Share

Barrackberry

Karena Blackberry tidak aman untuk Obama

Tahukah anda, titik balik Perang Asia Timur Raya yang awalnya dimenangkan oleh tentara Dai Nippon yang pada akhirnya berhasil dikalahkan oleh Amerika Serikat ternyata tidak didapatkan dari keunggulan mesin perang yang canggih baik oleh kapal perang, tank, pesawat atau nuklir (nuklir hanya mempercepat menyerahnya Jepang yang saat itu tetap ngeyel meskipun sebenarnya sudah kalah perang). Rahasia kemenangan Amerika terhadap Jepang adalah karena kode sandi rahasia (enkripsi) pesan yang digunakan oleh Jepang berhasil dipecahkan oleh Unit Kombat Intelijen Amerika. Dan mulai saat itu segala kekuatan pasukan, gerakan, tipu daya dan strategi Jepang diketahui persis oleh Amerika. Titik balik Perang Asia Timur Raya diawali pada perang Midway dimana pasukan Amerika sukses membungkam 4 kapal induk Jepang karena sebelumnya telah mengetahui dengan persis data pasukan, arah gerakan serta tipuan apa yang akan digunakan Jepang pada perang di Midway. Pukulan telak kedua adalah berhasil disergapnya pesawat inspeksi Jepang ke Bougenville yang membawa Laksamana Yamamoto yang terkenal selalu on time (terkadang ngaret tidak selalu jelek yah J), dimana untuk keberhasilan misi ini membutuhkan informasi waktu, tempat dan kekuatan pesawat pengawal yang tepat. Hal ini menunjukkan pentingnya perlindungan atas informasi penting baik komunikasi militer ataupun intelijen. Hal inilah yang mendasari keputusan para pejabat kepresidenan untuk “menyita” Blackberry presiden Obama karena khawatir atas kebocoran informasi jika Presiden Obama menggunakan perangkat tersebut sebagai alat komunikasi khususnya yang menyangkut rahasia negara.

Aman karena jaringan eksklusif

Blackberry (BB) merupakan smartphone yang sedang populer di Indonesia saat ini dan secara de Facto berhasil menggeser popularitas Nokia Communicator yang selama bertahun-tahun menguasai pangsa pasar terbesar smartphone di Indonesia, baik pengguna yang memang benar membutuhkan dan menggunakan secara penuh fitur tersebut maupun yang hanya ingin gaya / keren saja karena bisa beli ponsel mahal. Banyak keunggulan yang diklaim pengguna BB baik dari kemampuan push email, messenger, GPS, browsing dan seabrek keunggulan lainnya yang sebenarnya secara teknis juga dimiliki oleh Smartphone lainnya. Kalau memang benar secara teknis BB tidak memiliki keunggulan fitur dan kemampuan yang signifikan dibandingkan dengan smartphone lainnya, lalu apa rahasianya sehingga BB bisa menguasai pangsa pasar smartphone yang sangat kompetitif. Jawabannya ada pada jaringan eksklusif yang dimiliki oleh RIM (Research In Motion) yang menghubungkan seluruh BB di seluruh dunia. Dengan adanya jaringan eksklusif ini, para pengguna BB dapat berkomunikasi baik mengirimkan email maupun BB Messenger (sejenis Yahoo Messenger) hanya mengandalkan PIN (nomor pengenal) BB dan hal ini hanya dapat dilakukan pada perangkat BB. Faktor lain adalah karena jaringan yang dikelola sendiri oleh RIM memungkinkan RIM untuk menjaga kehandalan koneksi perangkatnya dimana sebagai contoh Pushmail yang menjadi salah satu fitur unggulan BB terkenal handal karena mengandalkan jaringan RIM untuk mendownload email dari mailserver manapun diseluruh dunia. Hal ini menghilangkan ketergantungan pada provider yang tidak bisa didapatkan perangkat lain yang mengandalkan 100 % koneksi internet pada koneksi provider. Selain itu, ada beberapa hal kecil tetapi sangat berpengaruh dimana RIM juga melakukan “pekerjaan rumahnya” memberikan layanan terbaik bagi pelanggan dimana ia melakukan kompresi untuk lalu lintas data jaringannya dan menerapkan beberapa aturan tambahan seperti tidak secara otomatis mengunduh lampiran email sehingga hal ini menurunkan bandwidth koneksi secara signifikan yang berakibat peningkatan kecepatan koneksi dibandingkan pesaingnya.

Pencuri HP yang berpengalaman akan menghindari mencuri BB, maksudnya jika dibandingkan dengan smartphone lainnya (kalau dibandingkan dengan tidak dapat apa-apa yah namanya pencuri apa yang ada di depan mata pasti di sikat :P), karena setiap perangkat BB yang terkoneksi ke server RIM harus memiliki pengenal yang unik yang di sebut PIN BB. Jika perangkat BB anda hilang, anda bisa melaporkan ke RIM sehingga PIN perangkat anda yang hilang tersebut diblokir dan otomatis perangkat BB curian tadi sampai jaman kuda gigit prosesorpun tidak akan bisa mengakses jaringan RIM dan hanya bisa melakukan telepon, SMS dan MMS yang hanya mengandalkan jaringan provider. Dengan kata lain, Blackberrynya jadi kehilangan kekuatan utamanya, ibarat Samson di cukur sampai botak. Ini yang membedakan BB dengan smartphone biasa. Sebenarnya setiap telepon memiliki pengenal yang unik yang dikenal dengan istilah IMEI dan secara teori bisa diblokir dan tidak bisa dipakai lagi, tetapi yang menjadi masalah, provider di Indonesia tidak memiliki database yang terhubung sehingga “andaikan” provider anda bersedia melakukan pemblokiran IMEI HP yang hilang pada servernya tetapi jika HP tersebut menggunakan provider lain, maka HP tersebut akan bisa berfungsi. Untuk berhasil memblokir IMEI di satu provider saja sudah seperti dapat undian, ini meminta blokir IMEI di semua provider ……. Musti lebih beruntung dari dapat undian :P.

Selain digunakan untuk kepentingan positif, rupanya teroris Mumbai juga menggunakan BB dalam menjalankan aksinya, salah satu alasannya adalah karena enkripsi yang disediakan oleh perangkat ini sudah cukup aman dan membutuhkan usaha, biaya dan sumberdaya yang besar untuk dapat mengawasi komunikasi data seluruh pengguna Blackberry di satu negara, katakanlah India atau Indonesia sekalipun.

Sampai-sampai presiden Barrack Obama secara tidak langsung “mempromosikan”BB karena rupanya ia termasuk pengguna BB yang intensif dan banyak terbantu oleh BB dalam komunikasi ketika kampanye. Sehingga ketika ingin dipisahkan dari BBnya (tercinta), ia langsung melakukan perlawanan mempertahankan BBnya. Sebenarnya para petugas kantor kepresidenan tidak berlebihan karena untuk level Presiden Amerika Serikat, menggunakan BB untuk komunikasi resmi urusan kantor (Kepresidenan Amerika Serikat) sangat berbahaya. Salah satu hal yang ditakuti adalah pengaktifan GPS BB milik Obama akan memberikan koordinat yang tepat dimana dia berada dan hal ini akan sangat membantu pihak yang berniat jahat padanya.

Seperti diuraikan di atas, sebenarnya BB termasuk perangkat yang lebih aman dibandingkan dengan smartphone lainnya karena selain menggunakan jaringan provider, ia memiliki jaringan sendiri yang eksklusif. Tetapi ini hanya berlaku jika penggunanya orang awam dan bukan orang penting dengan data komunikasi yang penting dan di incar. Kalau smartphone dapat kita ibaratkan sebagai mobil yang dapat melindungi penggunanya dari ranjau paku karena sudah menggunakan ban tubeless, maka Blackberry bisa diibaratkan dengan mobil khusus dengan teknologi run flat tire. Jadi sekalipun terkena ranjau khusus ban tubeless mobil tetap stabil dijalankan sampai kecepatan 80 KM per jam. Tetapi Presiden Obama membutuhkan lebih dari itu, selain run flat tire, presiden Obama juga membutuhkan mobil antipeluru dan antibom mobil karena ancaman untuknya jauh lebih besar dari orang awam. Demikian pula dengan Blackberry dari Presiden Obama, meskipun sudah dilengkapi dengan jaringan eksklusif dari RIM (Researh in Motion) dan khusus untuk Blackberry Presiden Obama RIM juga memberikan enkripsi tambahan, hal ini masih tetap dinilai tidak aman oleh NSA (National Security Agency), agensi kriptografi pemerintah Amerika yang mengkhususkan diri melindungi informasi vital Amerika. Hal ini diyakini benar karena seorang hacker terkenal, Kevin Mitnick secara tidak langsung sudah membeberkan langkah strategis untuk memecahkan kode sandi pelindung (enkripsi) Blackberry Obama yang sudah diperkuat dengan enkripsi ganda. Kalau bicara memecahkan enkripsi yang paling rumit sekalipun, sekumpulan hacker di Rusia dalam waktu tidak terlalu lama akan berhasil mencari cara untuk mengetahui informasi penting terenkripsi yang di kirimkan oleh Presiden Obama, belum lagi bicara pemerintah negara lain yang berkepentingan yang memiliki dana dan sumberdaya yang dapat dikatakan tidak terbatas untuk memecahkan kode sandi enkripsi ini, karena pada prinsipnya tidak ada enkripsi yang aman di dunia ini dan hanya masalah waktu dan sumberdaya saja untuk memecahkan satu enkripsi rumit. Hal ini terbukti pada Perang Dunia II dimana pihak sekutu berhasil memecahkan enkripsi intelijen Enigma milik Jerman dan Purple yang digunakan oleh angkatan bersenjata Dai Nippon. Karena itulah NSA merekomendasikan prangkat pengganti BB untuk Presiden Obama yang diproduksi oleh General Dynamics, Sectera Edge. Perangkat komunikasi yang “diklaim” paling aman di dunia (saat ini) karena sudah disertifikasi oleh NSA.

Sectera Edge

Sectera Edge adalah perangkat komunikasi yang sudah disertifikasi oleh NSA sehingga dipercaya untuk menjadi pengganti BB presiden Obama dalam melakukan komunikasi kepresidenan. Salah satu kunci pengamanan Sectera Edge ini adalah karena jaringannya yang digunakannya SIPRnet (Secret Internet Protocol Router Network) terpisah dan tidak digabungkan dengan jaringan komunikasi konvensional lain. Sectera Edge dapat memanfaatkan tiga modul komunikasi yaitu Wi-Fi, GSM dan CDMA. Selain itu, ia memiliki keunggulan tahan debu, tahan air (baik kena air hujan maupun tercebur ke dalam selokan), tahan perubahan cuaca ekstrem dan tahan guncangan dimana jika terjatuh dari ketinggian 4 kaki ke permukaan keras masih tetap berfungsi dengan baik.

