Kami mohon maaf kepada semua pelanggan dan relasi karena website
www.vaksin.com tidak dapat diakses beberapa hari ini. Kami sedang
memindahkan hosting kami ke hosting lain yang lebih reliable.

salam,
Alfons

-- www.vaksin.com --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
Kaspersky Antivirus
  Norman  Antivirus

by : vaksin.com
Call 021-526-9434
Antivirus Solution
-- www.vaksin.com --




[Non-text portions of this message have been removed]

Pada hari sabtu 20 JAnuari 2002 s/d Senin 22 April 2002 Vaksin.com
menerima ratusan virus Klez.G dan Vaksin.com mendapatkan laporan dari
mayoritas pengguna komputer yang mengeluhkan adanya email mencurigakan
yang mengandung virus.

Klez.G memanfaatkan fasilitas auto preview dari OE seperti Nimda (lihat
artikel mengenai Nimda) dimana anda hanya cukup melakukan preview akan
mengaktifkan worm tersebut.

Worm tersebut dalam beberapa kasus langsung menghancurkan file .exe
sehingga komputer anda menjadi kacau dan juga mengincar beberapa
software antivirus.

Kasus terakhir yang kami terima adalah worm ini mempunyai kemampuan
mengirimkan diri menggunakan ICQ, karena itu pengguna ICQ JANGAN sekali
kali mengaktifkan attachment yang datang karena kemungkinan besar
mengandung Klez.G.

Untuk informasi mengenai Klez, silahkan lihat selengkapnya di Vaksin.com


salam,
Alfons


-- www.vaksin.com --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
Kaspersky Antivirus
  Norman  Antivirus

by : vaksin.com
Call 021-526-9434
Antivirus Solution
-- www.vaksin.com --




[Non-text portions of this message have been removed]

Devide et Impera ala Klez

28 April 2002

Klez dan variannya, terutama Klez.E yang muncul pada pertengahan Januari
2002 dan Klez.H pada minggu ke tiga bulan April 2002 memulai kembali
pertempuran klasik antara pembuat virus dan antivirus di kuartal pertama
tahun 2002 dimana cukup banyak orang awam mencurigai hal ini adalah
perbuatan pembuat software antivirus agar softwarenya laku. Tetapi untuk
sampai pada kesimpulan seperti ini, tentunya tidak bisa dengan
memberikan hipotesa dan tuduhan tersebut merupakan hal yang serius dan
harus ada bukti yang kuat dan sampai hari ini dari pembuat virus yang
tertangkap tidak terbukti ada yang mempunyai hubungan langsung dengan
pembuat software antivirus. Yang ada malahan pembuat virus yang memusuhi
pembuat antivirus dan membuat program untuk menghancurkan software
antivirus tersebut (seperti kasus Klez).
Terlepas dari polemik tersebut di atas, dari pengamatan yang kami
lakukan sampai saat ini, memang mudah untuk mengacungkan telunjuk untuk
menunjuk orang lain tetapi si pengacung telunjuk tidak sadar bahwa empat
jari lainnya menunjuk kepada dirinya sendiri. Pengguna komputer yang
terinfeksi komputer pada umumnya tidak menerapkan kebiasaan berkomputer
yang baik dan aman, pada satu kasus kami menemukan bahwa username
Administrator dipakai untuk semua orang dengan password di kosongkan
sehingga virus yang menginfeksi anggota jaringan yang manapun akan
mempunyai hak sebagai administrator. Pada kasus lainnya diketahui bahwa
user tidak mengupdate softwarenya sehingga virus dapat memanfaatkan
celah keamanan software sehingga virus dapat mengaktifkan dirinya dari
email tanpa memerlukan penerima email mengklik attachment. Kasus yang
paling umum ditemui adalah kebiasaan berbagi direktori (sharing) yang
sangat buruk dan "sangat membantu" virus jaringan seperti Klez, Nimda
dan Sircam untuk menyebarkan dirinya dengan sangat cepat dan sulit di
basmi dimana sharing direktori berikan sebagai "Full Access" sehingga
jika satu komputer di dalam jaringan terinfeksi virus sudah cukup untuk
menyebabkan seluruh komputer di dalam jaringan terinfeksi virus
"walaupun" komputer lainnya sudah terinstal antivirus yang terupdate.

Kembali ke kasus Klez yang sekarang sangat memusingkan pengguna komputer
di Indonesia dimana Klez.E menyebabkan ribuan komputer di Indonesia
mengalami kerusakan permanen dalam file tertentu terutama file Excel dan
MS Word dan dapat diselamatkan hanya dengan proses data recovery tingkat
tinggi yang hanya dimiliki oleh perusahaan recovery sekelas Ontrack.
Disusul oleh Klez.G yang kemudian secara resmi mendapatkan nama Klez.H
meneruskan kembali penyebaran ini dengan menambahkan kemampuan
penyebaran di jaringan yang lebih agresif serta variasi pesan dalam
email yang sangat banyak dan atraktif. Ada fenomena menarik dari Klez.H
ini dimana virus ini mempunyai kemampuan untuk memanipulasi email
pengirim sehingga jika kita menerima email yang berisi virus, akan cukup
sulit untuk melacak komputer yang sebenarnya terinfeksi virus karena
alamat pengirim akan diisi oleh alamat email lain yang secara acak
dipilih oleh Klez.H. Hal ini dialami oleh Sophos dimana pada
pemberitahuan tanggal 26 April 2002
http://www.sophos.com/virusinfo/articles/klezh2.html diinformasikan
bahwa beberapa pelanggan Sophos menerima email yang "seakan-akan"
berasal dari Sophos padahal isinya adalah Klez.H. Vaksin.com juga
menerima beberapa email sejenis seperti gambar dibawah ini :



