Basmi virus 'Sandra Dewi Bugil'

Sama seperti virus lain pada umumnya, virus Sandra Dewi menggunakan removable drive alias flash disk sebagai sarana penyebaran dirinya. File yang akan di buat virus yaitu Sandra Dewi Bugil.exe

Berikut langkah pembersihannya:

* Sebaiknya putuskan hubungan komputer yang akan dibersihkan dari jaringan.
* Matikan 'System Restore' selama proses pembersihan virus (untuk Windows XP/Vista)
* Matikan proses virus yang aktif di memori. Gunakan tools pengganti task manager, seperti Process Explorer (dapat anda download pada alamat berikut) http://www.sysinternals.com/utils/index.html

* Lakukan kill process, pada beberapa file virus yang aktif yaitu :
o C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Sandra Dewi Bugil.exe
o C:\WINDOWS\ Sandra Dewi Bugil.exe (lihat gambar 10)

* Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

[Version]
Signature="$Chicago$"
Provider=Vaksincom Oyee
[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del
[UnhookRegKey]
HKCR, batfile\shell\open\command,,,"""%1"" %*"
HKCR, comfile\shell\open\command,,,"""%1"" %*"
HKCR, exefile\shell\open\command,,,"""%1"" %*"
HKCR, piffile\shell\open\command,,,"""%1"" %*"
HKCR, lnkfile\shell\open\command,,,"""%1"" %*"
HKCR, scrfile\shell\open\command,,,"""%1"" %*"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"
HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001,1
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, DefaultValue, 0x00010001,2
[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableMsConfig
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr
HKCU, Software\Policies\Microsoft\Windows\system, DisableCMD
HKCU, Software\Microsoft\Internet Explorer\Main, Window Title
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFind
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoClose
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoControlPanel
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoRun
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoStartMenuMorePrograms
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewContextMenu
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewOnDrive
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, StartMenuLogoff

Gunakan notepad, kemudian simpan dengan nama 'repair.inf' (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan). Jalankan repair.inf dengan klik pada menu File pada windows explorer, kemudian pilih install. Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

* Hapus file virus yang mempunyai ciri-ciri sebagai berikut:
+ Icon gambar (JPEG Image)
+ Extension exe
+ Ukuran 132 kb

Catatan:
o Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.
o Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe yang mempunyai ukuran 133 KB.
o Hapus file virus yang biasanya mempunyai date modified yang sama. (lihat gambar 11)

* Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik. Anda dapat pula menggunakan tools Norman Malware Cleaner yang dapat anda download pada http://normanasa.vo.llnwd.net/o29/public/Norman_Malware_Cleaner.exe

Virus lokal w32/agent.fuvr

ARP Spoofing: Keganasan W32/Agent.FUVR
Tutup celah keamanan di jaringan komputer yang Anda kelola dan waspadai keganasan virus W32/Agent.FUVR yang memanfaatkan teknik ARP Spoofing.

Sebelum Windows XP SP2 diluncurkan, cara favorit virus menyebarkan dirinya adalah dengan mengeksploitasi celah keamanan sistem operasi, seperti Windows 98, 2000 / NT Workstation, Windows Server NT/2000, dan Windows XP. Hal ini terlihat ketika CodeRed dan Slapper sukses masuk ke IIS Server berbasis Microsoft serta Apache di Linux.

Pengembang sistem operasi dan aplikasi­ tidak tinggal diam. Mereka menganalisis penyebab celah keamanan tersebut dapat dieksploitasi oleh virus. Sebagai informasi, celah keamanan adalah kelemahan dalam sistem sehingga dapat dimanfaatkan oleh pihak yang tidak bertanggung jawab. Celah keamanan akan selalu ada dan ditemukan setiap harinya. Celakanya, virus yang meng­eksploitasi celah keamanan akan menguasai komputer yang diserangnya sekalipun perangkat tersebut terlindungi dengan antivirus yang di-update. Solusinya, Anda harus rajin melakukan patching untuk menutup celah keamanan tersebut.

Mengapa celah keamanan itu selalu ada? Apakah sengaja diciptakan oleh pembuat aplikasi agar bisnis mereka tetap berjalan? Penjelasannya, software adalah ciptaan­ manusia. Apapun yang dihasilkan oleh manusia, tentu tidak sempurna. Pengembangan software terkini dapat menghasilkan ukuran file yang cukup besar.­ Sangat sulit rasanya menciptakan sebuah aplikasi yang sempurna dan terbebas dari celah keamanan.

Oleh karena itu, pertanyaan yang tepat diajukan berkaitan dengan keamanan data adalah, apakah hacker ingin mengeksploitasi sistem operasi tersebut atau tidak? Dan, apakah sistem operasi tersebut cukup menantang untuk diserang? Banyak fakta yang mendukung kenyataan di atas, seperti keberhasilan sis­tem­ operasi Macintosh yang dieksploitasi dalam kompetisi hacking.

