Teknik Khusus Pada Malware

lanjutan dari >> Membuat Virus Malware

—————–
IsDebuggerPresent
—————–
Cek untuk melihat apakah proses saat ini sedang di debug, fungsi ini sebagai bagian dari
teknik anti-debugging.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/ms680345(v=vs.85).aspx

—————–
OutputDebugString
—————–
menghasilkan Output string ke debugger jika sedang dalam debug.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa363362(v=vs.85).aspx

————————–
CheckRemoteDebuggerPresent
————————–
Fungsi untuk melihat atau melakukan cek apakah proses tertentu atau proses diri sendiri sedang di debug.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/ms679280(v=vs.85).aspx
=======================================================
Lainnya,seperti akses internet,jaringan dan sebagainya
=======================================================

———————
AdjustTokenPrivileges
———————
Digunakan untuk mengaktifkan atau menonaktifkan hak akses tertentu pada proses. Biasanya Malware yang
melakukan injeksi pada proses sering memanggil fungsi ini untuk mendapatkan hak akses tambahan.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa375202(v=vs.85).aspx

——
BitBlt
——
Digunakan untuk menyalin data grafis dari satu perangkat ke perangkat lainnya.
Spyware kadang-kadang menggunakan fungsi ini untuk menangkap screenshot. Fungsi ini sering
ditambahkan oleh compiler sebagai bagian dari kode perpustakaan.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/dd183370(v=vs.85).aspx

———————–
GetSystemDefaultLangId
———————–
Mendapatkan pengaturan default bahasa untuk sistem. Hal ini dapat digunakan
untuk menyesuaikan menampilkan dan nama file, sebagai bagian dari survei dari korban
yang terinfeksi, atau dengan malware “patriotik” yang mempengaruhi sistem hanya dari daerah atau negara
tertentu.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/dd318120(v=vs.85).aspx

————-
NetShareEnum
————
Digunakan untuk menghitung atau kalkulasi jaringan yang di shared.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/bb525387(v=vs.85).aspx

——————–
NtQueryDirectoryFile
——————–
Mendapatkan informasi tentang file dalam direktori. Rootkit biasanya menghubungkan
fungsi ini untuk menyembunyikan file.
Link : http://msdn.microsoft.com/en-us/library/windows/hardware/ff556633(v=vs.85).aspx

————–
VirtualAllocEx
————–
Sebuah rutinitas memori-alokasi yang dapat mengalokasikan memori dalam proses remote.
Malware menggunakan VirtualAllocEx sebagai bagian dari proses injeksi.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa366890(v=vs.85).aspx

—————-
VirtualProtectEx
—————-
Perubahan perlindungan pada daerah memori. Malware dapat menggunakan ini
berfungsi untuk mengubah bagian read-only dari memori untuk dieksekusi.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa366899(v=vs.85).aspx

——————
WriteProcessMemory
——————
Digunakan untuk menulis data ke proses remote. Malware menggunakan WriteProcessMemory
sebagai bagian dari proses injeksi.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/ms681674(v=vs.85).aspx

————
GetTickCount
————
Mengambil jumlah milidetik sejak boot berlangsung. Fungsi ini
kadang-kadang digunakan untuk mengumpulkan informasi waktu.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/ms724408(v=vs.85).aspx

—————-
InternetOpenUrl
—————-
Membuka URL tertentu untuk koneksi menggunakan FTP, HTTP, HTTPS atau.
URL
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa385098(v=vs.85).aspx

—————-
InternetReadFile
—————-
Membaca data dari URL yang sebelumnya dibuka.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa385103(v=vs.85).aspx

—————–
InternetWriteFile
—————-
Menulis data ke URL yang sebelumnya dibuka.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa385128(v=vs.85).aspx

————–
IsWoW64Process
————–
Digunakan oleh proses 32-bit untuk menentukan apakah proses yang berjalan itu adalah proses 64-bit
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/ms684139(v=vs.85).aspx

——————————
Wow64DisableWow64FsRedirection
——————————
Menonaktifkan File redirection yang terjadi di 32-bit file yang dimuat pada sistem 64-bit.
Jika aplikasi 32-bit membuat file ke \Windows\System32 setelah memanggil fungsi ini,
maka akan membuat file secara tepat ke \Windows\System32 bukan diarahkan ke \Windows\SysWOW64.
Link : http://msdn.microsoft.com/en-us/library/windows/desktop/aa365743(v=vs.85).aspx