dimana email yang datang akan datang "on behalf" atau Atas Nama.
Sehingga jika anda melakukan relpy langsung ke pada email tersebut,
balasan email anda akan langsung diberikan kepada alamat email yang di
dimanipulasi (dalam contoh di atas adalah alfons@...). Karena
itu, jika menerima email bervirus dari suatu alamat email, anda jangan
buru-buru mencap alamat email yang tercantum di bagian sender sebagai
pengirim virus dan langsung marah-marah ke alamat email tersebut,
apalagi jika hal tersebut dilakukan di milis. Bisa-bisa anda malahan
terjadi flamming dan anda menghabiskan waktu untuk hal-hal tidak
produktif. Sebaiknya selidiki dengan teliti catatan rinci dari email
tersebut, dari mail server mana email tersebut dikirim dan dengan
melihat IP dari pengirim anda dapat memperkirakan apakah email tersebut
dikirimkan oleh alamat email yang tercantum di sender atau anda sedang
di cobai untuk menjadi korban "Devide et Impera" ala Klez.H.

Menyembuhkan Klez.H
Jika komputer anda terinfeksi oleh Klez.H dan komputer anda stand alone,
anda hanya perlu melakukan dua hal :

1.
Bersihkan registri dari rutin yang mengandung Klez.H banyak tools
seperti CLRav, Fixklez
<file:///C:/antivirus/virus%20removal/fixklez/norman/klezfix2.zip> .

2.
Scan komputer anda dengan antivirus terakhir, sebagai catatan Norman
Virus Control pada hari Sabtu tanggal 27 April 2002 telah dapat
mendeteksi varian Klez yang terakhir, yaitu Klez.I.

Tetapi jika komputer anda terhubung ke jaringan, maka pekerjaan rumah
yang banyak menanti anda, karena anda harus membereskan beberapa hal
tambahan Open Share dan infeksi ulang dari jaringan. Adapun
langkah-langkah yang perlu anda lakukan adalah :

1.
Tutup semua openshare dalam jaringan.

2.
Sebarkan program antivirus dengan update terakhir ke seluruh komputer
dalam jaringan. Jika antivirus anda dirusak oleh Klez, benahi dahulu
kerusakan tersebut atau nonaktifkan dan install program antivirus lain.

3.
Matikan Switch atau hub anda sehingga semua komputer tidak terhubung ke
jaringan.

4.
Jalankan FixKlez
<file:///C:/antivirus/virus%20removal/fixklez/norman/klezfix2.zip>  di
setiap komputer untuk membasmi Klez yang ada di dalam memori dan
membetulkan registri yang di rubah oleh Klez.

5.
Scan komputer dengan antivirus dan bersihkan semua virus yang
terdeteksi.

6.
Setelah virus dibersihkan "RESTART" dan "scan sekali lagi". Hasil scan
harus tidak ada virus, kalau ada harus diselidiki dengan teliti dan
diselesaikan sampai tuntas sebelum menjalankan menghubungkan komputer
dengan jaringan. Jika menggunakan Windows ME atau XP jangan lupa untuk
nonaktifkan System Restore sebelum melakukan scanning.

Jika anda membutuhkan layanan antivirus untuk perusahaan anda, silahkan
hubungi Vaksin.com guna mendapatkan perlindungan antivirus lengkap dari
Vaksin.com. Vaksin.com tidak menjual software antivirus saja tetapi kami
memberikan instalasi dan support semua masalah virus di jaringan anda.

salam,

Vaksin.com



-- www.vaksin.com --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
Kaspersky Antivirus
  Norman  Antivirus

by : vaksin.com
Call 021-526-9434
Antivirus Solution
-- www.vaksin.com --




[Non-text portions of this message have been removed]

Informasi praktis untuk mencegah virus :

Dulu (beberapa bulan yang lalu) ada beberapa informasi yang diberikan
oleh komunitas internet mengenai cara mencegah virus :
1. Non aktifkan automatic send and recieve. Guna mencegah kalau virus
mau mengirimkan dirinya dia tidak otomatis terkirim sehingga antri dulu
di outbox dan kita setiap mau klik send/recieve lihat outbox dulu. Hal
ini terbukti membantu ketika saya sempat terinfeksi satu virus lokal
yang ngantri (resiko usaha... harus cobain semua virus :(  ) di outbox
dan sempat saya cegah .... untungnya virus lokal tersebut attachmentnya
besar sehingga ngga sempat terkirim dan membuat malu.
Tetapi sekarang virus baru seperti Klez menggunakan setingan mailserver
sendiri dan kalau gagal dia bisa cari mailserver diluar sehingga hampir
tidak mungkin untuk dicegah dan kiat di atas jadi ngga laku ....
2. Ada juga yang memberikan saran buat satu username dummy dengan awalan
! dan kosongkan sehingga kalau virus cari ke address book akan gagal.
Tetapi sekarang virus udah canggih, selain cari ke addressbook dia cari
di temporary internet files atau sluruh file di komputer untuk dapatkan
email.
3. WSH, nonaktifkan windows scripting host agar virus yang manfaatkan
WSH (waktu itu) tidak otomatis jalan.
Resep ini cukup manjur untuk mencegah Sircam tetapi virus baru sekarang
juga ngga perlu WSH untuk menyebarkan dirinya.