Jawabannya: Automatic Patching
Keberhasilan CodeRed dan Slapper menyerang sebuah sistem disebabkan server yang berhasil ditaklukkan belum melakukan patching secara berkala. Hal ini karena tenggang­ waktu antara ditemukannya celah keamanan dan keluarnya patch sangat panjang, mencapai waktu lebih dari 30 hari. Akibatnya, virus yang mengeksploitasi celah keamanan memiliki tenggang waktu sekitar 30 hari untuk merusak sistem tanpa ada yang mencegahnya. Untuk diketahui bersama, waktu yang dibutuhkan oleh virus mencapai penyebaran secara maksimal ke seluruh dunia adalah kurang dari satu minggu.

Pengembang aplikasi dan sistem operasi belajar dari kejadian tersebut. Tenggang waktu untuk mengeluarkan sebuah patch semakin dipersempit dan puncaknya ketika Service Pack 2 Windows XP diluncurkan. Sejak itu, virus yang mengeksploitasi celah keamanan menurun drastis dan penyebarannya cukup terhambat. Hal ini semakin baik ketika Windows Vista di luncurkan. Berbeda dengan Windows sebelumnya, konfigurasi awal Vista adalah “Automatic Update”. Jadi, setiap kali Windows Vista di instalasikan ke PC, secara otomatis, PC tersebut sudah dapat melakukan automatic update untuk patching dirinya sehingga memungkinkan terjadi­nya Zero Day Vulnerability.

Perkembangan selanjutnya menunjukkan masalah ancaman virus masih jauh dari selesai dan pembuat malware berusaha mencari teknik terbaru untuk mencapai tujuannya, yaitu mengusai komputer atau sistem yang ada. Kini yang menjadi target utama eksploitasi adalah non-sistem operasi yang popu­ler, seperti Adobe, Firefox, IE, Winamp, dan sebagainya. Prinsipnya, pembuat malware ingin­ mendapatkan dampak maksimal. Celakanya, yang memiliki celah keamanan bukan hanya aplikasi saja, tetapi juga hardware dan sistem IP Address.

Hal ini terlihat dari perkembangan virus terbaru yang memanfaatkan celah keamanan ARP (Address Resolution Protocol) atau dikenal APR (ARP Poison Routing). Virus ini sukses menyebar di seluruh dunia dan celakanya, tidak ada cara yang efektif untuk menjamin jaringan komputer tidak dieksploitasi oleh virus ini kecuali memaksimalkan hardware jaringan yang terpasang dengan menerapkan feature “DHCP Snooping”.

Indikasi
Jika koneksi Internet di kantor mengalami kelambatan atau ketika Anda menjalankan Yahoo Messenger lalu mendapatkan pesan “An error has occured in the script on this page”, kemungkinan besar jaringan yang Anda gunakan telah terinfeksi virus W32/Agent.FUVR.

Aksi virus W32/Agent.FUVR adalah sebagai berikut :

* Windows XP tanpa antivirus / antivirus tidak terupdate. Tidak ada gejala apa-apa dan dapat langsung terinfeksi, sekaligus menjadi host virus di jaringan.


* Windows XP dengan antivirus di-update dan mampu mendeteksi virus ini.Ketika menjalankan sejumlah aplikasi, seperti IE, Firefox, Safari, Yahoo Messenger, dan MSN Messenger akan mendapatkan pesan ada virus terdeteksi di Windows.


* Windows Vista. Ketika menjalankan aplikasi IE, Firefox, Yahoo Messenger, MSN Messenger akan mendapatkan pesan untuk men-download error script dari website http://root.51113.com/root.gif, http://hk.www404.cn:53/ads.js, dan http://err.www404.cn:443/014.html.


Antivirus saja tidak cukup
Hampir semua program antivirus dapat mendeteksi virus tersebut. Norman Virus Control mendeteksinya sebagai W32/Agent.FUVR. Sebagai Trojan-Downloader.JS.Agent.byh terdeteksi oleh Kaspersky. HEUR/Exploit.HTML oleh Avira, Mal/ObfJS-X oleh Sophos, dan JS_PSYME.CPZ oleh antivirus Trend Micro. Dapat Anda perhatikan, virus ini tidak dapat menginfeksi komputer yang terlindungi apliaksi antivirus yang telah di-update.