Gambar 1, Sectera Edge memiliki fitur seabrek dan diklaim paling aman karena disertifikasi NSA

Yang cukup mengejutkan, Sectera Edge ini menggunakan OS Microsoft Windows Mobile dimana di dalamnya termasuk Word, Excel, Powerpoint dan Windows Media Player. Walaupun di dunia komputer “om”nya Windows Mobile ini a.k.a sistem operasi Windows merupakan yang paling banyak diserang virus, tetapi di dunia seluler ternyata yang paling banyak diserang virus ternyata adalah sistem operasi Symbian dan mayoritas penyebarannya memanfaatkan Bluetooth dan memory card. Hal ini merupakan konsekuensi logis dimana sistem operasi yang paling menggoda pembuat virus bukan menunjuk pada satu merek tertentu tetapi sistem operasi yang paling populer karena pembuat virus akan membidik jumlah korban potensial yang paling banyak.

Perlu ditegaskan kembali bahwa Sectera Edge ini walaupun sering diplesetkan sebagai Barrackberry, ternyata tidak memiliki hubungan apapun dengan Blackberry. Blackberry merupakan produk besutan RIM dari Kanada dengan dengan sistem operasi Blackberry, sedangkan Sectera Edge adalah produk General Dynamics, kontraktor militer langganan pemerintah Amerika Serikat yang menggunakan sistem operasi Windwos Mobile.

Sekuriti berbanding terbalik dengan kenyamanan, demikian pula yang harus diterima oleh pengguna Sectera Edge. Selain ukurannya yang besar dan menyerupai bakiak dan tangguh sehingga tetap masih bisa berfungsi walaupun sudah dipakai untuk melempar kepala penjahat, tidak sembarang peralatan komunikasi bisa terhubung dengan Sectera Edge. Sebagai contoh, karena data suara di enkripsi, maka untuk mendengarkan suara tersebut, lawan bicaranya juga harus menggunakan perangkat yang dapat mendekripsi data yang telah di enkripsi tersebut. Jadi lawan bicaranya harus menggunakan Sectera Edge compatible GSM phone atau telepon biasa yang memiliki kemampuan dekripsi percakapan yang di enkripsi Sectera Edge. Fitur ini yang diberi nama Talk Secure. Secara teori, cara untuk mengetahui data yang dienkripsi adalah dengan mendapatkan kunci dekripsinya dan kemungkinan kunci yang di incar oleh pihak yang berkepentingan dalam mengalahkan pengamanan Sectera Edge adalah teknologi Talk Secure ini (baik secara software maupun hardware).

Gambar 2, Perangkat yang dapat berkomunikasi dengan Sectera Edge harus memiliki teknologi Talk Secure

Selain itu, ada satu hal yang tidak mengenakkan bagi Obama menggunakan Sectera Edge ini, bandwidth SIPRnet dijaga ketat oleh Departemen Pertahanan Amerika Serikat, dimana semua komunikasi data diawasi oleh sejumlah dewan pengawas yang bertugas menyaring dan mengukur tingkat keamanan data yang mengalir. Bayangkan seperti film “24”, bagaimana kalau justru dewan pengawas ini yang berhasil disusupi, enkripsi secanggih seperti apa juga akan percuma. Hukum sekuriti kembali berlaku, titik terlemah dalam implementasi sekuriti adalah ..… manusia.

 Salam,

Alfons Tanujaya

Antivirus Specialist

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

http://vaksin.com/2009/0509/Teh%20Botol%20HOAX/Teh%20Botol%20HOAX.htm

 

 Share

=HOAX= Teh botol Sosro Mengandung Racun =HOAX=        11 Mei 2009

 

Dalam satu minggu terakhir ini produsen minuman Teh Botol blingsatan karena diterpa issue Teh Botol mengandung Racun. HOAX yang ditengarai muncul pada awal Mei 2009 ini beredar sangat cepat karena tingkah para pengguna komputer (khususnya) email dan beberapa blogger yang "berbaik hati" memperingatkan teman-temannya atau siapapun supaya tidak menjadi "korban" racun Teh Botol. Alih-alih membantu orang, si pengirim email inilah yang sebenarnya teracuni oleh berita bohong karena tidak melakukan crosscheck terlebih dahulu sebelum mengirimkan email.

 

Analisa HOAX :

• Pembuat HOAX ini cukup piawai, karena ia langsung menyentuh ketakutan orang tua masa kini, dimana yang menjadi korban adalah anak kecil yang rewel. Siapa yang tidak khawatir kalau anaknya sakit ?
• Hidroxilic acid atau dihidrogen monoksida.

Mungkin nama "seram" berbau kimia ini yang meyakinkan mayoritas orang awam percaya dan memutuskan untuk memforward email ini. Dimana sering terjadi orang meninggal karena keracunan Karbon Monoksida (CO) di dalam mobil yang diparkir dan tetap dinyalakan mesinnya. Tetapi perlu anda ketahui bahwa dihidrogen monoksida adalah dua (di) hidrogen, satu (mono) oksida ditulis dengan nama H2O yang artinya air. Jadi jika anda teliti sedikit dan waktu sekolah SMA dulu tidak menyontek terlalu banyak, anda akan tahu bahwa dihidrogen monoksida adalah rumus kimia untuk air.

• Pembuat HOAX berusaha mendapatkan pengesahan dari sumber terpercaya seperti "Universitas terkenal di Amerika", walah universitas terkenal di Amerika mah banyak sekaleeee. Universitas yang mana ?
• HOAX ini menakuti korbannya, khususnya orang yang masih sayang nyawa :P. Dengan kalimat "Sedetik saja gejala kelebihan ini terlambat ditangani, nyawa pasien melayang," jawab Dr. Priyadi Handoko, ahli kesehatan dari IKDN. Padahal siapa Dr. Priyadi Handoko dan apa itu IKDN tidak dapat ditemukan dan tidak dapat memberikan konfirmasi.
• Lalu seperti layaknya standar HOAX, tidak lupa pembuat HOAX ini "menghimbau" penerima berita untuk meneruskan informasi ini dengan kalimat "Please spread the words. Sebarkan berita ini kepada orang-orang yang kamu sayangi, sebelum semuanya terlambat! Perangi hydroxylic acid! "

 

Pembuktian HOAX :

Ada tiga sumber yang dapat memverifikasikan bahwa informasi ini tidak benar :

• http://en.wikipedia.org/wiki/Dihydrogen_monoxide_hoax yang menjelaskan bahwa DHMO atau Dihydrogen Monoxide adalah H2O atau air. Ide HOAX menggunakan istilah DHMO ini pertama kali digunakan oleh Eric Lechner dan Matthew Kaufman di tahun 1990, dirubah sedikit oleh Craig Jackson di tahun 1994 dan menjadi populer karena Nathan Zohner (14 tahun) di tahun 1997 yang menggalang petisi untuk memboikot DHMO :P. Lalu oleh seorang praktisi periklanan Indonesia CCI (Creative circle Indonesia), Hariadi dimodifikasi menjadi HOAX Teh Botol Beracun. (April 2009).
• Situs Hariadi yang menjelaskan kronologi pengiriman HOAX yang sebenarnya merupakan konsep periklanan untuk komunitas tertutup, tetapi celakanya malah disebarkan keluar oleh orang yang "baik hati" (untuk tidak mengatakan "keterlaluan"). http://hariadhi.wordpress.com/2009/05/08/kronologis-hoax-teh-botol-sosro/
•  Situs Teh Botol Sosro yang (tentunya :P) langsung mengklarifikasikan ketidakbenaran HOAX ini. http://sosro.com/Klarifikasi-Tehbotol-Sosro-Mengenai-HOAX-Hydroxilic-Acid.php

 

Celakanya, kebiasaan langsung memforward email tanpa konfirmasi sangat sulit dihilangkan. Bahkan menurut pantauan Vaksincom, selain menyebar melalui email ada netter  yang "baik hati" lalu mempostingkan informasi ini ke website (blognya). Pertimbangannya cuma satu "Lebih baik berjaga-jaga dripada nyesel dikemudian hari". Harusnya kan lebih baik crosscheck dulu sebelum posting blog dan lebih baik ikuti pepatah "Lebih baik Crosscheck dulu daripada malu dikemudian hari" :P.

http://meixiangflv97scs.blogs***.com/2009/05/hati-hati-teh-botol-sosro.html

http://celebrity.detikyogyaka***.net/tag/handoko/

 

<<<Awal berita HOAX>>>

Waspada, Teh Botol Sosro Racunnya Teh

Marini tidak mengerti kenapa anaknya bertingkah aneh malam itu, terus-terusan rewel. 
"Rasanya dia tidak sakit apa-apa." Sudah tiga dokter yang dia temui, semuanya menunjukkan gejala kecanduan yang akut. Tapi kecanduan apa, anaknya belum bisa bicara, bagaimana dia bisa cari tahu?

Sampai akhirnya dia menemukan berita mengenai kandungan berlebihan hidroxylic acid (atau nama resminya dalam format IUPAC adalah dihidrogen monoksida) di dalam Teh Botol Sosro dari internet. Ia langsung ingat, anaknya tadi siang baru saja menghabiskan tiga botol teh yang dibungkus dalam berbagai kemasan dan merk ini. Celaka!

Ya, selama ini orang menganggap Teh Botol Sosro dibuat dari daun teh alami seperti yang diiklankan. Nyatanya itu semua bohong, daun teh hanyalah sebagian kecil dari bahan utama. Hidroxylic acid lah yang bertahun-tahun telah dipakai sebagai bahan utama teh botol sosro, sehingga menyebabkan teh ini terasa lebih enak daripada merk-merk lain.

Scientist dari seluruh Universitas terkenal di Amerika sepakat, tanpa kita sadari hydroxylic acid sudah menguasai industri makanan. Dengan adanya hydroxylic acid, rasa pahit yang sering muncul bila kita memakai pemanis buatan bisa hilang tidak bersisa. Nyaris tidak ada makanan dan minuman olahan yang tidak disentuh bahan ini.
Dalam batasan wajar memang bisa berguna bagi tubuh kita, dan tubuh kita punya mekanisme untuk menetralisir kelebihan zat ini. Namun begitu melebihi ambang batas, tidak ada satupun manusia yang bisa selamat.

Gejala kelebihan hydroxylic acid meliputi pusing, diare, pecahnya sel-sel tubuh (plasmolisis) , bahkan jika konsentrasinya di dalam tubuh naik signifikan, bisa menyebabkan rusaknya sel batang otak (neurolisis) dan kematian mendadak. Hal ini telah memusingkan banyak petugas medis di dunia. "Sedetik saja gejala kelebihan ini terlambat ditangani, nyawa pasien melayang," jawab Dr. Priyadi Handoko, ahli kesehatan dari IKDN.  Kalau sudah begini, pengobatannya bisa sampai jutaan rupiah.  Lalu mampukah
orang-orang seperti Marini menyembuhkan anaknya?

