Penanganan Dua Pop-up Windows Script Host dan Indikasi Aktivitas Malware

Penanganan ini dilakukan terhadap dua laptop klien yang mengalami gangguan Windows Script Host akibat sistem masih mencoba menjalankan file skrip berekstensi .vbs yang sudah tidak tersedia. Meskipun memiliki gejala serupa, kedua kasus memiliki sumber dan pola kemunculan yang berbeda.

Pada kasus pertama, laptop menampilkan pop-up Windows Script Host secara terus-menerus atau popup storm dengan pesan bahwa Windows tidak dapat menemukan file:
C:\ProgramData\MicrosoftDefenderA\MicrosoftDefenderA-{kode-acak}.vbs

Nama folder MicrosoftDefenderA, penambahan huruf “A”, serta penggunaan file .vbs dengan nama acak menunjukkan indikasi kuat adanya malware atau program berbahaya yang menyamar sebagai Microsoft Defender. Folder tersebut bukan lokasi resmi Microsoft Defender pada Windows. Kemungkinan file utama malware telah terhapus sebagian, tetapi mekanisme pemanggil otomatisnya masih tersimpan dalam Scheduled Task atau Registry Run Key. Akibatnya, Windows terus mencoba menjalankan file yang sudah tidak tersedia dan menghasilkan pop-up berulang.

Penanganan kasus pertama dilakukan dengan menghentikan seluruh proses wscript.exe melalui Task Manager, menghapus Scheduled Task yang mengarah ke folder MicrosoftDefenderA, membersihkan entri registry yang memanggil file .vbs, serta menghapus folder mencurigakan di C:\ProgramData\MicrosoftDefenderA. Setelah itu, sistem dipindai menggunakan perangkat keamanan tepercaya untuk memastikan tidak terdapat komponen malware lain yang masih aktif.

Pada kasus kedua, pop-up Windows Script Host muncul setiap kali charger laptop dihubungkan. Pesan tersebut menunjukkan bahwa Windows tidak dapat menemukan file:
C:\Users\Public\script.vbs

Proses diagnosis dilakukan melalui teknik prompting, yaitu memberikan serangkaian perintah pemeriksaan secara bertahap menggunakan PowerShell dan Command Prompt. Teknik ini digunakan untuk menelusuri Scheduled Task, program yang dieksekusi, argumen perintah, status task, serta aplikasi yang berkaitan dengan pemanggilan file tersebut.

Hasil pemeriksaan menemukan Scheduled Task bernama:
MasterPackager.Updater

Task tersebut menjalankan perintah:
wscript.exe C:\Users\Public\script.vbs

Pemeriksaan lanjutan menunjukkan bahwa aplikasi Master Packager tidak terdaftar sebagai aplikasi yang terpasang. Hal ini mengindikasikan bahwa task tersebut merupakan sisa program lama, konfigurasi yang tidak terhapus dengan sempurna, atau task mencurigakan yang menggunakan nama aplikasi tertentu. Task kemudian dihentikan, dinonaktifkan, dan dihapus agar Windows tidak lagi mencoba menjalankan file yang sudah hilang.

Pada kedua kasus, komponen resmi Windows wscript.exe tidak dihapus karena merupakan bagian sah dari Windows Script Host. Penanganan difokuskan pada file .vbs mencurigakan, Scheduled Task, registry entry, dan konfigurasi otomatis yang menjadi sumber gangguan. Setelah proses pembersihan selesai, laptop diuji kembali dan dilakukan pemindaian keamanan untuk memastikan pop-up tidak muncul lagi serta sistem berada dalam kondisi aman.