Saat ini Virus Conficker telah menyebar ke lebih dari 10 juta komputer di dunia dan ratusan ribu komputer di Indonesia. Virus Conficker saat ini telah berkembang menjadi virus yang sangat berbahaya, yaitu mampu me’nembak’ password administrator sebuah jaringan sehingga membuat komputer dalam jaringan tersebut seolah menjadi zombie yang dapat di kendalikan oleh si pembuat virus untuk melakukan apa saja termasuk mengirimkan data data penting yang ada dalam komputer tersebut ke si pembuat virus. Karena mampu menguasai sebuah jaringan, maka virus ini menyebar bukan hanya melalui media seperti flashdrive dan internet, tetapi dapat menggandakan diri pada setiap komputer yang terhubung dengan komputer yang terinfeksi. Hal ini membuat kepanikan di hampir seluruh penjuru dunia.
Selain mampu menyebarkan diri, virus ini juga bisa bersembunyi di dalam memori untuk menghindari anti virus. Virus ini juga mampu merusak beberapa software anti virus dan meniru anti virus tersebut untuk lebih menginfeksi komputer.
Virus ini sangatlah rumit dan terbukti menggunakan bahasa pemrongraman canggih yang sangat sulit di pecahkan. Meskipun saat ini sudah ada beberapa anti virus yang mengklaim mampu membersihkan komputer dari virus ini. Tidak menutup kemungkinan virus ini di kembangkan menjadi varian yang lebih rumit lagi.
Ciri komputer / jaringan terserang Conficker
Jika mendadak komputer anda mendapatkan pesan Generic Host Process (GHP) Error dan setelah itu koneksi internet dari komputer tersebut mati, maka kemungkinan besar jaringan komputer anda sudah tercemar oleh Conficker. Penyebabnya bukanlah komputer yang menampilkan pesan GHP error tersebut, melainkan karena (minimal) salah satu komputer di jaringan anda sudah terinfeksi Conficker dan secara otomatis melakukan scanning ke jaringan lokal dan menyebarkan dirinya ke semua komputer yang rentan atau belum di patch MS 06-037 ( Patch pertama untuk virus ini dirilis Microsoft pada tanggal 15 Oktober 2008 )
Jika ada komputer yang berhasil di infeksi, maka Conficker akan melakukan beberapa rutin canggih yang membuat kita terkagum kagum.
1. Melumpuhkan System Restore.
* Conficker akan melumpuhkan System Restore dengan cara mereset “Restore Point” guna mencegah korbannya membasmi virus ini dengan mengembalikan Restore Point.
2. Membuat HTTP Server.
* Conficker akan membuka port random antara 1024 s/d 10.000 dan menjalankan fungsi sebagai web server (HTTP server) bagi jaringan lokal. Jika ada komputer di jaringan yang memiliki celah keamanan RPC Dcom 3 yang belum di patch, maka ia akan mencoba menyerang dan jka berhasil maka komputer korbannya akan mendownload ke HTTP server yang dibuat tadi untuk mendownload file virus dan menjalankannya. Selain itu, dalam aksinya ini Conficker menyebabkan matinya Internet connection Sharing.
3. Melakukan patch pada komputer korbannya.
* Setelah berhasil menginfeksi komputer korbannya, Conficker akan melakukan patching pada komputer korbannya, jangan berterimakasih dulu kepada virus ini. Tujuannya melakukan patch adalah untuk mencegah infeksi ulang yang malahan akan mengakibatkan komputer tidak stabil sehingga tidak bisa mencari korban baru.
4. Download File untuk update dirinya.
* Conficker meniru antivirus akan berusaha mendownload file (kemungkinan updatenya di masa depan) ke beberapa website yang telah disiapkan daftarnya (250 domain) dengan tujuan mempersulit vendor antivirus untuk memblok domain-domain update tersebut satu persatu.
Langkah Pencegahan
Jika komputer anda menampilkan pesan adanya virus Conficker secara berulang-ulang meskipun sudah dibersihkan oleh antivirus anda, pertama-tama yakinkan bahwa virus tersebut tidak aktif di komputer anda. Caranya adalah dengan memutuskan hubungan komputer ke jaringan. Jika setelah hubungan ke jaringan diputuskan infeksi virus terhendi, maka artinya sumber virus bukan dari komputer anda melainkan dari “salah satu” komputer di jaringan. Karena itu anda harus mencari sumber penyebar conficker di jaringan sebelum mengkoneksikan komputer anda.
Logikanya, semua komputer yang belum di patch dan terhubung ke jaringan dimana ada satu komputer saja yang terinfeksi virus conficker akan terinfeksi conficker dalam waktu singkat, kecuali komputer-komputer tersebut di lindungi oleh Firewall yang memproteksi port :
UDP Port 135, 137, 138 dan 445.