Yang membuat masalah ini jadi runyam adalah tidak adanya regulasi pemerintah tentang penggunaan hydroxylic acid dalam industri. Pemakaiannya tercampur baur. Data menunjukkan bahwa sebagian besar industri berbahaya memakai Hydroxylic acid. Reaktor nuklir, pabrik pupuk, pewarna tekstil, semua memakai bahan yang termasuk kategori senyawa kuat ini dalam konsentrasi tinggi.

Bahkan beberapa tahun belakangan hydroxylic acid
juga dipakai sebagai agen reaktif dalam pengangkatan minyak bumi. Dengan bantuan hydroxylic acid, sumur-sumur tua bisa kembali berproduksi.

Saat dihubungi, Humas PT Sosro tidak berkomentar banyak. "Kami sudah menggunakannya secara bertanggung jawab. Seluruh lini produk Teh Botol Sosro sudah lewat pengawasan badan POM". Masalahnya, berapa kadar hydroxylic acid dalam makanan yang bisa dianggap bertanggung jawab? Kenapa selama ini terkesan ditutup-tutupi dari sorotan publik? Saat pertanyaan itu diajukan, "Brak!", telepon dibanting.

Hydroxylic acid adalah simbol keangkuhan industri besar makanan. Penggunaannya tidak melalui transparansi yang jelas. Bahkan bahayanya tidak pernah diumumkan ke masyarakat.. Tutup matanya pemerintah terhadap isu ini wajar jika menimbulkan kecurigaan, berapa besar dana gelap yang sudah mengalir untuk menyembunyikan bau busuk isu hydroxylic acid? Merk apa saja yang sudah nekat memakai hydroxylic acid demi mendapatkan keuntungan besar?

Kini anak Marini masih tergolek di tempat tidur dengan menangis. Marini bingung, apa yang harus dilakukan sekarang. Untuk mengobati kecanduan anaknya, dia tidak punya biaya..

Please spread the words. Sebarkan berita ini kepada orang-orang yang kamu sayangi, sebelum semuanya terlambat! Perangi hydroxylic acid!

Perangi Teh Botol Sosro!

<<<Akhir berita HOAX>>>

 

Salam,

 

Alfons Tanujaya

info@...

 

Antivirus Specialist

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

 

Share on Facebook

W32/VBTroj.AOQB              25 Mei 2009

Nadia Saphira reinkarnasi Donal Bebek ?

 

Siapa yang tidak kenal Nadia Saphira??? Artis Indonesia yang memulai karier awal-nya sebagai model sebuah majalah remaja, dan kini  sudah termasuk artis muda yang sukses membintangi berbagai film layar lebar, sinetron dan serial TV, seperti Jomblo, Coklat Stroberi, Ada Apa dengan Cinta, Dunia Tanpa Koma, dsb.

 

Jika anda penggemar Nadia, maka anda perlu berhati-hati karena telah menyebar varian baru virus Bulu Bebek dengan nama “Nadia Saphira”. Jika anda pernah baca artikel vaksin tentang virus Bulu Bebek pada http://www.vaksin.com/2008/1008/bulubebek/bulubebek.html , varian ini merupakan kelanjutan-nya. Pembuat virus sepertinya tidak hanya terinspirasi oleh Donal Bebek tetapi juga merupakan penggemar dari Nadia Saphira. Berdasarkan script yang dibuat oleh si pembuat virus, virus ini diduga berasal dari Sultra (Sulawesi Tenggara). Hebatnya lagi, virus yang penyebarannya cukup tinggi di bulan Mei 2009 ini menurut pantauan Vaksincom masih belum dapat terdeteksi oleh program antivirus, baik yang mengaku sebagai antivirus terbaik di dunia ataupun tidak. Saat artikel ini diluncurkan, antivirus lokal yang mampu mendeteksi virus Nadia Saphira ini hanya Smadav.

 

Norman Security Suite mendeteksi varian virus Nadia Saphira sebagai W32/VBTroj.AOQB. (lihat gambar 1)

Gambar 1. Norman mendeteksi virus Nadia Saphira sebagai W32/VBTroj.AOQB

 

File virus

 

Ciri-ciri dari file virus ini, diantaranya sebagai berikut :

ü  Memiliki ukuran file sebesar “17 kb & 69 kb”.

ü  Mempunyai type file “Application”.

ü  Berekstensi file “exe & ini”.

ü  Memiliki icon folder.

ü  Membuat duplikat folder seduai dengan nama folder yang ada dan menyembunyikan folder aslinya.

ü  Menghilangkan pilihan “Folder Options”.

ü  CD Rom tidak bisa digunakan

ü  Command Prompt tidak bisa diakses.

 

Virus Nadia Saphira dibuat dengan menggunakan bahasa pemrograman visual basic. Jika virus berhasil menginfeksi, maka ia akan membuat beberapa file virus diantaranya :

ü  C:\autorun.inf (pada semua root drive)

ü  C:\NadiaSaphira.ini (pada semua root drive)

ü  C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe

ü  C:\Documents and Settings\%User%\NadiaSaphira.ini

ü  C:\WINDOWS\taskmgr.exe

ü  C:\WINDOWS\system32\.exe

ü  C:\WINDOWS\system32\allsys.exe

ü  C:\WINDOWS\system32\misconfig.exe

ü  C:\WINDOWS\system32\MS586.sys

ü  C:\WINDOWS\system32\System

ü  C:\WINDOWS\system32\wtoolsb.exe

ü  C:\WINDOWS\system32\dllcache\.exe

ü  C:\WINDOWS\system32\ dllcache\System

ü  Membuat duplikat file virus pada setiap folder yang ada pada removable drive/usb. (lihat gambar 2)

 

Gambar 2. Contoh file virus Nadia Saphira

 

Hidden folder & membuat duplikat virus

Sama seperti virus Bulu Bebek, virus Nadia Saphira juga tidak memiliki niat jahat dengan menghancurkan data komputer. Tetapi virus ini hanya menyembunyikan folder / sub folder pada drive maupun pada flashdisk / external, untuk mengelabui user virus akan membuat duplikat di setiap folder/sub folder sesuai dengan nama folder yang disembunyikan. Selain itu virus juga membuat type file sesuai dengan type file folder. (lihat gambar 3)

Gambar 3. virus Nadia Saphira in Action (duplikat dan hidden folder)

 

Blok fungsi Windows

Sebagai bentuk pertahanan, virus akan mencoba melakukan usaha blok terhadap beberapa fungsi Windows. Beberapa fungsi Windows yang di blok diantaranya sebagai berikut :

ü  Folder Options (dilakukan untuk mencegah akses terhadap file/folder yang disembunyikan)

ü  Registry Editor (dilakukan untuk mencegah akses perbaikan registry) (lihat gambar 4)

ü  Search/Find (dilakukan untuk mencegah dari pembersihan virus)

ü  Command Prompt (dilakukan untuk mencegah dari proses kill virus)

Gambar 4. virus Nadia Saphira in Action (blok fungsi windows)

 

Aktif pada start up

 

Untuk memastikan agar dapat aktif dengan baik pada saat komputer dijalankan, virus menyisipkan file virus pada startup windows sehingga akan langsung aktif jika kita sudah masuk windows. Setelah aktif, virus memanggil kedua rekannya (virus pendukung) agar sulit dimatikan. File virus yang aktif pada startup yaitu :

ü  C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe

File ini yang kemudian memanggil kedua rekannya (virus pendukung) untuk memperkuat existensinya, yaitu :

ü  C:\WINDOWS\system32\misconfig.exe

ü  C:\WINDOWS\taskmgr.exe (lihat gambar 5)

Gambar 5. virus Nadia Saphira in Action (aktif pada startup)

 

Registry windows

Agar dapat melakukan blok fungsi “Search” windows, virus akan membuat string registry sebagai berikut :

 

ü  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

nofind = 1

ü  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ Explorer

nofind = 1

 

Agar dapat melakukan blok fungsi “Folder Options” windows, virus akan membuat string registry sebagai berikut :

ü  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

NoFolderOptions = 1

 

Agar dapat melakukan blok fungsi “Registry Editor” windows, virus akan membuat string registry sebagai berikut :

ü  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

DisableRegistryTools = 1

 

Agar dapat melakukan blok fungsi “Command Prompt” windows, virus akan membuat string registry sebagai berikut :

ü  HKEY_CURRENT_USER\Software\Microsoft\Command Processor

Autorun = 

ü  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor

Autorun = 

 

Walaupun “Folder Options” sudah di blok, tetapi virus mencegah untuk menampilkan file yang tersembunyi. Untuk itu, ia membuat string registry sebagai berikut :

ü  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

CheckedValue = 0

DefaultValue = 0

 

Agar dapat mengelabui user terhadap file virus dan mencoba mengubah type file exe, virus membuat string sebagai berikut :

ü  HKEY_CLASSES_ROOT\exefile

(Default) = File Folder

Info Tip = File Folder

TileInfo = File Folder

 

Terakhir virus berusaha melakukan blok ekseskusi file “Microsoft Visual Studio Spy Debugging Tools”, virus membuat string sebagai berikut :

ü  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe

Debugger =

ü  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sessmgr.exe

Debugger =

ü  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SPYXX.exe

Debugger =

 

Metode Penyebaran

Dengan memanfaatkan system autoplay windows, virus ini menggunakan removable drive / usb sebagai sarana penyebaran dirinya. Beberapa file yang akan di buat virus yaitu :

ü  autorun.inf

ü  NadiaSaphira.ini

ü  Membuat file virus dan menggandakan diri pada setiap folder yang ada (lihat gambar 6)

 

Gambar 6. Script virus untuk autoplay virus

 

Cara pembersihan virus Nadia Saphira

 

o    Sebaiknya putuskan komputer yang akan dibersihkan dari jaringan.

o    Matikan “System Restore” selama proses pembersihan virus (untuk Windows XP / Vista).

o    Matikan proses virus yang aktif di memory. Gunakan tools pengganti task manager, seperti CProcess (dapat anda download pada alamat berikut)

 

http://www.nirsoft.net/utils/index.html

 

Lakukan kill process, pada beberapa file virus yang aktif yaitu :

ü   C:\Documents and Settings\All User\Start Menu\Programs\Startup\lan.exe

ü   C:\WINDOWS\system32\misconfig.exe

ü   C:\WINDOWS\taskmgr.exe (lihat gambar 7)

Gambar 7. Kill process virus yang aktif dengan CurrProcess

 

o    Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

 