Namun, sangat sulit rasanya melindungi seluruh komputer di jaringan walau pun telah terpasang antivirus yang telah update. Masalah lainnya, jika ada komputer atau notebook yang dihubungkan ke jaringan intranet dan perangkat tersebut telah terinfeksi virus ini, dalam waktu singkat, perangkat tersebut dapat memalsukan dirinya sebagai router atau geteway lalu menyebarkan dirinya ke seluruh komputer lain dalam jaringan.

Selain itu, virus W32/Agent.FUVR memiliki kemampuan mengupdate dirinya secara otomatis. Hal ini sangat berbahaya, karena dapat menaklukkan semua program antivirus yang ada.

Lalu, bagaimana menutup celah keamanan yang disebabkan jaringan komputer mengandung kelemahan ARP Spoofing? Solusinya segeralah beralih menggunakan perangkat yang mendukung DHCP Snooping. Solusi lainnya yang cukup menghemat biaya yaitu dengan menggunakan perintah “arp-s” dari DOS Prompt guna mengunci IP dan Mac Address gateway di tiap PC. Namun solusi ini akan menjadi kendala jika PC yang akan dikonfigurasi jumlahnya ribuan dan tersebar di banyak lokasi.

Mengatasi sistem terinfeksi
Jika sistem jaringan yang Anda gunakan terinfeksi virus ini, Anda dapat melakukan beberapa tindakan. Tindakan pertama yaitu mencari komputer yang terinfeksi dengan bantuan tools gratis Mac Scanner (www.colasoft.com/mac_scanner/mac_scanner.php). Anda dapat menjalankan tool ini di komputer yang terhubung ke jaringan intranet. Lalu lihat IP yang memiliki Mac Address yang sama dengan Gateway atau Proxy (gambar 1).



Dalam gambar 1, terlihat Gateway IP 192.168.1.1 memiliki MAC Address yang sama dengan IP 192.168.1.106, yaitu 00:01:6C:CD:D5:24. Langkah selanjutnya memutuskan hubungan IP 192.168.1.106 dari jaringan dan membersihkan virus yang ada di dalam perangkat tersebut.

Sebagai langkah pamungkas, Anda dapat­ menggunakan perintah “arp -s [IP Gateway / Proxy] [MAC Address Gateway / Proxy]” untuk menetapkan static IP dan MAC Address di setiap komputer. Jika Anda memiliki banyak komputer yang terhubung ke jaringan, disarankan memanfaatkan perangkat jaringan, seperti switch yang telah mendukung feature DHCP Snooping. Oleh karena itu, cek apakah switch yang digunakan telah memiliki feature ini. Jika mendukung, langsung atur paremeternya guna menghindari keganasan virus W32/Agent.FUVR.

Top Virus Maret 2009

Tiga peringkat teratas kali ini, ditempati oleh virus import, berturut-turut adalah Conficker, Recycler, dan Autoit. Conficker yang berada di urutan pertama memang memiliki kemampuan menyebar yang luar biasa, dan sampai saat ini ia masih terus bergerak untuk menginfeksi setiap komputer di seluruh dunia, termasuk Indonesia. Daftar lengkapnya sebagai berikut:

1. Conficker


Daftar domain yang di-black list oleh Conficker.Virus luar berteknologi canggih ini memang menyebar luar biasa. Bentuknya yang merupakan file DLL (Dynamic Link Library) membedakannya dengan kebanyakan virus lain yang berupa EXE. Kemampuan yang dimilikinya juga bisa disetarakan dengan rootkit. Serta, sifatnya ber-polymorphic membuatnya memiliki tubuh yang berubah-ubah. Pada komputer terinfeksi, user tidak akan dapat membuka situs yang “berbau” antivirius atau Microsoft update. Virus ini juga aktif menyebar di Indonesia dengan menggunakan media removable disk misalkan flash disk. Pada flash disk terinfeksi, Anda akan menemukan file autorun.inf dan direktori RECYCLER yang di dalamnya terdapat sub-direktori dengan nama misalkan S-5-3-42-2819952290-8240758988-879315005-3665, dan pada direktori inilah terdapat file virus Conficker dengan nama biasanya jwgkvsq.vmx yang sebenarnya adalah file DLL.

2. Recycler varian


File virus bersembunyi dibalik Recycle Bin palsu.Yang menjadi ciri khas dari virus ini adalah teknik bagaimana ia menyebar. Yakni “ngumpet” dalam direktori Recycler/Recycler/Recycle Bin. Ia juga diketahui menerapkan teknik code injection agar kode virus bisa “nyangkut” pada explorer.exe. Ini dilakukannya untuk mempersulit user maupun program antivirus sekalipun untuk membunuhnya.

3. Autoit varian


Menyebarkan pesan ke setiap contact person yang ada di Y!M.Hampir kebanyakan varian dari virus import berbasis script ini menggunakan icon mirip seperti folder. Virus ini memiliki kemampuan untuk melakukan auto update ke beberapa situs. Ia juga dapat memanfaatkan Yahoo! Messenger sebagai media perantara penyebarannya dengan mengirimkan pesan berisi link ke setiap contact person yang ada di Y!M korban.