Begitulah perkembangan virus yang sangat dinamis ini sehingga metode
yang hari ini laku untuk mencegah virus akan dihindari / diakali oleh
pembuat virus lain sehingga anda harus selalu keep updated, salah
satunya ikuti berita terakhir mengenai virus.

Dua saran yang sampai saat ini masih laku (belum basi) adalah :
1. Update selalu software anda secara teratur dari security hole.
Security hole akan selalu ditemukan, karena itu anda perlu secara
teratur mengupdate security hole dengan patch yang disediakan oleh
vendor anda.
Menurut pendapat saya, software MS mungkin diklaim paling banyak SHnya
tetapi tidak bisa dipungkiri merupakan software yang friendly user dan
paling banyak dipakai, disamping itu walau ada SHnya yang penting kan
dari MS cepat dan tanggap segera memberikan update jika ditemukan
security hole. Saran menggunakan  eudora atau mail client yang lain
menggantikan Outlook saya pikir kurang valid karena sekarang virus juga
menyerang dari Browser dan jaringan :(.
2. Install antivirus dan update secara teratur.
Ini hal yang selalu disebutkan tapi yah memang itu hal terbaik yang
dapat dilakukan karena vendor antivirus khan selalu mengikuti
perkembangan virus terakhir dan segera memberikan update pengenal setiap
kali ada virus baru yang datang. Ibaratnya kalau musuh kita menyerang
setiap saat, kita harus punya pertahanan yang bertahan setiap saat.
Karena itu saya juga condong menyerankan agar menggunakan antivirus yang
melakukan update secara otomatis, jangan manual. Jangan gunakan
antivirus bajakan karena update otomatisnya kemungkinan besar tidak akan
berhasil karena SN antivirus yang dibajak dengan mudah dapat
diidentifikasi oleh vendor antivirus (kecuali anda download manual) ...
tapi pertanyaannya .. apakah virus menyerang ketika anda ingat update ??
Tidak, virus akan menyerang ketika anda lupa / alpa update.

salam,
Alfons

-- www.vaksin.com --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
Kaspersky Antivirus
  Norman  Antivirus

by : vaksin.com
Call 021-526-9434
Antivirus Solution
-- www.vaksin.com --

-----Original Message-----
From: oscaranwar [mailto:oscaranwar@...]
Sent: 07 Mei 2002 20:30
To: AntivirusClub@yahoogroups.com
Subject: [AntivirusClub] OE


Cara atur supaya pada OE ver 5,0 auto pareview nya ngak muncul otomatis
bagaiamana? Saya cari ke bagian option kok ngak ada ?
Thanks

----- Original Message -----
From: Sapto Kushardi <kxsapto@...>
To: <AntivirusClub@yahoogroups.com>
Sent: Sunday, May 05, 2002 8:13 PM
Subject: Re: [AntivirusClub]


> Nyambung diskusinya, ..kalau user kita tetap hobi dgn Outlook express,
> apakah ada options yang hrs diset spy tidak mudah terkena virus ?




Yahoo! Groups Sponsor

ADVERTISEMENT

<http://rd.yahoo.com/M=194081.2021092.3499911.1829184/D=egroupweb/S=1705
195068:HM/A=1036972/R=0/*http://www.ediets.com/start.cfm?code=3466>
Click Here!

<http://us.adserver.yahoo.com/l?M=194081.2021092.3499911.1829184/D=egrou
pmail/S=1705195068:HM/A=1036972/rand=436182963>

Virus Information and Updated News

*Subscribe: send blank email to :
AntivirusClub-subscribe@yahoogroups.com
*Unsubscribe (You Need To Reply):
AntivirusClub-unsubscribe@yahoogroups.com
*Unsubscribe (No Need To Reply): AntivirusClub-NOMAIL@yahoogroups.com
*Switch to Digest Format        : AntivirusClub-digest@yahoogroups.com

*Return to single messages      : AntivirusClub-normal@yahoogroups.com

*Post a message to the list     : AntivirusClub@yahoogroups.com
*Send Message to the Owner      : AntivirusClub-owner@yahoogroups.com

Your use of Yahoo! Groups is subject to the Yahoo! Terms of Service
<http://docs.yahoo.com/info/terms/> .




[Non-text portions of this message have been removed]

mau tanya nii
antivirus apa yang cocok
dan ampuh untuk di pakai
OS UNIX dan LINUX
[Vaksin.com] Virus yang menyerang Unix dan Linux masih sangat sedikit
dan jarang orang membeli antivirus "khusus" untuk memproteksi ke dua os
tersebut. Yang sering terjadi adalah orang membeli antivirus dipasang di
Server / mail server Linux / Unix guna mencegah virus yang menyerang
workstationnya .. yang notabene umumnya menggunakan windows. Jadi yang
rentan terhadap virus bukan server Linux / Unixnya tetapi workstation
dan server windows.
Karena itu jika anda install antivirus di Linux misalnya Sendmail itu
akan mengamankan anda dari serangan virus "tetapi" ingat hanya Email.
Jaringan anda akan tetap rentan terhadap serangan virus dari browsing
atau openshare. Hal ini terbukti dari beberapa klien kami yang
menggunakan Sendmail tetapi jaringannya tetapi terinfeksi Klez dan
Nimda.
Karena itu, menurut pandangan kami cara terbaik melindungi jaringan
adalah "Lindungi Workstationnya" karena anda tidak bisa mengontrol
seluruh user anda seperti anda mengontrol server anda dan sekali "satu"
saja workstation anda terinfeksi virus sudah cukup untuk mengakibatkan
seluruh komputer dalam jaringan terinfeksi virus walaupun komputer
tersebut sudah terinstal antivirus yang terupdate.