 

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

                       

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

 

[UnhookRegKey]

HKCR, batfile\shell\open\command,,,"""%1"" %*"

HKCR, comfile\shell\open\command,,,"""%1"" %*"

HKCR, exefile\shell\open\command,,,"""%1"" %*"

HKCR, piffile\shell\open\command,,,"""%1"" %*"

HKCR, lnkfile\shell\open\command,,,"""%1"" %*"

HKCR, scrfile\shell\open\command,,,"""%1"" %*"

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced,

HKLM, SOFTWARE\Classes\exefile\DefaultIcon,,,""%1""

HKLM, SOFTWARE\Classes\exefile,,,"Application"

HKLM, SOFTWARE\Classes\exefile,infotip,0, "prop:FileDescription;Company;FileVersion;Create;Size"

HKLM, SOFTWARE\Classes\exefile,TileInfo,0, "prop:FileDescription;Company;FileVersion"

HKCU, Software\Microsoft\Command Processor, AutoRun,0,

HKLM, SOFTWARE\Microsoft\Command Processor, AutoRun,0,

HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001,1

HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, DefaultValue, 0x00010001,2

 

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, nofind

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer, nofind

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sessmgr.exe

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SPYXX.exe

 

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

 

o    Hapus file virus yang mempunyai ciri-ciri sebagai berikut :

ü  Icon application/folder

ü  Ext. exe

ü  Ukuran 69 kb & 17 kb

 

Catatan

o    Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.

o    Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe & *.ini yang mempunyai ukuran 69 KB & 17 KB.

o    Hapus file virus yang biasanya mempunyai date modified yang sama.  (lihat gambar 8)

Gambar 8. Hapus file virus melalui fitur search windows

 

o    Tampilkan kembali folder yang disembunyikan pada drive atau flashdisk. Gunakan perintah “ATTRIB” pada command prompt.

ü    Klik “Start”

ü    Klik “Run”

ü    Ketik “CMD”, kemudian tekan tombol “Enter”

ü    Pindahkan posisi kursor ke drive Flash Disk

ü    Kemudian ketik perintah ATTRIB –s –h –r /s /d kemudian tekan tombol “enter (lihat gambar 9)

 

Gambar 9. Menampilkan file yang disembunyikan

 

o    Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik.

 

Salam,

Ad Sap

 

info@...

 

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

Ph : 021 345 6850

Fx : 021 345 6851

Bagi anda yang ingin memberikan komentar atau bertanya seputar virus Nadia Saphira, silahkan klik Forum khusus virus Nadia Saphira http://www.facebook.com/topic.php?topic=8232&post=28947&uid=44419857236#post28947

 

http://vaksin.com/2009/0609/mahadewa/mahadewa.html

 

Share on Facebook

VBS.Autorun.AM                    8 Juni 2009

MaHaDeWa yang berani tampil beda

 

Penyebaran virus saat ini tidak selalu “made in” Visual Basic tetapi dengan bahasa sederhana setingkat VBScript [VBS] sang VM sudah dapat membuat sebuah virus yang mempuyai daya serang yang tak kalah dengan virus yang dibuat dengan VB.

 

Munculnya virus yang dibuat dengan VBS pertama kali ditemukan pada virus W32/Solow [r4n694-24y], yang akan menampilkan pesan “Hacked By Godzilla” pada jendela Internet Explorer anda serta merubah nama pemilik Windows. (lihat gambar 1)

 

 Gambar 1, Header Internet Explorer yang sudah diubah oleh W32/Solow

 

Jika anda ingin mengethaui informasi virus Solow, ikuti link berikut http://vaksin.com/2007/0407/solow.htm

 

Sama seperti virus yang dibuat dengan bahasa VB yang tidak akan berkutik jika file C:\Windows\system32\msvbvm60.dll di hapus, begitupun dengan virus yang dibuat dengan bahasa VBS yang juga tidak akan berkutik jika file C:\Windows\system32\WSCript.exe dan C:\WINDOWS\system32\dllcache\WsCript.exe dihapus. Bedanya jika virus yang dibuat dengan VB masih dapat dijalankan jika file msvbvm60.dll dicopy ke tempat dimana file virus tersebut berada sedangkan file virus yang dibuat dengan VBS tidak akan dapat dijalankan meskipun file WSCript.exe di copy ke lokasi dimana file virus tersebut berada.

 

MaHaDeWa muncul ramaikan pertempuran

Untuk meramaikan kancah pertempuran di dunia maya, kini telah muncul satu jenis virus hasil “rakitan” anak bangsa yang dibuat dengan bahasa VBScript. Kali ini file yang di usung cukup besar dan tidak wajar untuk ukuran virus yakni sekitar 30,426 KB alias 30 MB. Mungkin inilah salah satu sebabnya virus ini menamakan dirinya MaHaDeWa, karena ukurannya yang Maha / Jumbo. (lihat gambar 2)

 

Biasanya virus yang menyebar saat ini mempunyai ukuran yang lebih ramping sekitar 22 kb - 1 MB, semakin kecil ukuran file virus maka waktu dan tempat yang dibutuhkan oleh virus untuk berkembang biak menjadi semakin kecil sehingga secara otomatis penyebarannya akan lebih mudah dan meluas. Anda bisa membayangkan jika virus tersebut mempunyai ukuran lebih dari 1 MB maka membutuhkan waktu yang lama untuk mengkopikan dirinya kedalam system komputer yang menjadi target sehingga proses penyebarannya pun akan terhambat. Karena itu, memang memerlukan orang yang memiliki pemikiran "agak" berbeda dan berani menerobos pakem biasa dimana daripada menerapkan pakem yang sama bahwa small is wonderful, pembuat virus yang satu ini lebih memilih Big is beautiful :P. Hebatnya, menurut pengamatan Vaksincom, virus MaHaDeWa juga sempat menyebar dengan tingkat infeksi cukup tinggi, walaupun belum sampai menjadi virus Top 10 di Indonesia.

 

Gambar 2, File induk MaHaDeWa atau VBS/AutoRun.AM yang memiliki ukuran "maha".

 

Virus ini di sinyalir dibuat oleh salah seorang mahasiswa dari UBL, hal ini bisa dilihat dari script dan jejak yang ditinggalkan oleh virus  tersebut.

 

Ciri-Ciri MaHaDeWa

 

1.      Merubah Judul internet Explorer menjadi MaHaDeWa Labkom UBL (lihat gambar 3)

Gambar 3, MaHaDewa merubah Header Internet Explorer

 

2.      Merubah start page Internet Explorer menjadi http://webkom

3.      Merubah nama komputer dan nama pemilik Windows (lihat gambar 4)

a.       RegisteredOrganization = Your pc has been clean from Nita Virus by MaHaDeWa

b.      RegisteredOwner = MaHaDeWa

Gambar 4, MaHaDewa merubah nama pemilik komputer

 

o    Merubah Walpaper Windows dengan terlebih dahulu membuat string pada registry berikut : (lihat gambar 5)

 

o    HKEY_CURRENT_USER\Control Panel\Desktop

§  ConvertedWallpaper = C:\WINDOWS\Web\Wallpaper\Bliss.jpg"

 

o    HKEY_CURRENT_USER\Control Panel\Desktop

§  OriginalWallpaper  = C:\WINDOWS\Web\Wallpaper\Bliss.jpg

 

o    HKEY_CURRENT_USER\Control Panel\Desktop\

§  Wallpaper = C:\WINDOWS\Web\Wallpaper\Bliss.jpg

 

 

Gambar 5, Wallpaper yang sudah diubah oleh MaHaDeWa

 

Norman Security Suite mendeteksi virus MaHaDeWa sebagai VBS.Autorun.AM (lihat gambar 6)

 

Gambar 6, Virus MaHaDeWa di deteksi Norman Security Suite sebagai Trojan:VBS/AutoRun.AM

 

File induk MaHaDeWa

Sama seperti file yang dibuat dengan menggunakan program bahasa Visual Basic, agar dirinya dapat di aktifkan ia membutuhkan file pendukung yakni wscript.exe.

 

Pada saat dirinya aktif ia akan mencoba untuk membuat  beberapa file berikut sebagai file induk yang akan dijalankan pertama kali saat komputer diaktifkan.

 

o    C:\Windows\system32\WinXp.vbs

o    C:\MaHaDeWa.dll.vbs [setiap drive]

Untuk memastikan agar dirinya dapat aktif secara otomatis setiap kali komputer dinyalakan, ia akan membuat string pada registry berikut:

 

o    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

o    Systemdir = C:\Windows\System32\MaHaDeWa.dll.vbs

o    Ageia = C:\WINDOWS\system32\WinXp.vbs

Selain dengan membuat string registry tersebut, agar dirinya dapat aktif secara otomatis saat user akses Flash Disk atau Drive lain di komputer, ia juga akan memanfaatkan fitur autoplay Windows dengan membuat file autorun.inf dimana file ini akan secara otomatis menjalankan file MaHaDeWa.dll.vbs tanpa perlu menjalankan file tersebut. File autorun.inf ini akan dibuat disetiap Drive termasuk pada Flash Disk (lihat gambar 7)

 

Gambar 7, MaHaDeWa memanfaatkan fitur Autorun.inf agar virus dapat aktif secara otomatis sewaktu Flash Disk di akses

 

Kawan atau Lawan?

Sebenarnya apa tujuan sang VM membuat virus ini, Apakah MaHaDeWa ini kawan atau Lawan?

 

Jika kita bongkar isi script yang ada pada file MaHaDeWa.dll.vbs sangat jelas terlihat bahwa dia (VBS/Autorun.AM) ini mempunyai tujuan baik yang akan mencoba untuk mengembalikan registri yang sudah di acak-acak oleh virus sejenis yakni Nita.dll.vbs ataukah antara MaHaDeWa dan Nita ini mempunyai hubungan “khusus”, karena jika kita lihat pada string yang dibuat maka akan membentuk kata-kata N Love You Forever, hanya mereka berdua yang tahu J.

