhnya. Header asli program terletak pada ofset 16Bh dari awal badan virus.

Pada infeksi pada partisi/boot, walaupun virus Hare berulang kali menginfeksi hard disk (yang berakibat berubah-ubahnya kode partisi), namun badan virus pada lokasi persembunyiannya tidak dienkripsi. Dan untuk mengecek apakah partisi/boot telah tertular virus dapat dengan mudah dicek melalui perhitungan Word(Buf[102h]) – Word(Buf[100h]) yang bila = 0CCFFh berarti kemungkinan besar boot/partisi telah tertular virus. Pemastian lebih lanjut dengan menelusuri ke badan virusnya.

Program Serum Virus

Penulis menyertakan listing program untuk mengatasi virus Hare ini. Program ANTIHARE.PAS dibuat dengan bahasa Pascal, dan dikompilasi dengan Turbo Pascal 6.0+. Sebaiknya Turbo Pascal 7.0 seperti yang penulis gunakan. Bila Anda menggunakan Borland Pascal 7.0, atur agar target kompiler ke modus real.

Secara garis besar program ini mempunyai 3 prosedur untuk pembasmian virus Hare, yaitu:

1. PMem, mendeteksi keaktifan virus di memory. Virus Hare mampu menyusup baik di memori konvensional maupun UMB, sehingga keduanya perlu kita periksa. Dalam operasinya virus Hare mencegat 3 interrupt, yaitu 13h (Disk), 21h (fungsi DOS), dan 28h (DOS idle loop). Untuk melumpuhkannya kita cukup mencari segment awal dari lokasi virus, dan melakukan pemulihan jalur interupsi dengan urutan dan tempat yang tepat.
2. PDir, mendeteksi dan melenyapkan virus di file-file program pada direktori yang disebutkan lewat parameter. Pendeteksian meliputi seluruh program berektensi EXE, COM, BIN, OVR dan OVL. Bila diinginkan dapat dilakukan proses scan pada seluruh file, mengingat banyak file-file program yang termuat sebagai overlay atau driver sistem dengan bermacam ekstensi. Bila file positif terkena virus, maka akan segera dibersihkan dan dikembalikan seperti semula. Perhatian khusus bila file terserang lebih dari satu virus. Apabila virus Hare tidak berada pada lapisan terluar, maka program tidak mendeteksi adanya virus pada file tersebut. Hal ini sulit dicari jalan keluarnya, kecuali virus-virus yang masuk setelah Hare dibersihkan terlebih dahulu.
3. PBoot, mendeteksi dan melenyapkan virus baik di partisi maupun boot sektor. Dalam penginfeksian partisi virus Hare tidak mengembalikan konfigurasi tabel partisi, sehingga membuat hard disk tidak dikenal bila dijalankan pada sistem DOS yang bersih. Untuk itu pada setiap awal proses pembersihan, program serum akan selalu memeriksa kode partisi pada setiap hard disk yang terpasang, dan memulihkannya bila terinfeksi.

Setelah listing program ANTIHARE.PAS tersedia, panggilah program Turbo Pascal dan buka listing tersebut. Bila dalam menu Compile tersedia pilihan Destination, pastikan untuk ditujukan ke Disk, agar terbentuk file ANTIHARE.EXE. Lalu lakukan proses Compile, Run, Make atau Build, sehingga tercipta file ANTIHARE.EXE yang siap untuk dijalankan.

Atau dapat pula Anda kompilasi langsung lewat program TPC.EXE, satu paket dengan Turbo Pascal, yaitu dengan mengetikkan:

C:\>TPC ANTIKSM

bila tidak ada kesalahan maka akan tercipta file ANTIHARE.EXE.

Pemakaian Serum

Untuk menjalankan program ANTIHARE ketiklah di prompt DOS sebagai berikut:

C:\>ANTIHARE <[dir1] [dir2]…> [/S /A /C /G /N]

[dir1] [dir2]…, maksudnya adalah direktori yang dituju bisa lebih dari satu direktori. Contoh: C:\>ANTIHARE C:\DOS D:\WINDOWS A:\

/S, maksudnya apabila terdapat sub direktori maka program akan masuk ke seluruh sub direktori yang ada.