salam,
Alfons


[Non-text portions of this message have been removed]

JDBGMGR.EXE HOAX

Keledai tidak terperosok pada lubang yang sama dua kali

8 Mei 2002



Pembuat virus selalu belajar dari sejarah dan selalu mengikuti
perkembangan teknologi terakhir dan cenderung untuk mengulangi metode
yang digunakan oleh virus yang pernah sukses seperti Klez yang meniru
cara Nimda memanfaatkan security hole di IE 5.01 dan 5.5. Hal tersebut
berusaha dicounter oleh pembuat antivirus dengan melakukan monitoring 1
X 24 jam terhadap varian virus baru yang setiap harinya rata-rata
berjumlah 33 buah (1.000 virus per bulan) sehingga jika hari ini
mengepidemi satu virus baru yang berbahaya, dalam waktu beberapa jam
sudah muncul definisi yang dapat mengenali virus tersebut, termasuk
informasi detail mengenai virus dan cara removal bagi komputer yang
sempat terinfeksi.

Hal yang sama rupanya berlaku juga untuk pembuat HOAX (berita bohong
mengenai virus). Setelah HOAX Sulfnbk yang menyarankan para pengguna
komputer untuk meghapus file Sulfnbk.exe di windows karena di klaim
merupakan virus yang berbahaya (dimana nama file tersebut memang aneh
dan mencurigakan) dan saran tersebut dipatuhi oleh para pengguna
komputer awam dengan "sedikit" rasa terimakasih kepada orang yang telah
"berbaik hati" memforwardkan informasi berharga kepadanya. Setelah
diselidiki ternyata file sulfnbk.exe adalah asli dari windows dan
dibutuhkan untuk mengenali Long file name (nama file panjang) dan kalau
dihapus akan mengganggu kerja windows, maka rasa terimakasih tadi
berubah menjadi rasa dongkol dan kesal karena sudah menghapus file
tersebut sampai keakar-akarnya (setelah di hapus dibersihkan juga dari
Recycle Bin). Konyolnya, virus Magistr dengan cerdik memanfaatkan
peluang ini dengan memanipulasi dirinya dan datang dalam email dengan
attachment file sulfnbk.exe yang bila dijalankan bukan menyembuhkan
penyakit pilek di komputer anda tetapi menjadi tertular virus Magistr.

Sekarang, HOAX dengan trik yang sama muncul dan meminta pengguna
komputer untuk mencari file dengan nama JDBGMGR.EXE karena di vonis
sebagai virus baru yang tidak terdeteksi oleh Norton maupun Mc Afee dan
jika menemukan file tersebut harus segera dihapus sampai ke akar akarnya
(kosongkan Recycle Bin juga). Padahal file tersebut adalah asli milik
Internet Explorer. Jika anda termasuk orang yang "beruntung" telah
menerima email tersebut dan sudah menghapus file JDBGMGR.EXE sampai ke
akar akarnya :), instal ulang Internet Explorer dapat memecahkan masalah
anda.

Adapun HOAX tersebut akan datang dengan perincian sebagai berikut :

Hi, everybody:
I just received a message today from one of my friends in my Address
Book. Their Address Book had been infected by a virus and it was passed
on to my computer. My Address Book, in turn, has been infected. The
virus is called jdbgmgr.exe and it propagates automatically through
Messenger and through the address book. The virus is not detected by
McAfee or Norton and it stays dormant for 14 days before wipe out the
whole system. It can be deleted before it erase your computer files. To
delete it, you just have to do the following:

1) Go to Start, click on "Find"

2) At "files or folders" write the name jdbgmgr.exe

3) Be sure to search drive "C"

4) Click on "find now"

5) If you find the virus (the icon is a little bear with the name
jdbgmgr.exe) DO NOT OPEN IT FOR ANY REASON

6) Right click on it and delete the file (it will go to the recycle bin)


7) Go to the recycle bin and delete the file definitivelly or empty the
recycle bin.


Ada hal penting yang kami informasikan dimana anda harus selalu
berhati-hati jika menerima email dengan attachment, apalagi JDBGMGR.EXE
walaupun sampai saat ini Vaksin.com tidak menerima konfirmasi adanya
virus dengan attachment tersebut tetapi tidak ada salahnya belajar dari
pengalaman Magistr yang memanfaatkan issue sulfnbk tahun lalu. Ingat
kata pepatah "Keledai tidak terperosok ke dalam lubang yang sama dua
kali".

salam,

Alfons



-- www.vaksin.com --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
  Norman  Antivirus

by : vaksin.com
Call 021-526-9434
Antivirus Solution
-- www.vaksin.com --




[Non-text portions of this message have been removed]

Habis-habisan dengan Klez.H

13 Mei 2002



Karakteristik Umum :

Tipe : Worm

Alias : W32.Klez.G

Mekanisme Penyebaran : Email, jaringan, infeksi file

Karakteristik Email

Judul : bervariasi

Isi : bervariasi

Attachment : bervariasi

Tingkat Kerusakan : rendah

Isi/muatan : programs penghancur antivirus

Tanggal terdeteksi : 17 Apr 2002

Diumumkan ke publik : 17 Apr 2002 14:58 (CET)

Update terakhir : 10 May 2002 10:38 (CET)

Deskripsi Lengkap dari Virus ini :

Tipe

Deteksi dan Pembersihan -  informasi khusus

Kami merekomendasikan anda untuk mendownload tool khusus untuk virus
ini. Tool ini akan membersihkan Klez.E, Klez.H (yang sebelumnya dikenal
dengan nama Klez.G), dan Elkern.C pada sistem lokal yang terinfeksi.
Jika Klez telah melumpuhkan NVC5, tool ini akan memperbaikinya lagi.
Download tool tersebut di website norman http://www.norman.no
<http://www.norman.no/>  dan bacalah petunjuk penggunaannya.