 

Berikut beberapa registry yang akan dihapus oleh VBS/Autorun.AM

 

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    N=C:\WINDOWS\system32\sol.exe"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    L=C:\WINDOWS\system32\spider.exe"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Lo=C:\WINDOWS\Help\Tours\mmTour\tour.exe"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Lov=C:\WINDOWS\Help\Tours\mmTour\intro.swf

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Love=C:\WINDOWS\Help\Tours\mmTour\nav.swf

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveY=C:\WINDOWS\Help\Tours\mmTour\segment1.swf

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYo=C:\WINDOWS\Help\Tours\mmTour\segment2.swf"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYou = C:\WINDOWS\Help\Tours\mmTour\segment3.swf

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouF = C:\WINDOWS\Help\Tours\mmTour\segment4.swf

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveyouFo = C:\WINDOWS\Help\Tours\mmTour\segment5.swf

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouFor = C:\WINDOWS\Help\Tours\WindowsMediaPlayer\wmptour.hta

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouFore=C:\WINDOWS\Help\Tours\htmlTour\best_fr.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYoyForev=C:\WINDOWS\Help\Tours\htmlTour\best_road.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouForeve=C:\WINDOWS\Help\Tours\htmlTour\best_robust.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouforever=C:\WINDOWS\Help\Tours\htmlTour\best_secure.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouforeve=C:\WINDOWS\Help\Tours\htmlTour\connected_data.htm"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouforev=C:\WINDOWS\Help\Tours\htmlTour\connected_fr.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYoufore= C:\WINDOWS\Help\Tours\htmlTour\connected_multiple.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYoufor=C:\WINDOWS\Help\Tours\htmlTour\connected_networks.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYoufo=C:\WINDOWS\Help\Tours\htmlTour\connected_wizard.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYouf=C:\WINDOWS\Help\Tours\htmlTour\default.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYou=C:\WINDOWS\Help\Tours\htmlTour\footer.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveYo=C:\WINDOWS\Help\Tours\htmlTour\safe_better.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    LoveY=C:\WINDOWS\Help\Tours\htmlTour\safe_easier.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Love=C:\WINDOWS\Help\Tours\htmlTour\safe_faster.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Lov= C:\WINDOWS\Help\Tours\htmlTour\safe_fr.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Lo = C:\WINDOWS\Help\Tours\htmlTour\start_control.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    L=C:\WINDOWS\Help\Tours\htmlTour\start_desktop.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    Univ.Budi_Luhur=C:\WINDOWS\Help\Tours\htmlTour\unlock_playing.htm

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    1=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Tools.VisualCPlusPlus.Runtime-Libraries_6595b64144ccf1df_6.0.0.0_x-ww_ff9986d7.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    2=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.0.0_x-ww_1382d70a.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    3=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    4=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.CPlusPlusRuntime_6595b64144ccf1df_7.0.0.0_x-ww_2726e76a.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    5=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.CPlusPlusRuntime_6595b64144ccf1df_7.0.2600.2180_x-ww_b2505ed9.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    6=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.GdiPlus_6595b64144ccf1df_1.0.0.0_x-ww_8d353f13.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    7=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.GdiPlus_6595b64144ccf1df_1.0.2600.2180_x-ww_522f9f82.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    8=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.Networking.Dxmrtp_6595b64144ccf1df_5.2.2.3_x-ww_468466a7.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    9=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.Networking.RtcDll_6595b64144ccf1df_5.2.2.3_x-ww_d6bd8b95.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    10=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.Networking.RtcRes_6595b64144ccf1df_5.2.2.3_en_16a24bc0.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    11=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.SystemCompatible_6595b64144ccf1df_5.1.0.0_x-ww_fc342b0b.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    12=C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.SystemCompatible_6595b64144ccf1df_5.1.2600.2000_x-ww_bcc9a281.cat"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    13 = C:\WINDOWS\notepad.exe"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    14 = C:\WINDOWS\SHELLNEW\ACCESS9.MDB"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    15 = C:\WINDOWS\SHELLNEW\MSPUB.PUB"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    16 = C:\WINDOWS\SHELLNEW\WINWORD8.DOC"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    17 = C:\WINDOWS\SHELLNEW\EXCEL9.XLS"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    18 = C:\WINDOWS\SHELLNEW\PWRPNT11.POT"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    19 = C:\WINDOWS\mui\muisetup.exe"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    20 = C:\WINDOWS\explorer.exe"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    21=C:\WINDOWS\pchealth\helpctr\System\DVDUpgrd\dvdupgrd.htm"

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

o    22 = C:\Program Files\Internet ExplorerEXPLORE.EXE"

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

o    Debugger = “”

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe

o    Debugger = “”

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe

o    Debugger = “”

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistryEditor.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PCMAV.exe

o    Debugger  = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PCMAV-CLN.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PCMAV-RTP.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wordpad.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VB6.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autorun.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ansav.exe

o    Debugger  = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\viremoval.exe

o    Debugger = ""

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\viremover.exe

o    Debugger = ""

VBS/Autorun.AM tidak akan melakukan blok terhadap fungsi-fungsi Windows atau security tetapi justru sebaliknya akan mencoba untuk mengembalikan fungsi Windows seperti Regedit/Task Manager/Folder Options dengan membuat string berikut:

 

o    HKEY_CURRENT_USER\Control Panel\International

o    s1159 = AM

o    HKEY_CURRENT_USER\Control Panel\International

o    s2359  = PM

o    HKEY_CURRENT_USER\Control Panel\Mouse

o    DoubleClickWidth = 4

o    HKEY_CURRENT_USER\Control Panel\Desktop\WindowMetrics

o    IconSpacing = -1125

o    HKEY_CURRENT_USER\Control Panel\Desktop\WindowMetrics

o    IconVerticalspacing = -1125

o    HKEY_CURRENT_USER\Control Panel\Desktop\WindowMetrics

o    Shell Icon Size = 32

o    HKEY_CURRENT_USER\Control Panel\Desktop\ConvertedWallpaper", "C:\WINDOWS\Web\Wallpaper\Bliss.jpg"

o    HKEY_CURRENT_USER\Control Panel\Desktop

o    OriginalWallpaper =  C:\WINDOWS\Web\Wallpaper\Bliss.jpg

o    HKEY_CURRENT_USER\Control Panel\Desktop\

o    Wallpaper = C:\WINDOWS\Web\Wallpaper\Bliss.jpg

o    HKEY_CURRENT_USER\Control Panel\Desktop

o    TileWallpaper = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoClose = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoStartMenuMorePrograms = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoViewOnDrive = 0

o    HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\system

o    DisableCMD = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer 

o    NoDriveTypeAutoRun = 95

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

o    DisableMsConfig = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced

o    Hidden = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoFind = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoFolderOptions = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoRun = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

o    DisableRegistryTools = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

o    DisableTaskMgr = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoViewContextMenu = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoTrayContextMenu = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop

o    NoChangingWallpaper = 0

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoWinKeys = 0

o    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoLogOff = 0

o    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

o    NoControlPanel = 0

Sayangnya ada beberapa string yang justru akan membuat fungsi “System Restore” menjadi tidak berfungsi : (lihat gambar 8)

 

o    HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore

o    DisableSR = 0

Gambar 8, VBS.Autorun.AM disable System Restore

 

Agar apa yang telah dilakukan oleh sang VM terus dikenang, ia akan menorehkan beberapa jejak pada komputer target seperti merubah Header Internet Explorer / merubah halaman utama Internet Explorer / merubah nama pemilik komputer target atau memunculkan pesan dari sang VM sebelum user login Windows. Untuk melakukan hal tersebut ia akan membuat string pada registry berikut:

 

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

o    RegisteredOrganization = Your pc has been clean from Nita Virus by MaHaDeWa

o    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion

o    RegisteredOwner = MaHaDeWa

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

o    A = Buatan Labkom UBL

o    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU\

o    MRUList = A

o    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon

o    LegalNoticeCaption = MaHaDeWa Cleaned

o    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon

o    LegalNoticeText = Congratulations.......!!!!! PC anda bersih dari Virus Nita(^_^)"

o    HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page", http://webkom (lihat gambar 2)

 Media Penyebaran

Flash Disk masih digunakan sebagai salah satu alternatif yang akan digunakan oleh VBS/Autorun.AM untuk menyebarkan dirinya dengan membuat 2 buah file yaknis autorun.inf dan MaHaDeWa.dll.vbs. File autourun.inf ini juga dimaksudkan agar dirinya dapat aktif secara otomatis saat user akses ke Flash Disk tersebut.

 

Bagaimana cara membersihkan VBS/Autorun.MA

 

1.      Matikan proses virus dengan nama WSCript.exe. untuk mematikan proses virus ini anda dapat menggunakan “task manager” atau tools pengganti task manager lainnya seperti Procee Explorer. (lihat gambar 9)

Silahkan download tools tersebut di alamat berikut

http://technet.microsoft.com/en-us/sysinternals/bb896653.aspx

 

Gambar 9, Tools untuk mematikan proses virus

 

2.      Untuk mengantsipasi agar proses virus tidak aktif kembali saat dijalankan, blok file MaHaDeWa.dll.vbs dengan menggunakan “Software Restriction Policies” [Jika menggunakan Windows XP Prof. Dan Windows 2003], caranya : (lihat gambar 10 - 12)

-      Klik tombol “Start”

-      Klik “Run”

-      Ketik “secpol.msc” [tanpa tanda kutip)

-      Kemudian pada layar “Local Security Settings”, klik kanan pada folder “Software Restriction Policies” kemudian klik “Crate new policies”

-      Kemudian klik kanan pada folder “Additional Rules”

-      Klik “New Hash Rule”

 

Gambar 10

 

-      Pada kolom “File hash”, klik tombol “Browse” dan arahkan ke file MaHaDeWa.dll.vbs

 

Gambar 11

 

Gambar 12 [blok virus VBS/Autorun.AM agar tidak dapat dijalankan]

 

-      Klik tombol “open”

 

Catatan:

Sebelum blok file tersebut sebaiknya tampilkan file yang tersembunyi terlebih dahulu dengan merubah setting pada Folder Options seperti terlihat pada gambar 13 dibawah ini:

 

Gambar 13, Menampilkan file yang tersembunyi pada Folder Options

 

3.      Repair registry yang sudah dibuat oleh MaHaDeWa. Untuk mempermudah proses perbaikan tersebut, salin script dibawah ini pada program notepad kemudian simpan dengan nama repair.inf. Jalankan file tersebut dengan cara:

-      Klik kanan repair.inf

-      Klik Install

 

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

 

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

 

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKCU, Software\Microsoft\Internet Explorer\Main, Start Page,0, "About:blank"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoDriveTypeAutoRun,0x00010001,255

HKLM, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer,NoDriveTypeAutoRun,0x00010001,255

 

 

[del]

HKCU, Software\Microsoft\Internet Explorer\Main, Window Title

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Ageia

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Run, Systemdir

HKCU, Software\Microsoft\Internet Explorer\Main, Window Title

HKLM, Software\Microsoft\Windows\CurrentVersion\Winlogon, LegalNoticeCaption

HKLM, Software\Microsoft\Windows\CurrentVersion\Winlogon, LegalNoticeText

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU\MRUList, a

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU, a

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop, NoChangingWallpaper

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoClose

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoControlPanel

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFind

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoRun

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoStartMenuMorePrograms

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoTrayContextMenu

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewOnDrive

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoWinKeys

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Advanced, Hidden

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableMsConfig

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer, NoControlPanel

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer, NoLogOff

 

4.      Hapus file induk virus di direktori berikut:

-      C:\MaHaDeWa.dll.vbs (semua drive)

-      C:\autorun.inf (semua drive)

-      C:\Windows\system32\WinXP.dll.vbs

 

5.      Untuk pembersihan optimal dan mencegah infeksi ulang, silahkan scan dengan antivirus yang up-to-date dan sudah mengenali virus ini dengan baik

Aj Tau

info@...