TCP Port 135, 139, 445 dan 593
Cara terbaik adalah dengan melakukan patch SEMUA komputer yang Operating Sistemnya rentan. Untuk mendapatkan detail patchnya silahkan download ke http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx . Jika anda sudah menjadi korban virus ini maka selamat berjuang.
Sumber : http://kidzoom.wordpress.com/2010/03/20/apa-itu-virus-conficker-downadup-kido
*----
Sumber Lain membahas
Beberapa Ciri-Ciri Komputer Sudah Terserang Virus Conficker:
1. Username Login di Active Directory (AD) Windows terkunci berulang-ulang. Jadi meskipun sudah terkunci (lock) dan dibuka oleh Admin, tetapi terkunci lagi.
2.Komputer mendapatkan pesan error Generic Host Process.
3.Komputer tidak bisa mengakses situs-situs tertentu seperti www.microsoft.com, www.symantec.com, www.norman.com, www.clamav.com, www.grisoft.com, www.avast.com dan www.eset.com dengan pesan “Address not Found” tetapi jika situs-situs tersebut di akses dari alamat IPnya akan bisa diakses. Dan situs-situs lain tidak ada gangguan berarti.
4.Update definisi antivirus terganggu karena akses ke situs antivirus diblok.
5. Banyak aplikasi tidak berfungsi dengan baik. Khususnya aplikasi yang memanfaatkan jaringan dan menggunakan port 1024 s/d port 10.000
Ciri File Virus Ini :
Virus Conficker.DV memiliki file yang di kompress melalui UPX. File virus berukuran 162 kb. File virus yang masuk bert ipe gambar (gif, jpeg, bmp, png). Sedangkan file yang aktif umumnya bertype “dll” (dynamic link library). File virus yang berusaha masuk akan berada pada lokasi temporary internet:
1. %Documents and Settings\-Settings-Internet Files-acak%].[%gif,jpeg,bmp,png%]
2. %Documents and Settings-Settings-Temporary Internet Files-
Jika file virus yang masuk berhasil dijalankan, virus akan mengcopy dirinya pada salah satu lokasi folder berikut :
3. %Documents and Settings%\[-Data-acak%.dll
4. %Program Files%\[-Explorer-acak%].dll
5. %Program Files%\[-Maker-acak%].dll
6. %WINDOWS%\[-acak%].dll
7. %WINDOWS%\[-acak%].dll
File “dll” inilah yang aktif dan “mendompleng” file svchost.exe (Windows Server Service) untuk melakukan penyebaran virus kembali. Vi rus juga akan mengcopy file “[%nama acak%].tmp” pada folder %WINDOWS%\-(contohnya : 01.tmp atau 06.tmp). Setelah menggunakan file tersebut, kemudian virus mendelete file tersebut.
Gejala :
Jika sudah terinfeksi W32/Conficker.DV, virus akan menimbulkan gejala / efek berikut :
1. Jika varian sebelumnya mematikan service “Workstation, Server dan Windows Firewall/Internet Connection Sharing (ICS)”. Maka kali ini virus berusaha untuk mematikan dan men-disable beberapa service, yaitu: wscsvc : Security Center, wuauserv : Automatic Updates, BITS : Background Intellegent Transfer Service, ERSvc : Error Reporting Service, WerSvc : Windows Error Reporting Service (Vista, Server 2008), WinDefend : Windows Defender (Vista, Server 2008),
2. Virus m ampu melakukan blok terhadap program aplikasi yang berjalan saat mengakses website yang mengandung string berikut. Hal ini dilakukan tanpa melakukan perubahan pada host file yang ada. Dengan melakukan blok, dapat mencegah program anti-malware untuk melakukan update antivirus dan mencegah user saat mencoba akses ke website keamanan. Seperti Ccert, sans, bit9, windowsupdate, pctools, norman, clamav, avira, avast, grisoft, nod32, kaspersky, f’secure, etrust, panda, sophos, trendmicro, mcafee, norton, symantec, microsoft, defender, dll
3. Virus berusaha melakukan perubahan pada system Windows Vista / Server 2008 dengan menggunakan perintah :
” netsh interface tcp set global autotuning=disabled“
Dengan perintah ini, maka windows auto tuning akan di-disable. Windows Auto-Tuning merupakan salah satu fitur dari Windows Vista dan Server 2008 yang berguna untuk meningkatkan performa ketika mencoba aks es jaringan. Info selengkapnya pada
http://support.microsoft.com/kb/947239
4. Virus berusaha mendownload dan mengeksekusi file (bmp, gif, jpeg, png) yang kemudian masuk pada temporary internet. Virus melakukan download pada beberapa website berikut :
aaidhe.net, aamkn.cn, abivbwbea.info, aiiflkgcw.cc, alfglesj.info, amcfussyags.net, amzohx.ws, apaix.ws, argvss.info, arolseqnu.ws,
asoidakm.cn, atnsoiuf.cc, dll
5. Virus akan mengecek koneksi internet dan men-download file dengan menyesuaikan tanggal setelah 1 Januari 2009. Untuk itu virus mengecek pada beberapa wesite berikut : baidu.com, google.com,
yahoo.com, msn.com, ask.com, w3.org, aol.com, cnn.com, ebay.com,
msn.com, myspace.com
6. Virus akan membuat rule firewall pada gateway jaringan local yang membuat serangan dari luar terkoneksi dan mendapatkan alamat external IP Address yang terinfeksi melalui berbagai macam port (1024 hingga 10000).