Tanggapan Umum

Klez.H adalah worm email baru dalam keluarga Klez. Dalam beberapa hal,
Klez.H hampir sama dengan varian Klez sebelumnya, tetapi beberapa
efeknya telah dihilangkan.

Klez.H menyebar melalui email dengan menggunakan alamat email yang
diambil dari beberapa sumber dari komputer yang terinfeksi - halaman
web, address book windows, dan ICQ contact lists. Perhatikan pula bahwa
ia akan memilih alamat pengirim secara acak, sehingga mail ini
seolah-olah berasal dari seorang pengirim tertentu padahal ia tidak
pernah mengirimkannya. Email tersebut dirancang sedemikian rupa sehingga
virus ini dapat berjalan  meskipun user tidak perlu membuka attachment
apapun.

Virus ini mengkopi-kan dirinya ke mesin lokal dan pada jaringan dalam
bentuk executable file (.exe) dan dalam ekstensi RAR (.rar).

Mekanisme Penyebaran

Ketika worm ini masuk ia akan mengkopi dirinya ke system directory
menggunakan nama "Wink*.exe" dimana tanda where tanda *.menunjukkan
kombinasi yang acak. Hal ini akan menambah sebuah entry di dalam
Registry, sehingga akan dapat di-loaded pada saat startup.

Pada  Win9x/ME:

HLKM\Software\Microsoft\Windows\CurrentVersion\Run\Wink* =
%SystemDir%\Wink*.exe

Pada Win NT/2000/XP:
HKLM\System\CurrentControlset\Services\Wink* = %SystemDir%\Wink*.exe


Tahap-tahap kerja Klez.H :

Tahap Pertama:

Hal pertama yang dilakukan virus ini ketika mereka masuk ke sistem
adalah mencari apakah sistem berisi nama tertentu (dalam suatu daftar
yang disebut WL01) dalam 512 kilobit pertama dari proses! Mereka
memiliki ruang memori sendiri. Jika nama ini ditemukan, ia akan mencoba
untuk menghentikan proses, dan program file yang ada bersamanya akan
dihapus.

Tetapi harus diingat ingat bahwa daftar nama (WL01) yang berisi nama
virus tersebut tidak selalu sama  dengan nama virus itu sendiri, karena
beberapa virus malah tidak pernah memakai nama mereka sendiri dalam
registri. Namun yang pasti, hal ini akan menghilangkan program antivirus
atau fixup tool,  dan program-program lain yang mengandung kata-kata
tersebut.

Selanjutnya, ia akan memeriksa jika nama-nama yang terdapat pada proses
yang sedang berjalan mengandung kata tertentu dari daftar kata yang lain
(Ref WL02). Jika ada, program ini akan dihilangkan/dihapus seperti
sebelumnya.

Kunci Registri (registry keys)
HLKM\Software\Microsoft\Windows\CurrentVersion\Run dan
HLKM\Software\Microsoft\Windows\CurrentVersion\RunServices akan
diperiksa apakah ada program antivirus dalam daftar yang disebut WL02
list. Jika ada, mereka akan dihapus dari registry.

Pada Win9x/ME langkah ini akan membangkitkan Run key Klez.H sendiri
dalam Registry secara kountinu.

Tahap Kedua:

Ini adalah tahap pengiriman email. Ia akan memeriksa apakah komputer
yang terinfeksi tersebut terhubung ke internet atau tidak. Jika
terhubung, ia akan men-scan Address Book Windows, databases ICQ (jika
ada) dan file .txt, .htm and .html files pada drive lokal. Ia akan
berusaha menggunakan mail server lokal untuk mengirim mail, atau jika
tidak berhasil, szecara cerdik sekali ia akan mencoba untuk menebak mail
server yang dapat digunakan dengan menambahkan 'smtp.' ke nama domain
yang ditemukannya dalam mail address.

Jika mail server ini bekerja, worm ini akan menggunakan alamat email
yang digunakannya sebagai basis untuk alamat mail server pada daftar
internal. Jika mail server tebakan ini juga tidak berhasil, ia akan
mencari pada daftar internalnya dan berusaha untuk menggunakan secara
acak sampai dengan 6 server yang disimpannya  pada koneksi sebelumnya.
Jika tidak ada satupun yang berhasil, ia masih memiliki daftar
(hard-coded list - WL22) dari mail server yang akan digunakannya. (WL22)
.. Ck.ck.ck.

Mail-mail tersebut dibuat secara semi-random, berdasarkan pada sejumlah
daftar kata dan kondisi :

Judul:<optional WL 14><WL08>
Isi: kosong

Contoh :

Judul:FW:some questions

Atau :

Judul: A <WL18><WL06><WL15>
Isi :<optional WL14>This is a <optional WL18><WL06><WL15>
I <WL20> you would <WL19> it.

Contoh :

Judul: A very new website
Isi:
Hello,This is a special new website
I hope you would enjoy it.