 

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

Ph : 021 345 6850

Fx : 021 345 6851

Bagi anda yang ingin memberikan komentar atau bertanya seputar virus MaHaDeWa, silahkan klik Forum khusus virus MaHaDeWa, http://www.facebook.com/topic.php?topic=8421&uid=44419857236

 

Harap kirimkan lamaran anda paling lambat Jumat, 12 Juni 2009

Perwakilan Vaksincom di Bandung sedang mencari beberapa tenaga Teknisi dan Marketing dengan domisili di Bandung dengan kualifikasi sebagai berikut :

Kualifikasi umum :

·         FULL TIME

·         Berdomisili di BANDUNG

·         Disiplin, mampu bekerja dibawah tekanan.

·         Self Motivated.

·         Pendidikan D3 atau S1. Lulusan SMU yang memiliki pengalaman dan pengetahuan jaringan yang kuat akan dipertimbangkan jika dapat melalui test dan wawancara khusus.

·         Mampu berorganisasi dan bekerja dalam tim.

·         Familiar dengan internet dan menyukai IT.

·         Usia Maksimal 27 tahun pada saat melamar.

 

Kualifikasi Khusus :

 

Vaksinis (Customer Support Vaksincom) :

·         Mengerti Bahasa Inggris minimal pasif.

·         Dapat meingimplementasikan domain dan menguasai jaringan komputer. (akan di test)

·         Memiliki logika yang baik, mampu melakukan analisa / troubleshooting masalah jaringan.

·         Dapat menjalankan tugas diluar kota jika diperlukan.

Vaksinis bertugas melayani instalasi dan support antivirus dan security appliances dalam jaringan komputer pelanggan Vaksincom di Jabodetabek dan seluruh Indonesia.

Marketing :

·                     Pendidikan minimal D3 / S1.

·                     Memiliki pengalaman bekerja di bidang marketing minimal 2 tahun.

·                     Memiliki kemampuan public speaking dan terbiasa melakukan presentasi.

·                     Menguasai Power Point.

Administrasi :

·                     Diutamakan wanita.

·                     Luwes dan sopan

·                     Detail oriented.

·                     Menguasai komputer akan menjadi nilai tambah.

Kirimkan Surat Lamaran anda dan tujukan ke email hrd@...  atau melalui pos ke :

 

PT. Vaksincom

Tanah Abang III / 19 E

Jakarta 10160

Up : HRD

dengan melampirkan

·         Surat Lamaran

·         Daftar Riwayat Hidup

·         Pas Foto

·         Fotocopy KTP

·         Fotocopy Ijazah terakhir.

 

Share 

MEGA Tes 8 Tools Conficker Killer        22 April 2009

 

Virus Conficker yang juga dikenal dengan nama Kido atau Downadup rasanya sudah pasti akrab di telinga administrator komputer di tahun 2009 ini. Salah satu jenis virus berkategori worm yang melakukan penyebaran yang sangat dahsyat dan memiliki dampak yang sangat serius bagi komputer di jaringan.

Karena itu, vendor sekuriti berlomba-lomba mengeluarkan tools dan "mengklaim" diri sebagai yang paling baik dan paling ampuh untuk membasmi Conficker. Yang menjadi pertanyaan bagi pengguna komputer yang menjadi korban Conficker tentunya simple, apakah semua tools tersebut sesuai janjinya ? Apakah seperti Carrie Underwood yang sudah cantik dan suaranya merdu, seperti William Hung yang agak culun, suara pas-pasan dan juga tidak bisa nari (tetapi tetap ngetop J) atau seperti Susan Boyle yang sudah berumur dan tampangnya pas-pasan …. tetapi mampu membuat Simon Cowell ternganga J. Kali ini Vaksincom akan mengadakan test atas beberapa tools yang tersedia di internet dan semuanya bisa didapatkan secara Gratis. 

Dan apa kesimpulan akhir dari hasil pengetesan ini, apakah benar semua tools bisa membasmi Conficker sampai ke akar-akarnya atau masih memerlukan beberapa tambahan pekerjaan manual, silahkan lihat pada tabel perbandingan yang Vaksincom berikan dan kesimpulan pada akhir artikel ini.

Conficker dan gejalanya

Sebelumnya, mari kita lihat kembali beberapa gejala komputer terinfeksi Conficker :

ü  Tidak bisa akses domain name web security & tidak bisa update antivirus

Ini salah satu ciri khas dari conficker. Coba cek dengan akses pada beberapa web security semisal www.microsoft.com, www.kaspersky.com dan www.norman.com. Bandingkan dengan akses melalui ip dari web tsb, http://65.55.12.249 (microsoft), http://195.27.181.34 (kaspersky) dan http://87.238.48.130 (norman). Jika browser anda tidak bisa mengkases situs tersebut di atas dengan mengetikkan alamat situsnya TETAPI bisa diakses jika mengetikkan alamat Ipnya, maka anda perlu "hakul" yakin bahwa komptuernya terinfeksi Conficker (99 %).

Hal ini dilakukan oleh Conficker dengan cara melakukan patch pada DNS Query, sehingga jika mengakses DNS tertentu akan diblok oleh conficker.

 

ü  Mematikan dan men-disabled beberapa Service Windows

Untuk memudahkan infeksi secara efektif, Conficker mematikan beberapa services seperti Automatic Updates (wuauserv), Background Intelligent Transfer Service (BITS), Error Reporting Service (ERSvc), Help and Support (helpsvc), Security Center (wscsvc).

 

ü  Membuat service baru dan berjalan dengan mendompleng svchost

Hal ini bertujuan agar mudah aktif dan menginfeksi komputer lain serta mendownload file virus.

 

ü  Membuat rule firewall baru

Hal ini digunakan agar conficker dapat keluar (menginfeksi komputer lain) dan masuk (update virus baru) dengan mudah. Conficker menggunakan port antara 1024 s/d 10000. jika port yang digunakan virus sama dengan program aplikasi kita, maka aplikasi tersebut akan terganggu.

 

ü  Membuat scheduled task

Hal ini digunakan agar tetap running pada komputer yang terinfeksi. Agar optimal, Conficker membuat beberapa scheduled task agar running setiap saat.

 

ü  Disable Show Hidden File & System Restore

Hal ini digunakan agar korban tidak mudah melakukan pembersihan pada virus yang sudah masuk dan berhasil menginfeksi komputer maupun drive flash / external.

 

ü  Disable System Restore

Berfungsi agar komputer korbannya tidak dapat mengembalikan komputer ke setting awal sebelum di infeksi Conficker. Seperti kita ketahui, System Restore merupakan fitur pada Windows XP / vista yang berfungsi seperti mesin waktu yang dapat menolong kita jika terjadi salah instal / terinfeksi virus dimana hanya dengan beberapa klik kita dapat mengembalikan setting komputer pada hari / waktu sebelum komputer terinfeksi virus / salah instal.

 

Here are The Tools, Conficker Killer...

Dari beberapa tools yang ada, Vaksincom mereview beberapa tools yang familiar dan sering digunakan. Tools tsb terdapat 2 kategori, yaitu tools secara umum yang dikeluarkan oleh vendor seperti Kaspersky AVP Removal Tools, Microsoft Malicious Software Removal Tools, Stinger besutan Mc Afee dan Norman Malware Cleaner. Catatan khusus untuk Norman Malware Cleaner, selain berfungsi untuk membersihkan Conficker juga sekaligus berfungsi untuk membersihkan dan membasmi virus lain dan Norman Malware Cleaner tidak hanya membasmi file virus saja tetapi juga melakukan pembenahan komputer lebih jauh seperti repair host dan repair registry.

Selain itu, Vaksincom membandingkan tool khusus untuk penanganan virus conficker saja yang tidak dapat digunakan untuk membersihkan virus lain.

 

Berikut beberapa tools yang tesedia sebagai berikut :

1)    Kaspersky AVP Removal Tool

Merupakan tools andalan dari Kaspersky Lab yang dibuat sebagai tools pengganti antivirus. Anda dapat mendownload secara gratis. Tetapi sayangnya, tools ini harus diinstall terlebih dahulu sebelum menggunakannya, sehingga jika komputer sudah terinfeksi virus akan sangat sulit jika virus memblok instalasi tools atau aplikasi sekuriti. Untuk conficker / kido, AVP sudah menyertakan database-nya. Desain interface sangat mirip dengan interface antivirus-nya. Sayang tidak bisa untuk repair registry, repair service dan repair host yang diubah oleh virus. (lihat gambar 1)

Gambar 1, Kaspersky AVP Removal Tools

2)    Norman Malware Cleaner

Dibandingkan versi sebelumnya, tools GRATIS buatan Norman www.norman.com ini mengalami kemajuan yang pesat. Tools ini dapat dijadikan alternatif jika komputer terinfeksi virus, karena mampu mengembalikan registry, service dan host yang dibuat oleh virus/spyware. Untuk conficker, tools ini dapat dijadikan alternatif pembersihan. Sayangnya jika tools ini memiliki masa expire (± 14 hari), jadi anda diharuskan untuk mendownload versi yang terbaru dari website norman http://norman.com/Virus/Virus_removal_tools/24789/. Adapun aksi yang dapat dilakukan Norman Malware Cleaner adalah :

-          Menghentikan proses virus yang sedang berjalan.

-          Memberishkan file virus dari media (Flash Disk, Harddisk etc), termasuk komponen ActiveX  dan BHO (Browser Helper Object) yang banyak di eksploitasi oleh Spyware.

-          Menemukan dan membasmi rootkit.

-          Mengembalikan nilai registri yang dirubah oleh virus (tidak tersedia pada removal tools lain)

-          Membersihkan perubahan pada hosts file (tidak tersedia pada removal tools lain).

-          Membenarkan rule Windows Firewall yang dibuat oleh virus.

Lihat gambar 2 dibawah untuk melihat Norman Malware Cleaner menjalankan aksinya.

Gambar 2, Norman Malware Cleaner in action

3)    McAfee AVERT Stinger

Bagi anda pengguna McAfee, tentunya familiar dengan nama ini. Stinger buatan AVERT yang sempat menjadi salah satu pelopor tools pembersih virus andalan para pengguna komputer dimasa awal kemunculannya.