/A, artinya program tidak hanya memeriksa file-file yang berektensi EXE, COM, BIN, OVR atau OVL, namun seluruh file.

/C, artinya program serum melakukan pembersihan pada program yang terinfeksi. Bila tidak disertakan, maka program serum hanya akan melakukan pendeteksian.

/G, agar program berhenti sejenak untuk menunggu pemakai menukar disket. Hal ini diperlukan bila Anda ingin memeriksa disket lain pada komputer dengan drive tunggal.

/N, agar program tidak melakukan pencarian vektor DOS terdalam. Dalam kerjanya program serum akan berusaha memanggil langsung titik terdalam dari vektor DOS, yang tujuannya agar operasi pembersihan file dapat berlangsung lebih aman. Bila serum tidak bekerja dengan baik, gunakan parameter ini agar program bekerja secara normal. Beberapa driver mensyaratkan Anda

memanggil vektor DOS secara normal, karena driver tersebut memanipulasi fungsi-fungsi DOS secara internal. Contohnya program NETX.COM dari Novell Netware.

Ada baiknya sebelum menggunakan serum ini Anda cobakan dulu pada beberapa file untuk memastikan bahwa serum bekerja dengan baik. Juga perlu dipastikan bahwa memori dalam keadaan bebas virus (lain), agar proses berjalan sesuai yang diharapkan. Bagi pemakai Windows 95, bila program serum ini mengalami kegagalan dalam melakukan suatu proses, Anda dapat mengatasinya dengan shut down ke mode MS-DOS, dan lakukan pembersihan dari sana.

Dalam prosesnya program ini tidak mengharapkan input dari pemakai, kecuali lewat parameter. Jadi bila suatu operasi tulis file gagal, karena disket diprotek misalnya, proses terus berjalan dengan memberikan pesan kesalahan secara umum. Proses dapat diulang kembali bila kesalahan telah diperbaiki. Bila Anda ingin menghentikan proses di tengah jalan, lakukan dengan menekan Ctrl-C atau Ctrl-Break.

Penutup

Ada pepatah mengatakan, ‘Demi nila setitik rusak susu sebelanga’. Mungkin virus komputer dapat kita ibaratkan nila setitik tadi, sebab dari kehadirannya yang tak seberapa dapat merusakkan sistem komputer kita. Pemecahannya seringkali tidak semudah menginstall ulang seluruh program. Arti penting data turut menjadi pertimbangan. Tanpa pemusnahan secara tepat dan menyeluruh, jadilah nila setitik tadi sesuatu yang sangat menjengkelkan.

Akhirnya penulis berharap semoga program ini bermanfaat bagi pembaca sekalian. Komentar, saran, kritik, atau apapun silakan layangkan ke Antivirus Media untuk ditanggapi seperlunya.

Daftar Pustaka

1. David Jurgens. HelpPC v2.10 (c)1991.
2. Ralf Brown. The MSDOS Interrupt List.
3. PT Gramedia. 8088 Assembler.
4. AVP Virus Encyclopedia.

Demi Nila Setitik

Pada proses pembedahan virus ini, penulis mendapat beberapa ‘kejutan’ ringan. Pertama masalah bom waktu. Pada saat penelitian virus ini, penulis tentu saja tidak mengetahui efek apa yang akan dilakukan oleh virus ini. HUT kemerdekaan lewat 3 hari, mulailah penulis melakukan penelitian terhadap virus ini. Yah, cukup terkejut juga ketika mengetahui bahwa virus ini mempunyai ‘humor’ tidak lucu 2 hari lagi. Terpaksa tanggal sistem diamankan ‘demi kepentingan bersama’.

Tentang partisi hard disk ada kejutan lain. Kebetulan konfigurasi hard disk penulis menggunakan

LBA dengan 1022 silinder, 64 track, dan 63 sektor. Bayangkan bila silindernya 1023, terjadilah kondisi ‘tahu tapi tak tahu’. Tahu bahwa hard disk ditulis, tapi tidak tahu file apa yang bermasalah. Kondisi 4-T tadi tentu saja cukup riskan, mengingat komputer hanya akan bekerja dengan baik dalam kondisi ‘tahu sama tahu’.