Atau :

Judul: <WL07> removal tools
Isi:
<WL07> is a <WL18>dangerous virus that <WL21>
<WL09>give you the <WL07> removal tools
For more information,please visit http://www.<WL09>.com

Contoh :.

Judul: W32.Klez.E removal tools
Isi:
W32.Klez.E is a dangerous virus that spread through email.
F-Secure give you the W32.Klez.E removal tools
For more information,please visit http://www.F-Secure.com

Atau :

Judul: Worm Klez.E immunity
isi:
Klez.E is the most common world-wide spreading worm.It's very dangerous
by corrupting your files.
Because of its very smart stealth and anti-anti-virus technic,most
common AV software can't detect or clean it.
We developed this free immunity tool to defeat the malicious virus.
You only need to run this tool once,and then Klez will never come into
your PC.
NOTE: Because this tool acts as a fake Klez to fool the real worm,some
AV monitor maybe cry when you run it.
If so,Ignore the warning,and select 'continue'
If you have any question,please mail to me (link to email address)

Atau :

Judul: <WL12><WL08>
Isi:
The following mail can't be sent to <random address>
From: <email address>
To: <random address>
Subject: <WL08>
<WL13> is the original mail

Email yang seperti ini akan seolah-olah  berasal dari 'postmaster'.

Atau :

Judul: A random set of words and/or letters found in local files
Isi: Kosong

Atau :

Tidak ada judul atau isi.

Adakalanya worm ini akan memeriksa tanggal dan mencatat tanggal yang
terdapat pada mail tersebut, jika tanggal tersebut termasuk didalam
suatu daftar tertentu. Email jenis ini akan memiliki format seperti
berikut ini :

judul: <WL11> <optional WL06> <WL10>
Isi: kosong

Contoh.
Judul: Have a nice April Fools' Day

Attachment yang berisi virus akan dinamai secara acak berdasarkan nama
file atau isi dari file yang diinfeksi oleh worm ini, atau hanya suatu
kombinasi acak dari surat-surat. File extensi akan berakhiran .exe,
.pif, .scr atau .bat. dalam banyak kasus, nama file akan memiliki
extensi ganda - dalam kasus ini extensi kedua dapat ditemukan dalam
daftar yang disebut WL03.

Bahkan, email ini memiliki kemungkinan mengandung attachment file lain
dari salah satu jenis yang ditemukan dalam daftar WL03. File ini adalah
file sembarang yang ditemukan worm ini pada hardisk, dan dapat
mengandung informasi rahasia atau penting.Jika ukuran file 51200 bytes
atau kurang, kemungkinannya 50% untuk ikut terkirim bersama worm ini,
Jika ukuran file antara 51200 dan 512000 bytes, kemungkinannya 25%. Jika
ukuran filenya lebih besar dari ini maka tidak akan disertakan ....
sekali lagi kecerdasan pembuat Klez.H yang mengerti sekali tentang dasar
penyebaran virus dimana ukuran attachment harus dibuat sekecil mungkin.

Perhatikan bahwa alamat email yang digunakan sebagai pengirim oleh virus
ini berdasarkan pada alamat email yang ditemukannya pada file lokal dan
biasanya bukanlah pengirim aslinya.

Ketika virus menyebar melalui email, pengguna dapat terinfeksi hanya
dengan membaca atau  melihat mail tersebut. Hal ini dapat dilakukan
dengan memanfaatkan lubang keamanan yang dikenal dengan isitilah
"Incorrect MIME Header Can Cause IE to Execute E-mail Attachment" (MIME
header yang keliru dapat menyebabkan IE mengeksekusi e-mail attachment).
Informasi lebih lengkap tentang hal ini dapat dilihat pada:


<http://www.microsoft.com/technet/treeview/default.asp?url=/technet/secu
rity/bulletin/MS01-020.asp>
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/secur
ity/bulletin/MS01-020.asp

Lubang keamanan ini terdapat pada Internet Explorer (IE) versi 5.01 and
5.5 tanpa SP2. Pengguna yang masih menggunakan IE versi ini harus segera
mengupgrade IE-nya.

Tahap Ketiga :

Tahap ini biasanya terjadi setiap dua jam sekali, dimana worm ini akan
berusaha untuk membuka dan menghitung sumber daya yang dapat digunakan,
dan jika sumber daya tersebut adalah sebuah disk, worm ini akan
mengkopikan dirinya pada komputer tersebut.

Pada komputer yang menggunakan Windows NT/2000/XP ia akan berusaha untuk
menginstal copy dari dirinya menjadi sebuah layanan pada komputer
tersebut. Ia juga akan berusaha untuk menginstal dirinya pada database
registry dari komputer tersebut dengan menggunakan key
HKLM\Software\Microsoft\Windows\Currentversion\RunOnce. Hal ini akan
berakibat worm ini akan berjalan setiap kali proses booting berlangsung.


Setelah itu, worm ini akan menggandakan lagi copy dari dirinya yang akan
disimpan dalam suatu arsip RAR. Nama file dalam arsip tersebut akan
mengandung huruf/karakter yang diambil dari daftar WL16 dan WL04 -
misalnyaf : snoopy.exe atau install.pif.