Sayangnya, perkembangan tools ini agak lambat sehingga mendapatkan saingan banyak tools-tools baru. Untuk conficker, stinger sudah menyertakan databasenya. Masih memiliki desain yang simple seperti dulu tetapi jika digunakan untuk membasmi Conficker, terkadang agak sulit jika virus sudah menginjeksi file system windows dan gagal dibersihkan. (lihat gambar 3)

Gambar 3, Stinger in action

 

4)    Microsoft Malicious Software Removal Tool

Tools milik Microsoft yang dapat dijadikan sebagai alternatif scan virus saja. Tools ini dapat didownload secara otomatis setiap bulan dengan fitur automatic updates windows yang ada. Lokasi file ini berada pada C:\WINDOWS\system32, dengan nama MRT.exe. Tools ini memiliki fitur scan yang dapat disesuaikan dengan yang anda inginkan. Jika menemukan virus yang aktif di memory, MRT akan meminta user untuk restart. Walaupun dapat mendeteksi conficker, tetapi tools ini digunakan hanya untuk scanning virus saja, tanpa merepair registry yang sudah dibuat oleh virus. (lihat gambar 4)

Gambar 4, MWMSRT - Microsoft Windows Malicious Software Removal Tools

 

Sedangkan beberapa tools yang khusus dibuat untuk membasmi conficker adalah sebagai berikut :

1)    KidoKiller (Kaspersky)

Tools khusus buatan Kaspersky Lab untuk virus Conficker. Tools ini sudah masuk revisi 3 yaitu mendeteksi virus conficker versi C/III. Fiturnya pun ditambah terus agar mampu mendeteksi dan mendelete scheduled task, serta mampu mngembalikan system restore. Kelebihan tools ini yaitu mampu mengembalikan fungsi DNS Query tanpa harus restart komputer. Tools ini berjalan pada modus command prompt. Berbeda dengan symantec, tools ini hanya scanning pada path tertentu saja yang dicurigai terinfeksi conficker, sehingga waktu scanning menjadi lebih cepat. (lihat gambar 5)

Gambar 5, KidoKiller by Kaspersky

2)    Fix Downad (Trend Micro)

Tools keluaran Trend Micro untuk mengatasi conficker ini sayangnya tidak menyertakan database / patternnya saat di download, sehingga kita harus mendownload terlebih dahulu pattern / database-nya. Kelebihannya database / pattern tsb dapat scanning dari virus/worm lain, sehingga dapat membersihkan virus lain. Jika tools lain hanya terdiri dari satu file, tools ini memilki beberapa file baik exe maupun file lain yang ternyata terdiri dari pengecekan database / pattern, pengecekan schedule task, pengecekan patch windows, pengecekan virus, pengecekan registry dan pengecekan services. Walau terdiri dari banyak file, kita cukup menjalankan saja 1 file bat (batch file), yang kemudian akan mengeksekusi file lain. (lihat gambar 6)

Gambar 6, FixTOOL Worm_Downad oleh TrendMicro

 

3)    W32.Downadup Removal (Symantec)

Sesuai dengan namanya, tools ini dibuat oleh perusahaan antivirus Symantec untuk mengatasi virus conficker/downadup/kido. (lihat gambar 7)

 

Gambar 7, Downad Removal Tool by Symantec

 

Sekilas tools ini sangat simple, hanya ada menu start, cancel dan about. Tools ini tidak memiliki opsi scanning drive yang diinginkan. Untuk scanning, tools ini mampu mematikan proses virus, mendelete file virus dan memperbaiki registry yang sudah diubah oleh virus. Sayangnya tools ini tidak menghapus schedule task yang dibuat oleh virus, tidak menghapus rule firewall yang dibuat oleh virus dan tidak mengembalikan system restore kembali normal. Tetapi seperti guru SD saya, tools ini memberikan "nasehat" kepada user agar segera melakukan patching windows dengan MS08-067.

Gambar 8, "Nasehat" yang diberikan oleh Downad Removal Symantec

 

4)    EConfickerRemover (ESET/NOD32)

Tidak mau ketinggalan, ESET juga mengeluarkan tools khusus conficker bagi penggunanya. Tools ini sangat sederhana, sebenarnya kalau sederhana dan ampuh itu yang dicari. Tetapi yang terjadi adalah sangking sederhanya sehingga anda harus menjalankan melalui command prompt. Tools ini selain dapat mematikan proses virus dan mendeletenya, tetapi tidak ada hal khusus lain yang dilakukan. (lihat gambar 9)

Gambar 9, EconfickerRemover by Eset

MEGA Test Conficker Tools

Adapun hasil perbandingan 8 tools tersebut adalah sebagai berikut : (lihat tabel 1 dan 2)

Kategori Tools Umum : 

Kategori	Keterangan	Kaspersky	Norman	McAfee	Microsoft
		AVP Removal Tool	Malware Cleaner	AVERT Stinger	Malicious Removal Tool
Virus Umum	Penggunaan	Instalasi	Portable	Portable	Portable
	Virus/Spyware	√	√	√	√
	Repair Host	-	√	-	-
	Repair Registry	-	√	-	-
	Update Definisi	√	√	√	√
Conficker	Matikan Proses Virus	√	√	√	√
	Delete Virus	√	√	√	Restart
	Delete Schedule Task	-	-	-	-
	Repair Service Windows	-	√	-	-
	Delete Service Virus	-	√	-	-
	Delete Rule Firewall	-	-	-	-
	Fix DNS Query	-	Restart	-	Restart
	Enable System Restore	-	-	-	-
	Repair Show Hidden	-	-	-	-

Tabel 1, Perbandingan Conficker Tools kategori tools umum

 

Kategori Tools Khusus :

Kategori	Keterangan	Kaspersky	TrendMicro	Symantec	Eset (NOD32)
		KidoKiller	Fix Downad	W32.Downadup Removal	Conficker Remover
Umum	Penggunaan	Portable	Portable	Portable	Portable
	Virus/Spyware	-	√	-	-
	Repair Host	-	-	-	-
	Repair Registry	-	-	-	-
	Update Definisi	-	√	-	-
Conficker	Matikan Proses Virus	√	√	√	√
	Delete Virus	√	√	√	Restart
	Delete Schedule Task	√	√	-	-
	Repair Service Windows	-	-	Restart	-
	Delete Service Virus	√	√	-	-
	Delete Rule Firewall	-	-	-	-
	Fix DNS Query	√	Restart	Restart	Restart
	Enable System Restore	√	-	-	-
	Repair Show Hidden	√	-	√	-

Tabel 2, Perbandingan Conficker Tools kategori khusus

 

Dari hasil pengetesan yang dilakukan oleh lab Vaksincom, baik tools khusus maupun tools umum dapat dilihat bahwa Norman Malware Cleaner membersihkan lebih lengkap dibandingkan tools umum lain karena melakukan "Repair Host", "Repair Registry", "Repair Service Windows" dan "Delete Service Virus" yang tidak dilakukan oleh Tools umum lainnya. Tetapi Norman Malware Cleaner tidak melakukan "Delete Schedule Task" yang dibuat oleh virus dan hal ini dilakukan oleh Kaspersky KidoKiller dan TrendMicro Fix Downad.

TrendMicro Fix downad dan Kaspersky Kido Killer tidak melakukan Repair Host dan Repair Registry.

Ada satu keunggulan Kaspersky Kido Killer dimana ia bisa melakukan Fix DNS Query tanpa mengharuskan Windows Restart dimana tools lain setelah fix DNS Query mengharuskan Windows restart.

Jadi dapat disimpulkan bahwa  Norman Malware Cleaner menjadi pemenang untuk tools umum dan Kaspersky Kido Killer menjadi pemenang di kategori tools khusus.

Adapun beberapa perubahan yang dilakukan oleh Conficker yang perlu menjadi perhatian sekalipun anda sudah menggunakan tools pembersihan adalah sebagai berikut :

-    Schedule Task

Hapus schedule task yang sudah dibuat oleh virus. (lihat gambar 10)

Gambar 10, Schedule Task yang dibuat oleh Conficker

 

-     Rule Firewall

Delete rule firewall yang dibuat oleh virus. (lihat gambar 11)

Gambar 11, Hapus Rule Firewall yang dibuat oleh Conficker

-     Repair Registry

Repair registry yang dirubah oleh virus (service windows yang mati dan show hidden file). Buat script pada notepad, kemudian save as menjadi repair.inf.

 

[Version]

Signature="$Chicago$"

Provider=Vaksincom

           

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

 

[UnhookRegKey]

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, Hidden, 0x00000001,1

HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, SuperHidden, 0x00000001,1

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00000001,1

HKLM, SYSTEM\CurrentControlSet\Services\BITS, Start, 0x00000002,2

HKLM, SYSTEM\CurrentControlSet\Services\ERSvc, Start, 0x00000002,2

HKLM, SYSTEM\CurrentControlSet\Services\wscsvc, Start, 0x00000002,2

HKLM, SYSTEM\CurrentControlSet\Services\wuauserv, Start, 0x00000002,2

 

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Applets, dl

HKCU, Software\Microsoft\Windows\CurrentVersion\Applets, ds

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Applets, dl

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Applets, ds

HKLM, SYSTEM\CurrentControlSet\Services\Tcpip\Parameters, TcpNumConnections

 

-     Clean temporary file

Bersihkan temporary file, gunakan disk cleanup atau dapat menggunakan tools cleaner seperti ATF Cleaner.

 

Tips Pencegahan...

Dari hasil tes, walaupun sudah dibersihkan tetapi virus/worm ini masih mudah masuk dikarenakan beberapa faktor sebagai berikut :

-          Autoplay/Autorun Windows

Lakukan pencegahan dengan men-disable fungsi autoplay. Fungsi ini memudahkan conficker masuk dan menginfeksi komputer.

 

-          Default Share Windows

Fungsi ini memudahkan virus/worm berusaha masuk melalui jaringan dengan mudah. Matikan fungsi ini jika tidak diperlukan. Sebagai alternatif jika masih diperlukan gunakan password komputer (baik lokal maupun jaringan) yang unik dan tidak standar/biasa serta kombinasi angkadan huruf.

 

-          Patch Windows

Selalu rajin patch windows. Hal ini akan mencegah dari serangan virus saat koneksi internet. Akan lebih baik jika meng-aktifkan Automatic Updates.

 

-          Install Antivirus dan Update

Terakhir, lakukan instalasi antivirus dan selalu pastikan terupdate dengan baik.

 

Jika anda mengalami infeksi Conficker yang membandel dan sudah mecoba berbagai macam cara tetapi masih belum tuntas. Mungkin karena sudah gemas sampai anda memformat komputer-komputer di jaringan tetapi setelah dihubungkan ke jaringan kembali terinfeksi. Ada baiknya anda pertimbangkan untuk meminta bantuan support dari vendor antivirus anda. Bagi pengguna Norman Virus Control for Corporate dapat menghubungi teknisi Vaksincom untuk mendapatkan support onsite Free.