Belum lagi kejutan bahwa virus mampu melakukan penulisan langsung ke hard disk. Selama ini penulis cukup percaya bahwa BIOS mampu mencegah penulisan illegal ke daerah partisi. Pada virus-virus partisi lama memang BIOS cukup berdaya untuk mengatasi hal tersebut. Dan kini, apakah fasilitas ‘Virus Warning’ tersebut masih ada ‘gunanya’?

Tentu saja penulis jadi makin penasaran dengan kejutan-kejutan lain dari virus ini. Trik-trik dan cara kerja virus penulis amati dengan seksama. Beberapa kelemahan dan keunggulan virus dianalisa dan dicatat sebagai bahan perbandingan dengan banyak virus yang lain. Hingga akhirnya terciptalah serum anti virus Hare ini. Minimal penulis mengetahui teknologi baru yang akan dikembangkan oleh pembuat virus.

Dan para pembuat virus mungkin akan berseru: ‘Tunggulah kejutan berikutnya’.

Listing Program

{$S-,R-,I+,G+,X+,A+,B-}
{$M 7505,0,0}
{***********************************************}
{ File:      ANTIHARE.PAS => ANTIHARE.EXE       }
{ Deskripsi: Anti Virus Hare.7786               }
{ Kompiler:  Turbo Pascal 6.0+, Borland, Inc    }
{ Utilitas:  Debug.Exe, Microsoft, Corp         }
{ Penulis:   M. Harjono                         }
{ Tanggal:   30 Agustus 1997                    }
{ Dedikasi:  * Pembaca Antivirus Media          }
{            * BL-TI-93                         }
{              (kapan skripsi diganti kliping?) }
{ (c)1997 Antivirus Media                       }
{***********************************************}

program Anti_Virus_Hare;
uses
  Dos;
type
  R_Exe = record
    MZ: Word;
    _Mod: Word;
    _Div: Word;
    Rel: Word;
    Hed: Word;
    _M1,_M2: Word;
    _SS,_SP: Word;
    CkSum: Word;
    _IP,_CS: Word;
  end;
  R_Com = record
    Kod: Byte;
    JMP: Word;
  end;
  R_PL = record
    Lo,Hi: Word;
  end;
  Com = ^R_Com;
  P_W = ^Word;
  R_Pch = record
    Lc: Word;
    Kb: Word;
    Kj: Word;
  end;
  R_Dat = record
    La: Word;
    Ld: Word;
    Id: array[1..8] of Byte;
  end;
const
  HareD: R_Dat =
    (La:$14;Ld:$16B;Id  $B8,$23,$FE,$CD,$21,$3D,$0D,$00));
  BnPch = 3;
  HareJ: array[1..BnPch] of R_Pch =
    ((Lc:$038E;Kb:$FC80;Kj:$45EB),
     (Lc:$17EF;Kb:$5350;Kj:$31EB),
     (Lc:$1B47;Kb:$FA81;Kj:$3FEB));
  HareMundur = $1E6A;
  Batal: Byte = 0;
  Par_Tidak: set of 0..15 = [];
  Pil: set of 0..7 = [];
  BnExt = 5;
  DaftExt: array[1..BnExt*3] of Char =
    'EXECOMBINOVROVL';
  DevBaca  = $02;
  DevTulis = $03;
var
  Kena,Proses,NSubDir: word;
  Buf: array[0..$1FF] of Byte;
  BnHd: Byte;
  Int13h: Pointer;

function CekIdVir(PjC: Word; var BufM): Shortint; assembler;
asm
  {-- cari awal virus --}
  les di,BufM
  lea si,HareD.Id
  mov cx,PjC
  cld
  lodsb
@@L1:
  repnz scasb
  jnz @@U1
  push si
  push di
  push cx
  mov cx,type HareD.Id-1
  repz cmpsb
  pop cx
  pop di
  pop si
  jnz @@L1
  xchg cx,ax
  mov cl,1
@@U1:
  xchg cx,ax
end;