Tahap Keempat :

Tahap ini adalah tahap penginfeksian file. Setiap jam, Klez akan mencari
program-program yang disebutkan dalam 'App Paths' key pada Registry, dan
mencoba untuk menginfesinya jika program-program tersebut memenuhi
kriteria seperti yang telah disebutkan. Infeksi ini juga disebut
'companion style' - dimana file asli dikopikan ke sebuah file hidden
dengan nama file yang sama, tetapi dengan extensi yang berbeda.
Selanjutnya Klez akan mengambil alihnya, menggunakan nama yang sama
dengan ukuran file yang sama dan informasi sumber daya yang sama
sehingga manipulasi ini tidak mudah terlihat. Bahkan, jika suatu program
file dirubah ke suatu nama file yang berbeda, program aslinya akan
dikompres sehingga tidak dapat dijalankan bahkan jika namanya
dikembalikan ke nama aslinya.

Program yang akan dipilih untuk penginfeksian ialah program yang tidak
diproteksi oleh Pemeriksa File System (System File Checker) pada Win2000
atau XP, atau jika nama file tidak mengandung sejumlah nama yang
disebutkan oada daftar WL05, dan jika file berukuran antara 86016 and
3145728 bytes.

Ketika program yang terinfeksi ini berjalan, worm ini akan menemukan dan
meng-extracts file aslinya, dan mengeksekusinya. File ini diekstrak ke
sebuah file dengan menggunakan nama 'path' yang sama dengan File yang
terinfeksi, hanya saja ia menghilangkan tanda garis miring (backslash)
dan waktunya, dan akhirnya menambahkan sebuah '.EXE'. Misalnya jika
program yang terinfeksi ialah C:\Setup\Setup.exe, dan kompresi aslinya
ialah C:\Setup\Setup.gfr, worm ini akan meng-extract program aslinya ke
sebuah file yang bernama 'csetupsetupgfr.exe' dan menjalankannya.
Program yang telah dijalankan tersebut tidak akan terlihat  telah
terinfeksi oleh virus.

Tahap Kelima:

Tahap ini akan menciptakan sebuah file dengan nama sembarang pada
direktori Program Files, dan akan menjalankannya. Ukuran file ini adalah
10240 bytes dan akan menginstalls virus W32/ElKern.C.

Tahap Keenam:

Pada tahap ini, worm akan mencari dan menghapus database antiviral
checksum (dalam daftar WL17) pada direktori Internet Explorer cache.

Tahap ke 7 sampai ke 32 :

Tahap ke 7 sampi ke 32 akan mencari dan menghilangkan database antiviral
checksum  (dalam daftar WL17) pada semua drive lokal yang ada (drive A:
sampai drive Z:).

Tingkat Kerusakan dan Muatan

Worm ini akan menyerang dan menghapus program antivirus secara aktif dan
kadang-kadang juga akan menghapus program lainnya yang tidak berhubungan
dengan antivirus !

Daftar Kata Yang Digunakan Oleh Klez.H :

WL01:
Sircam
Nimda
WQKMM3878
GRIEF3878
Fun Loving Criminal
Norton
Mcafee
Antivir
Avconsol
F-STOPW
F-Secure
Sophos
virus
AVP Monitor
AVP Updates
InoculateIT
PC-cillin
Symantec
Trend Micro
F-PROT
NOD32

WL02:
_AVP32
_AVPCC
NPSSVC
NRESQ32
NSCHED32
NSCHEDNT
NSPLUGIN
NAV
NAVAPSVC
NAVAPW32
NAVLU32
_AVMP
ALERTSVC
AMON
AVP32
AVPCC
AVPM
N32SCANW
NAVWNT
ANTIVIR
AVPUPD
AVGCTRL
AVWIN95
SCAN32
VSHWIN32
F-STOPW
F-PROT95
ACKWIN32
VETTRAY
VET95
SWEEP95
PCCWIN98
IOMON98
AVPTC
AVE32
AVCONSOL
FP-WIN
DVP95
F-AGNT95
CLAW95
NVC95
SCAN
VIRUS
LOCKDOWN2000
Norton
Mcafee
Antivir
TASKMGR

WL03:
.txt
.htm
.html
.wab
.asp
.doc
.rtf
.xls
.jpg
.cpp
.c
.pas
.mpg
.mpeg
.bak
.mp3
.pdf

WL04:
.exe
.scr
.pif
.bat

WL05:
EXPLORER
CMMGR
msimn
icwconn
winzip

WL06:
new
funny
nice
humour
excite
good
powful
WinXP
IE 6.0

WL07:
W32.Elkern
W32.Klez.E

WL08:
how are you
let's be friends
darling
so cool a flash,enjoy it
your password
honey
some questions
please try again
welcome to my hometown
the Garden of Eden
introduction on ADSL
meeting notice
questionnaire
congratulations
sos!
japanese girl VS playboy
look,my beautiful girl friend
eager to see you
spice girls' vocal concert
japanese lass' sexy pictures

WL09:
Symantec
Mcafee
F-Secure
Sophos
Trendmicro
Kaspersky

WL10:
Christmas
New year
Saint Valentine's Day
Allhallowmas
April Fools' Day
Lady Day
Assumption
Candlemas
All Souls' Day
Epiphany

WL11:
Happy
Have a

WL12:
Undeliverable mail--
Returned mail-

WL13:
The attachment
The file

WL14:
Hi,
Hello,
Re:
Fw:

WL15:
game
tool
website
patch

WL16:
setup
install
demo
snoopy
picacu
kitty
play
rock

WL17:
ANTI-VIR.DAT
CHKLIST.DAT
CHKLIST.MS
CHKLIST.CPS
CHKLIST.TAV
IVB.NTZ
SMARTCHK.MS
SMARTCHK.CPS
AVGQT.DAT
AGUARD.DAT

WL18:
very
special

WL19:
enjoy
like

WL20:
wish
hope
expect

WL21:
spread through email.
can infect on Win98/Me/2000/XP.