4. Yuyun.vbs


Pesan dari virus Yuyun.vbs.Virus yang diciptakan menggunakan Visual Basic Script ini berukuran sekitar 9KB. Pada komputer terinfeksi ia akan membuat banyak sekali file duplikat di setiap folder yang ia temukan dengan nama file autorun.inf, Thumb.db, dalam kondisi ber-attribut hidden, dan sebuah shortcut dengan nama Microsoft. Jika shortcut tersebut diakses, dia memang akan menuju ke suatu folder, tapi dibalik itu virus tersebut juga akan aktif. File Thumb.db disini juga bukan merupakan file milik Windows, tapi melainkan file script virus. Pada komputer terinfeksi juga akan ditemukan sebuah file pesan virus pada direktori Temp user. Di direktori ini juga akan ditemukan file lain yakni script virus yang sudah dalam kondisi ter-decrypt. Karena perlu Anda ketahui bahwa virus ini memang hadir dalam kondisi ter-enkripsi.

5. PisangBakar


Pesan yang disampaikan oleh si PisangBakar. Icon yang digunakan virus ini mirip dengan aplikasi WinAmp atau file mp3. Ia dibuat menggunakan Visual Basic dengan ukuran tubuh sekitar 182KB, di-pack menggunakan UPX. Saat menginfeksi komputer, ia akan mencari file .MP3 untuk kemudian dibuat duplikatnya dengan menyerupai nama yang sama, namun dengan extension .EXE. Begitu pula saat menginfeksi flash disk, ia akan membuat sebuah folder baru dengan nama “Lagu baru” yang di dalamnya berisi file “Marley-Bird Of Paradise.Exe”. Pada root drive C: akan ditemukan file “Info Pisang Bakar.Txt” yang berisi pesan dari si pembuat virus, selain itu ada juga file “Pisang Bara.Exe”.

6. Vires varian


Pesan dari virus Vires atau Latifah.Vires atau dikenal juga dengan nama Latifah,dibuat menggunakan visual basic, di-pack menggunakan UPX. Virus ini menyerupai icon seperti layaknya dokumen Microsoft Word. Pada komputer terinfeksi akan ada file C:\L@tif@h.html yang berisi pesan dari pembuat virus.

7. WSar.D


WSar.D menyerupai folder.Seperti varian sebelumnya, ia masih dibuat menggunakan VB. Varian ini memiliki ukuran sekitar 108KB, murni tanpa di-pack. Karena icon yang digunakan adalah icon mirip folder, saat beraksi, ia akan mencari folder pada setiap drive yang ada di komputer korban, dan membuat duplikat dirinya dengan nama sama seperti folder asli.

8. Labunreke


Salah satu file batch yang dibuat oleh virus. Virus lokal yang satu ini akan menyembunyikan file dokumen Microsoft Word, file MP3, JPG, dan 3GP milik Anda. Selain itu pada komputer korban, ia akan mencoba membuat beberapa user account baru seperti kacian, bundrekev, dan la_kalasi. Pada saat startup juga akan menampilkan pesan seperti “Selamat, PC Anda sedang terinfeksi. Data-data loe semuanya aman koq, tapi gue sembunyiin…. ^_^“. Dan masih ada beberapa hal jail lainnya. So, hati-hati jika menemukan file executable yang mirip WinAmp atau file MP3 dengan ukuran sekitar 421KB.

9. Malingsi varian


Virus Malingsi menyerang virus lain.Virus bertubuh gemuk dengan ukuran besar, contoh pada salah satu varian memiliki ukuran 705.312 bytes. Ia dibuat menggunakan Visual Basic yang di-pack menggunakan PECompact. Sepertinya virus ini ditujukan untuk menyerang virus lain, ini terlihat dari pesan yang ada di tubuhnya. Virus ini berkembang biak dan menyebar menggunakan perantara mIRC, yang bertindak sebagai Bot.

10. FreeMine


Isi file autorun.inf dari virus Freemine.Virus lokal ini dibuat menggunakan Visual Basic dengan ukuran file sekitar 68KB tanpa di-pack. Ciri virus ini, iconnya menyerupai Microsoft Word. Saat aktif di memory, ia akan mempertahankan kelangsungan hidupnya dengan men-terminate setiap aplikasi yang ada dalam daftar black-list di tubuhnya, seperti contohnya Process Explorer. Ia juga dapat menyebar melalui media removable disk, dan pada removable disk terinfeksi akan terdapat file autorun.inf dan Free_Mine.exe.