function MCBAkhir(Pil: Byte): Word; assembler;
asm
  {-- init UMB_Konv --}
  mov dl,-1
  mov ax,5802h
  int 21h
  jc @@4
  xchg dx,ax
  mov ax,5803h
  xor bx,bx
  int 21h
  jnc @@4
  mov dl,-1
@@4:
  push dx
  xor si,si
  xor dx,dx
  cmp Pil,dl
  jz @@Konv
{-- mulai dari UMB --}
  int 12h
  mov cl,6
  shl ax,cl
  dec ax
  mov es,ax
  cmp word ptr es:[8],'CS'
  xchg dx,ax
  jnz @@3
  jmp @@1
{-- mulai dari MCB pertama --}
@@Konv:
  mov ah,52h
  int 21h
  mov dx,es:[bx-2]
{-- telusuri MCB --}
@@1:
  mov es,dx
  mov al,es:[si]
  cmp al,5Ah
  jz @@2
  cmp al,4Dh
  mov ax,si
  jnz @@3
  add dx,es:[si+3]
  inc dx
  jmp @@1
@@2:
  add dx,es:[si+3]
  inc dx
  mov es,dx
{-- cari Id virus --}
  mov ax,$4000    {16K byte akhir}
  push ax
  xor di,di
  push es
  push di
  call CekIdVir
  jnz @@3
  xchg cx,ax
  not ax
  add ax,$4000
  sub ax,HareD.La
  mov cl,4
  shr ax,cl
  add ax,dx
@@3:
  {-- kembalikan mem alloc stra --}
  xchg dx,ax
  pop ax
  cmp al,-1
  jz @@5
  cbw
  xchg bx,ax
  mov ax,5803h
  int 21h
@@5:
  xchg dx,ax
end;

procedure Kondisi(K: Shortint);
begin
  case K of
   -1: Writeln(' [terinfeksi, gagal dipulihkan]');
   -2: Writeln(' [terinfeksi]');
    0: Writeln(' [ok]');
    1: Writeln(' [terinfeksi, dipulihkan]');
  end;
end;

procedure WinKrit(M: Word); assembler;
asm
  mov ax,$1680
  add ax,M
  int 2Fh
end;

procedure PMem;
var
  Seg,I,J: Word;
  Kena: Shortint;
begin
  Kena := 0;
  for J := 0 to 1 do
  begin
    Seg := MCBAkhir(J);
    if (Seg<>0) then
      for I := 1 to BnPch do
        with HareJ[I] do
          if (MemW[Seg:Lc] = Kb) then
          begin
            WinKrit(1);
            MemW[Seg:Lc] := Kj;
            WinKrit(2);
            Kena := 1;
          end;
  end;
  Kondisi(Kena);
end;

function RqDev(Op,Dr:Byte; Hd,Tr,Sc:Word): Shortint; assembler;
asm
  lea bx,Buf
  push ds
  pop es
  mov dx,Hd
  xchg dh,dl
  mov dl,Dr
  mov cx,Tr
  xchg ch,cl
  ror cl,1
  ror cl,1
  mov di,Sc
  inc di
  and di,$3F
  or cx,di
  mov di,3
  cmp dl,$80
  jb @@3
  dec di
  dec di
@@3:
  push dx
  xor ax,ax
  pushf
  call Int13h
  pop dx
  mov ah,Op
  mov al,01
  pushf
  call Int13h
  jnc @@U
  dec di
  jnz @@3
  stc
@@U:
  mov al,0
  sbb al,0
end;

procedure PBoot(_Drv: Byte);
var
  _Hd,_Tr,_Sc: Word;
  Kena: Shortint;
begin
  Kena := 0;
  if (RqDev(DevBaca,_Drv,0,0,0) = 0) and
    (P_W(@Buf[$102])^-P_W(@Buf[$100])^ = $CCFF) then
  begin
    if (_Drv<$80) then
    begin
      _Hd := $01;
      _Sc := $00;
      _Tr := $51;
      if (Buf[$15]=$FD) then
        _Tr := $29;
    end
    else
    asm
      mov ah,$08
      mov dl,_Drv
      int 13h
      inc ch
      dec dh
      mov ax,cx
      and cl,$3F
      sub cl,$11
      mov ch,0
      mov _Sc,cx
      mov cl,6
      shr al,cl
      xchg ah,al
      mov _Tr,ax
      xchg dh,dl
      mov dh,0
      mov _Hd,dx
    end;
    if (RqDev(DevBaca,_Drv,_Hd,_Tr,_Sc)=0) and
      (CekIdVir($100,Buf)=1) then
    begin
      {-- ambil sektor asli dan kembalikan --}
      Kena := -1;
      if not(3 in Pil) then
        Kena := -2
      else
        if (3 in Pil) and (RqDev(DevBaca,_Drv,_Hd,_Tr,_Sc+$10) = 0) and
           (RqDev(DevTulis,_Drv,0,0,0) = 0) then
          Kena := 1;
    end;
  end;
  if (_Drv<$80) then
  begin
    if (Kena<>0) then
    begin
      Write('   Boot Sektor');
      Kondisi(Kena);
    end;
  end
  else
    Kondisi(Kena);
end;