Salam,

Adi Saputra (AD Sap) & Alfons Tanujaya (AA Tan)

PT. Vaksincom

Jl. Tanah Abang III / 19e

Jakarta 10160

info@...

Telp : 021 345 6850

Fx : 021 345 6851

http://www.vaksin.com/2009/0609/sandradewi/SandraDewi.html

 

Share on Facebook

W32/Sadra.A                      12 Juni 2009

 Cinta ditolak, SandraDewi bertindak

Apakah anda sedang putus cinta atau patah hati??? Jangan khawatir, karena “Sandra Dewi” akan membantu anda. Loh??? Ko bisa??? Hehehe, jangan salah paham dulu, Sandra Dewi ini bukanlah Sandra Dewi yang beneran loh... (klo itu juga saya mau… J).

Jika anda penggemar gadis berparas cantik ini, maka anda perlu berhati-hati karena telah menyebar varian virus baru dengan menggunakan nama “Sandra Dewi”. Dari script virus yang dibuat, si pembuat virus ini juga ikut membawa dan memunculkan nama salah satu kampus komputer di Kalimantan Timur.

Cinta Ditolak VIRUS bertindak

Sangat sakit rasanya apabila cinta kita ditolak oleh seseorang,

pada zaman dahulu orang menggunakan fasilitas dukun sebagai media untuk mendapatkan cintanya

Seiring dengan berkembangnya Teknologi informasi,

media yang digunakannya untuk mendapatkan cintanya adalah VIRUS

Norman Security Suite mendeteksi varian virus Sandra Dewi sebagai W32/Obfuscated.B!genr. (lihat gambar 1 dan 2)

Gambar 1. Norman Security Suite dengan teknologi Sandbox dan DNA Matching tanpa update mendeteksi virus Sandra Dewi sebagai new unkown virus.

Gambar 2, NSS setelah update mengidentifikasi Sandra Dewi Bugil.exe sebagai W32/Sadra.A

File virus

Ciri-ciri dari file virus ini, diantaranya sebagai berikut :

·         Memiliki ukuran file sebesar “132 kb”.

·         Mempunyai type file “Application”.

·         Berextension file “exe”.

·         Memiliki icon gambar (JPEG image).

Virus Sandra Dewi dibuat dengan menggunakan bahasa pemrograman visual basic. Jika virus berhasil menginfeksi, maka ia akan membuat beberapa file virus diantaranya :

·         C:\Sandra Dewi Bugil.exe (pada semua root drive)

·         C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Sandra Dewi Bugil.exe

·         C:\WINDOWS\Sandra Dewi Bugil.exe

·         C:\WINDOWS\system32\ Sandra Dewi Bugil.exe

·         Membuat duplikat file virus pada setiap folder yang ada pada removable drive/usb. (lihat gambar 2)

Gambar 2. Contoh file virus Sandra Dewi

Pesan sebelum login

Masih ingat dengan virus Blue Fantasy, virus yang menampilkan pesan sebelum login, dan kini virus Sandra Dewi juga menampilkan sebuah pesan. (lihat gambar 3)

Gambar 3. Virus Sandra Dewi in Action (duplikat dan hidden folder)

Blok fungsi Windows

Sebagai bentuk pertahanan, virus akan mencoba melakukan usaha blok terhadap beberapa fungsi Windows. Beberapa fungsi Windows yang di blok diantaranya sebagai berikut :

·         Folder Options (dilakukan untuk mencegah akses terhadap file/folder yang disembunyikan)

·         Registry Editor (dilakukan untuk mencegah akses perbaikan registry)

·         Search/Find (dilakukan untuk mencegah dari pembersihan virus)

·         Command Prompt (dilakukan untuk mencegah dari proses kill virus)

·         Task Manager (dilakukan untuk mencegah proses monitoring virus) (lihat gambar 4)

·         Control Panel (dilakukan untuk mencegah akses kontrol dari OS komputer)

·         MsConfig/System Configuration Utility (dilakukan untuk mencegah akses pada startup)

Gambar 4. Virus Sandra Dewi in Action (blok fungsi windows)

Selain itu, virus juga mencoba melakukan usaha blok terhadap beberapa fungsi Windows yang lain seperti diantaranya :

·         Disable klik kanan pada desktop.

·         Disable “All Programs” pada Start Menu.

·         Disable menu Log Off/Turn Off pada Start Menu.

Dengan usaha ini, virus mencoba agar pengguna komputer kesulitan dalam menjalankan program tertentu, dan bahkan kesulitan untuk me-restart, log-off maupun shutdown komputer.

Merubah informasi System Properties

Pada System Properties, virus akan merubah RegisteredOwner menjadi Dewi Bugil dan RegisteredOrganization menjadi Sandra. (lihat gambar 5)

Gambar 5. Merubah nama pemilik Windows menjadi Sandra Dewi Bugil

Merubah header Internet Explorer

Virus akan merubah header Internet Explorer (IE) saat akan menjalankan aplikasi Internet Explorer, dengan tambahan ::CREATION::BUDI::DARMA::.

Gambar 6. Header Internet Explorer yang sudah diubah

Aktif pada start up dengan menjalankan program Splash

Untuk memastikan agar file dapat berjalan dengan baik pada saat komputer dijalankan, virus menyisipkan file virus pada startup windows sehingga akan langsung aktif jika kita sudah masuk windows.. File virus yang aktif pada startup yaitu :

·         C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Sandra Dewi Bugil.exe

File virus yang aktif ini menjalankan program Splash, program ini tidak dapat di geser ataupun di tutup kecuali pada tombol Keluar. Jika tombol Keluar di klik, maka akan muncul pop-up KONFIRMASI kirim email kepada budi_9***@.... Apapun yg di klik, baik tombol Yes maupun No akan membuat shutdown komputer kita dengan memunculkan jendela System Shutdown dalam waktu 1 menit.

Gambar 7.Program Splash Sandra Dewi yang aktif dengan mencantumkan sebuah kampus

Gambar 8.Pop-up KONFIRMASI saat kita klik tombol Keluar pada program tsb.

Gambar 9.Pop-up System Shutdown saat kita klikYes atau No dengan waktu 1 menit.

Registry windows

Untuk melakukan blok fungsi windows, virus akan membuat string registry sebagai berikut :

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

NoClose = 1

NoControlPanel = 1

NoFind = 1

NoFolderOptions = 1

NoRun = 1

NoStartMenuMorePrograms = 1

NoViewContextMenu = 1

NoViewOnDrive = 1

StartMenuLogoff = 1

·         HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

DisableRegistryTools = 1

DisableMsConfig = 1

DisableTaskMgr = 1

Agar dapat melakukan blok fungsi “Command Prompt” windows, virus akan membuat string registry yang berbeda yaitu sebagai berikut :

·         HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\system

DisableCMD = 1

Agar dapat memunculkan pesan sebelum login, maka virus membuat string registry sebagai berikut :

·         HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

LegalNoticeCaption = Cinta Ditolak VIRUS Bertindak.::CREATION BUDI DARMA::.

LegalNoticeText = Sangat sakit rasanya apabila cinta kita ditolak oleh seseorang, pad zaman dahulu orang menggunakan fasilitas dukun sebagai media untuk mendapatkan cintanya. Seiiring dengan berkembangnya Teknokogi Informasi media yang digunakan untuk mendapatkan cintanya adalah VIRUS.

Metode Penyebaran

Virus ini menggunakan removable drive/usb sebagai sarana penyebaran dirinya. File yang akan di buat virus yaitu :

·         Sandra Dewi Bugil.exe

Cara pembersihan virus Sandra Dewi

·         Sebaiknya putuskan hubungan komputer yang akan dibersihkan dari jaringan.

·         Matikan “System Restore” selama proses pembersihan virus (untuk Windows XP/Vista)

·         Matikan proses virus yang aktif di memory. Gunakan tools pengganti task manager, seperti Process Explorer (dapat anda download pada alamat berikut)

http://www.sysinternals.com/utils/index.html

·         Lakukan kill process, pada beberapa file virus yang aktif yaitu :

o    C:\Documents and Settings\%user%\Start Menu\Programs\Startup\Sandra Dewi Bugil.exe

o    C:\WINDOWS\ Sandra Dewi Bugil.exe (lihat gambar 10)

Gambar 10. Kill process virus yang aktif

·         Hapus string registry yang telah dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry dibawah ini.

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

                                                                           

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKCR, batfile\shell\open\command,,,"""%1"" %*"

HKCR, comfile\shell\open\command,,,"""%1"" %*"

HKCR, exefile\shell\open\command,,,"""%1"" %*"

HKCR, piffile\shell\open\command,,,"""%1"" %*"

HKCR, lnkfile\shell\open\command,,,"""%1"" %*"

HKCR, scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOrganization,0, "Organization"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion, RegisteredOwner,0, "Owner"

HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001,1

HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, DefaultValue, 0x00010001,2

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableMsConfig

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr

HKCU, Software\Policies\Microsoft\Windows\system, DisableCMD

HKCU, Software\Microsoft\Internet Explorer\Main, Window Title

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFind

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoClose

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoControlPanel

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoRun

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoStartMenuMorePrograms

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewContextMenu

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoViewOnDrive

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, StartMenuLogoff

 

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).

Jalankan repair.inf dengan klik pada menu File pada windows explorer, kemudian pilih install.

Sebaiknya membuat file repair.inf di komputer yang clean, agar virus tidak aktif kembali.

·         Hapus file virus yang mempunyai ciri-ciri sebagai berikut :

§  Icon gambar (JPEG Image)

§  Extension exe

§  Ukuran 132 kb

Catatan

o    Sebaiknya tampilkan file yang tersembunyi agar mempermudah dalam proses pencarian file virus.

o    Untuk mempermudah proses pencarian sebaiknya gunakan "Search Windows" dengan filter file *.exe yang mempunyai ukuran 133 KB.

o    Hapus file virus yang biasanya mempunyai date modified yang sama. (lihat gambar 11)

Gambar 11. Hapus file virus melalui fitur search windows

·         Untuk pembersihan yang optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mengenali virus ini dengan baik. Anda dapat pula menggunakan tools Norman Malware Cleaner yang dapat anda download pada

http://normanasa.vo.llnwd.net/o29/public/Norman_Malware_Cleaner.exe

Ad Sap

info@...

 

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

 

Ph : 021 345 6850

Fx : 021 345 6851

Bagi anda yang ingin memberikan komentar atau bertanya seputar virus MaHaDeWa, silahkan klik Forum khusus virus Sandra Dewi, http://www.facebook.com/topic.php?topic=8493&uid=44419857236