WL22:
wb-japan.co.jp
verizon.net
arquired.es
difac.com

Worm ini juga mengandung  tulisan seperti berikut :

Win32 Klez V2.01 & Win32 Foroux V1.0
Copyright 2002,made in Asia
About Klez V2.01:
Main mission is to release the new baby PE virus,Win32 Foroux
No significant change.No bug fixed.No any payload.
About Win32 Foroux (plz keep the name,thanx)
Full compatible Win32 PE virus on Win9X/2K/NT/XP
With very interesting feature.Check it!
No any payload.No any optimization
Not bug free,because of a hurry work.No more than three weeks from
having such idea to accomplishing coding and testing

Nama worm ini telah berubah dari Klez.G menjadi Klez.H. Hal ini untuk
mengikuti Konsensus penamaan yang ada.

Pendeteksian dan Pembersihan

Kami merekomendasikan anda untuk mendownload tool khusus untuk virus
ini. Tool ini akan membersihkan Klez.E, (yang versi sebelumnya disebut
Klez.G) dan Elkern.C dari sistem lokal yang terinfeksi. Jika Klez telah
melumpuhkan NVC5, maka tool ini akan memperbaikinya lagi. Download tool
ini dengan click disini <http://www.norman.no/public/klezfix5.zip>  dan
baca petunjuk penggunaannya.

Salam,
analisa@...

-- www.vaksin.com --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
Norman Virus Control

by : vaksin.com
Call 021-526-9434
Antivirus Specialist
-- www.vaksin.com --




[Non-text portions of this message have been removed]

Evaluasi Mei 2002 dan prediksi Juni 2002

Virus bola

31 Mei 2002



Menurut pengamatan Vaksin.com, dalam bulan Mei 2002 tidak ditemukan
virus baru yang menggemparkan dan merusak. Yang tercatat perlu
mendapatkan perhatian adalah Worm baru yang menyerang SQLserver dengan
nama SQLSpida dan Worm Benjamin atau Kazaa Worm yang menyerang program
Kazaa P2P (yang merupakan program pertukaran file paling populer saat
ini di jagad internet). Sedangkan dari negeri sendiri, Vaksin.com
menemukan varian Toraja yang menginfeksi file Excel dan dapat
diidentifikasi dan dibersihkan dengan baik dalam waktu 24 jam dari saat
virus pertama kali sampai ke tangan Vaksin.com. Tidak lupa juga JDBGMGR
HOAX yang meniru HOAX Sulfnbk sehingga mengakibatkan penerima email
menghapus file tersebut, padahal file tersebut ASLI milik Internet
Explorer.

SQLSpida adalah worm yang menyebar melalui Microsoft SQL Server dengan
memanfaatkan account dan password default dimana passwordnya seharusnya
sudah dirubah oleh admin. Sekali lagi worm ini menunjukkan bahwa virus
dapat menyebar bukan karena suatu produk jelek atau berbahaya tetapi
karena kecerobohan dari adminnya yang tidak merubah account dan password
default. Dengan merubah account default dan password yang baik, anda
dapat terhindar dari worm ini. Pada saat laporan ini dibuat, worm ini
sudah mempunyai dua varian yaitu SQLspida.A dan SQLSpida.B.

Benjamin adalah worm yang memanfaatkan kepopuleran software Kazaa untuk
menyebarkan dirinya. Ia akan menyebarkan dirinya sebagai file .exe atau
.scr lewat Kazaa dan menampilkan website benjamin.xww.de.

Toraja adalah virus Macro asli buatan Indonesia, virus ini cukup
merepotkan karena ia akan menampilkan pesan yang menjengkelkan setiap
kali melakukan pencetakan dan dengan cerdik virus ini menyembunyikan
dirinya ke dalam file lain di system Excel sehingga dijalankan setiap
kali Excel berjalan tetapi tidak dapat dicari / di basmi.



Jika anda ingin mengetahui virus apa yang paling banyak terdeteksi oleh
Vaksin.com di bulan Mei 2002, jawabannya masih sama dengan bulan April,
Klez.H dan sampai saat ini masih membingungkan banyak pengguna komputer
karena kemampuannya memanipulasi alamat pengirim email.



Untuk ancaman virus di bulan Juni, Vaksin.com mengingatkan para pengguna
komputer untuk berhati-hati jika menerima email yang berhubungan dengan
world Cup / Piala Dunia. Kemungkinan besar para pembuat virus amatiran
akan memanfaatkan event World Cup sebagai trik untuk menarik perhatian
korbannya mengaktifkan lampiran / attachment karena itu anda perlu extra
hati-hati jika menerima email yang berbau bola, kami maksudkan pembuat
virus amatiran karena menurut data statistik, virus yang memanfaatkan
satu even tertentu saja tidak akan berumur panjang dan pembuat virus
yang berpengalaman tidak akan memilih alternatif ini.



Ale .. ale ..ale

Vaksin.com



-- www.vaksin.com <http://www.vaksin.com/>  --
Certified :
~~~~~~~~~~~~~~~~~~~
~~|VIRUS OUTSIDE|~~
~~~~~~~~~~~~~~~~~~~
Norman Virus Control

by : vaksin.com
Call 021-526-9434
Antivirus Specialist
-- www.vaksin.com <http://www.vaksin.com/>  --




[Non-text portions of this message have been removed]