function CekHare(PjC: Word; var Buf): Word; assembler;
asm
  les di,Buf
  std
  mov al,2Eh
  mov cx,PjC
  xor dx,dx
  jcxz @@1
  repnz scasb
  jnz @@1
  mov ax,es:[di+2]
  cmp al,30h    {xor}
  jz @@2
  cmp al,00h    {add}
  jz @@2
  cmp al,28h    {sub}
  jnz @@1
@@2:
  xchg ah,al
  test al,$C0   {cek mod=00}
  jnz @@1
  mov cl,3
  shr al,cl
  add al,$B0    {kode reg}
  mov cl,$32
  repnz scasb
  jnz @@1
  mov al,es:[di+2]
  xchg dx,ax
@@1:
  cld
  xchg dx,ax
end;

function Dekrip(Dek: Word; var BufH): Longint; assembler;
asm
  lea si,Buf
  mov cx,type Buf
  mov ax,Dek
  xchg ah,al
  add al,4
  mov word ptr cs:[@@2],ax
  cld
  jmp @@1
@@1:
  lodsb
@@2:
  xor al,$00    {-tetap-}
  not al
  mov ds:[si-1],al
  loop @@1
  {-- cari awal virus --}
  mov ax,type Buf
  push ax
  lea di,Buf
  push ds
  push di
  call CekIdVir
  jnz @@U
  not cx
  add cx,type Buf
  sub cx,HareD.La
  {-- pindahkan data prog ke bufh --}
  add di,HareD.Ld
  sub di,HareD.La
  lea si,[di-1]
  les di,BufH
  cmp byte ptr ds:[si+7*2],01  {EXE?}
  jz @@3
  lodsw
  stosw
  lodsb
  stosb
  mov ax,type R_Com
  jmp @@U
@@3:
  lodsw
  mov es:[di.R_Exe._IP],ax
  lodsw
  mov es:[di.R_Exe._CS],ax
  lodsw
  mov es:[di.R_Exe._SP],ax
  lodsw
  mov es:[di.R_Exe._SS],ax
  lodsw
  mov es:[di.R_Exe._Mod],ax
  lodsw
  mov es:[di.R_Exe._Div],ax
  mov ax,type R_Exe
@@U:
  mov dx,cx
end;

{$I-}
function PulihFile(NmF: string): shortint;
var
  F1: file;
  BufH: R_Exe;
  PjBc,Attr,Dek: Word;
  LokV,Wkt,LokD: Longint;

