WaterMark.exe

Sebel banget kalo pas lagi nyolokin flashdisk tapi tiba-tiba muncul file asing yang tidak saya butuhkan. Ada 4 buah file Shortcut di Flash Disk saya. Saya merasa tidak pernah membuat shortcut tersebut, tetapi mengapa setiap saya delete lalu saya refresh shortcut itu kembali muncul? Apa anda tau penyebab munculnya file Shortcut tersebut?? akhirnya saya mengerti bahwa file Shortcut tersebut disebabkan oleh Virus yang sangat mennganggu dan menyebalkan yaitu WaterMark.exe

Akhirnya ketahuan juga bahwa komputer saya sudah ikut terinfeksi WaterMark.exe ini. :( Sebel rasanya,, mengganggu banget karena setiap saya hapus pasti nongol lagi?? Ada dua varian dari Watermark.exe dengan nama yang sama tetapi dengan ukuran yang berbeda 151KB dan 305KB. WaterMark.exe menginstal dirinya di:

C:\Program Files\Microsoft\WaterMark.exe

Virus tersebut menambahkan value Registry,

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="c:\\windows\\system32\\userinit.exe,,c:\\program files\\microsoft\\watermark.exe"

WaterMark.exe menambahkan 2 file ke dalam System:
- C:\Program Files\Microsoft\WaterMark.exe (151KB/305KB)
- C:\WINDOWS\system32\dmlconf.dat (1KB)

Pada FlasDisk WaterMark juga membuat file:
- autorun.inf (15Kb)
- Copy of Shortcut to (1).lnk (1KB)
- Copy of Shortcut to (2).lnk (1KB)
- Copy of Shortcut to (3).lnk (1KB)
- Copy of Shortcut to (4).lnk (1KB)

Membuat Folder "RECYCLER" didalamnya ada folder lagi dengan nama seperti;
- S-5-7-51-5266061654-6167722558-032776041-4185
- S-6-0-12-4228700514-1165145552-202750676-0473
- S-7-1-70-4478073632-8528381075-317746635-7146

Di dalam folder tersebut ada 2 file (*.exe dan *.cpl) dengan nama yang selalu berubah dan berbeda pada setiap folder yang dibuatnya;
- ICwwfcOT.exe (151KB)
- srSxgrbJ.cpl (4KB)

Shortcut, autorun.inf dan folder RECYCLER hanya di infeksikan pada Removable Disk seperti USB FlashDisk, tidak berlaku pada Local Disk seperti Hard Disk komputer serta Hardisk External.

WaterMark.exe menjalankan proses svchost.exe dengan username anda sendiri bukan dengan username SYSTEM, LOCAL SERVICE, atau NETWORK SERVICE.

Untuk mengatasinya,
1. Matikan Proses svchost.exe yang memakai username anda

2. Hapus file
- C:\Program Files\Microsoft\WaterMark.exe (151KB/305KB)
- C:\WINDOWS\system32\dmlconf.dat (1KB)

3. Hapus string registri;

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="c:\\windows\\system32\\userinit.exe,,c:\\program files\\microsoft\\watermark.exe"

menjadi

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="c:\\windows\\system32\\userinit.exe"

4. Refresh/Reboot your Machine!

5. Jika masih belum berhasil, Install Ulang windows anda!