procedure PrsFile;
begin
  PulihFile := 0;
  FileMode := 0;
  Reset(F1,1);
  if (InOutRes <> 0) then
    Exit;
  BlockRead(F1,BufH,SizeOf(BufH),PjBc);
  if (PjBc<>SizeOf(BufH)) then
    Exit;
  if (BufH.MZ = $4D5A) or (BufH.MZ = $5A4D) then
  begin
    with BufH do
      LokV := Longint(hed+_cs)*$10 + _ip;
  end
  else
  begin
    with Com(@BufH)^ do
      if (Kod=$E9) then
        LokV := JMP + 3
      else
        Exit;
  end;
  Seek(F1,LokV);
  BlockRead(F1,Buf,$40,PjBc);
  Dek := CekHare(PjBc,Buf[PjBc-1]);
  if (Dek=0) then
    Exit;
  Seek(F1,LokV-HareMundur);
  BlockRead(F1,Buf,SizeOf(Buf),PjBc);
  LokD := Dekrip(Dek,BufH);
  if R_PL(LokD).Lo=0 then
    Exit;
  {-- positif bervirus --}
  PulihFile := -2;
  if not (3 in Pil) then
    Exit;
  PulihFile := -1;
  Close(F1);
  GetFAttr(F1,Attr);
  if (Attr and ReadOnly = ReadOnly) then
    SetFAttr(F1,Attr and not(ReadOnly));
  FileMode := 2;
  Reset(F1,1);
  if (InOutRes<>0) then
    Exit;
  GetFTime(F1,Wkt);
  Seek(F1,0);
  BlockWrite(F1,BufH,R_PL(LokD).Lo,PjBc);
  if (PjBc=0) or (InOutRes<>0) then
    Exit;
  Seek(F1,(LokV-HareMundur)-R_PL(LokD).Hi);
  Truncate(F1);
  if (InOutRes<>0) then
    Exit;
  Dec(Wkt);
  SetFTime(F1,Wkt);
  if (Attr and ReadOnly = ReadOnly) then
    SetFAttr(F1,Attr);
  PulihFile := 1;
end;

begin
  Assign(F1,NmF);
  PrsFile;
  Close(F1);
  InOutRes := 0;
end;
{$I+}

{-- cari vektor 21h asli --}
function Vektor21h: Pointer; assembler;
asm
  push ds
  mov ax,PrefixSeg
  mov ds,ax
  mov si,$0005
  xor bx,bx
  xor dx,dx
  cld
@@3:
  lodsb
  cmp al,$9A
  jz @@1
  cmp al,$EA
  jnz @@2
@@1:
  lds si,ds:[si]
  jmp @@3
@@2:
  add si,4
  lodsw
  cmp ax,$FF2E
  jnz @@4
  lodsb
  cmp al,$2E
  jnz @@4
  lodsw
  xchg si,ax
  les di,ds:[si]
  mov cx,$0100
@@5:
  mov al,$FA
  repnz scasb
  jnz @@4
  cmp word ptr es:[di],$FC80
  jnz @@5
  mov dx,es
  lea bx,[di-1]
@@4:
  pop ds
  xchg bx,ax
end;

{-- konversi huruf kecil mjd besar --}
procedure HBesar(var S); assembler;
asm
  les di,S
  xor cx,cx
  mov cl,es:[di]
  jcxz @@L3
  cld
  inc di
@@L1:
  mov al,es:[di]
  cmp al,'a'
  jb @@L2
  cmp al,'z'
  ja @@L2
  sub al,$20
@@L2:
  stosb
  loop @@L1
@@L3:
end;

{-- cek ekstensi file terdaftar --}
function CekNmf(var Buf): Boolean; assembler;
asm
  mov dl,0
  les di,Buf
  mov al,'.'
  xor cx,cx
  mov cl,es:[di]
  inc di
  cld
  repnz scasb
  jnz @@1
  cmp cx,3
  jnz @@1
  lea si,DaftExt
  mov bx,BnExt
@@2:
  push si
  push di
  push cx
  repz cmpsb
  pop cx
  pop di
  pop si
  jz @@3
  add si,cx
  dec bx
  jnz @@2
  jmp @@1
@@3:
  mov dl,1
@@1:
  xchg dx,ax
end;

{$S+}
procedure PDir(S: PathStr);
var
  SR: SearchRec;
  Kond: Shortint;
begin
  Inc(NSubDir);
  FindFirst(S+'*.*',AnyFile,SR);
  while (DosError=0) and (Batal=0) do
  begin
    if (SR.Name[1] <> '.') and (SR.Attr and VolumeID <> VolumeID) then
    begin
      if (SR.Attr and Directory = Directory) then
      begin
        if (1 in Pil) then
        begin
          WriteLn(#13'Periksa ',S+SR.Name,' ':10);
          PDir(S+SR.Name+'\');
        end;
      end
      else
      begin
        if (2 in Pil) or CekNmf(Sr.Name) then
        begin
          Inc(Proses);
          Write(#13,SR.Name:14);
          Kond := PulihFile(S+SR.Name);
          if (Kond<>0) then
          begin
            Kondisi(Kond);
            Inc(Kena);
            while (Kond=1) and (PulihFile(S+SR.Name)=1) do;
          end;
        end;
      end;
    end;
    FindNext(SR);
  end;
end;
{$S-}

function DriveDisket(Drv: Byte): Boolean; assembler;
asm
  mov ax,$4408
  mov bl,Drv
  int 21h
  mov dl,0
  jc @@1
  or al,al
  jnz @@1
  inc dx
@@1:
  xchg dx,ax
end;

function DriveAktif: Byte; assembler;
asm
  mov ah,$19
  int 21h
end;

procedure TungguEnter; assembler;
asm
@@1:
  mov ax,$0C08
  int 21h
  cmp al,13
  jnz @@1
end;

procedure IntNull; assembler;
asm
  mov al,03
  iret
end;

procedure CekBreak; assembler;
asm
  push ax
  push ds
  mov ax,Seg @Data
  mov ds,ax
  inc Batal
  pop ds
  pop ax
  iret
end;

const
  TotPar = 5;
  DafPar: array[1..TotPar] of Char = 'SACGN';
var
  Par: string[128];
  I,P,J: Byte;
  Drv: Byte;
  Int21h: Pointer;
begin
  WriteLn(#13#254' Anti Virus Hare  v1.01.001'#10+
          #13#254' Dibuat oleh M. Harjono'#10+
          #13#254' (c)1997 Antivirus Media'#10);
  P := ParamCount;
  if (P = 0) then
  begin
    Writeln('Sintak: ANTIHARE <[dir1] [dir2]...> [/s /a /c /g /n]'#10#13+
            '  /s = masuk sub direktori'#10#13+
            '  /a = proses semua file'#10#13+
            '  /c = deteksi dan bersihkan'#10#13+
            '  /g = tunggu ganti disket'#10#13+
            '  /n = vektor 21h normal');
    Exit;
  end;
  {-- olah parameter --}
  for I := 1 to P do
  begin
    Par := ParamStr(I);
    HBesar(Par);
    if (Length(Par)=2) and (Par[1]='/') then
    begin
      for J := 1 to TotPar do
        if (Par[2]=DafPar[J]) then
          Pil := Pil + [J];
      Par_Tidak := Par_Tidak + [I];
    end;
  end;
  {-- init program --}
  GetIntVec($13,Int13h);
  Int21h := Vektor21h;
  if (Int21h<>nil) and not(5 in Pil) then
    SetIntVec($21,Int21h);
  {---}
  SetIntVec($21,SaveInt21);
  {---}
  SetIntVec($23,@CekBreak);
  SetIntVec($24,@IntNull);
  Kena := 0;
  Proses := 0;
  NSubDir := 0;
  {-- periksa memori --}
  Write('Cek Memori....');
  PMem;
  {-- periksa partisi --}
  BnHd := Mem[$40:$75];
  if (BnHD<>0) then
  begin
    for I := 1 to BnHd do
    begin
      Write('Cek Partisi..',I-1);
      PBoot($7F+I);
    end;
  end;
  {-- periksa boot/file --}
  for I := 1 to P do
  begin
    if not (I in Par_Tidak) then
    begin
      Par := ParamStr(I);
      HBesar(Par);
      if (Par[length(Par)] <> ':') and (Par[length(Par)] <> '\') then
      begin
        Inc(Par[0]);
        Par[Length(Par)] := '\';
      end;
      Writeln(#13'Periksa ',Par,' ':10);
      Drv := DriveAktif;
      if (Par[2] = ':') and (Par[1] in ['A'..'Z']) then
        Drv := Ord(Par[1])-Ord('A');
      if (Drv<=1) and (DriveDisket(Drv+1)) then
      begin
        if (4 in Pil) then
        begin
          Write(' <Tekan Enter> '#13);
          TungguEnter;
        end;
        PBoot(Drv);
      end;
      PDir(Par);
    end;
  end;
  Writeln(#13'Hasil:        '#13#10+
          '  Direktori = ',NSubDir:6,#13#10+
          '  File      = ',Proses:6,#13#10+
          '  Terkena   = ',Kena:6,#13#10);
end.