7. Virus akan membuat services dengan karakteristik berikut, agar dapat berjalan otomatis saat start-up windows :
Service name: “[%nama acak%].dll“
Path to executable: %System32% –k netsvcs
Serta dengan menggunakan kombinasi dari beberapa string berikut yang muncul pada deskripsi service (biasanya gabungan 2 string semisal “Security Windows”) :
Boot, Center, Config, Driver, Helper, Image, Installer, Manager, Microsoft, Monitor, Network, Security, Server, Shell, Support, System, Task, Time, Universal, Update, Windows
8. Virus membuat HTTP Server pada port yang acak :
Http://%ExternalIPAddress%:%PortAcak(1024-10000)%
Virus melakukan koneksi ke beberapa website untuk mendapatkan alamat IP Address external yang sudah diinfeksi : http://www.getmyip.org, http://www.whatsmyipaddress.com, http://getmyip.co.uk, http://checkip.dyndns.org, Virus membuat scheduled task untuk menjalankan file virus yang sudah di copy dengan perintah :
“rundll32.exe .[%eks tensi acak%], [%acak]“
7 Langkah Cara Membasmi Virus Conficker :
1. Putuskan komputer yang akan dibersihkan dari jaringan/internet. Matikan akses WiFi kalau ada dan cabut kabel ethernet dari jaringan LAN.
2. Matikan system restore (Windows XP/Vista).
Caranya pilih Start>>All Program>>Accesories>>System Tools>>System Restore kemudian pada menu setting pilih off untuk seluruh partisi.
3. Matikan proses virus yang aktif pada services. Gunakan removal tool dari Norman untuk membersihkan virus yang aktif. Program ini tersedia cuma-cuma dan dapat di-download di bawah ini :
http://download.norman.no/public/Norman_Malware_Cleaner.exe
4. Delete service svchost.exe gadungan yang ditanamkan virus pada registry. Anda dapat mencari secara manual pada registry.
5. Hapus Schedule Task yang dibuat oleh virus. (C:-WINDOWS-Tasks)
6. Hapus string registry yang dibuat oleh virus. Untuk mempermudah dapat menggunakan script registry di bawah ini. Salin script ini lalu install.
[Version]
Signature=”$Chicago$”
Provider=Vaksincom Oyee[DefaultInstall]
AddReg=UnhookRegKey
DelReg=del[UnhookRegKey]
HKCU, Software-Microsoft-Windows-CurrentVersion-Explorer-Advanced, Hidden, 0×00000001,1
HKCU, Software-Microsoft-Windows-CurrentVersion-Explorer-Advanced, SuperHidden, 0×00000001,1
HKLM, SOFTWARE-Microsoft-Windows-CurrentVersion-Explorer-Advanced-Folder-Hidden-SHOWALL, CheckedValue, 0×00000001,1
HKLM, SYSTEM-CurrentControlSet-Services-BITS, Start, 0×00000002,2
HKLM, SYSTEM-CurrentControlSet-Services-ERSvc, Start, 0×00000002,2
HKLM, SYSTEM-CurrentControlSet-Services-wscsvc, Start, 0×00000002,2
HKLM, SYSTEM-CurrentControlSet-Services-wuauserv, Start, 0×00000002,2[del]
HKCU, Software-Microsoft-Windows-CurrentVersion-Applets, dl
HKCU, Software-Microsoft-Windows-CurrentVersion-Applets, ds
HKLM, SOFTWARE-Microsoft-Windows-CurrentVersion-Applets, dl
HKLM, SOFTWARE-Microsoft-Windows-CurrentVersion-Applets, ds
HKLM, SYSTEM-CurrentControlSet-Services-Tcpip-Parameters, TcpNumConnections
Gunakan notepad untuk menyalin, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan). Jalankan repair.inf dengan klik kanan, kemudian pilih install.
Catatan : Untuk file yang aktif pada startup, anda dapat men-disable melalui “msconfig” atau dapat men-delete secara manual pada string :
“HKLM, SOFTWARE-Microsoft-Windows-CurrentVersion-Run”
7. Untuk pembersihan virus W32/Conficker.DV secara optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang ter-update dan mampu mendeteksi virus ini dengan baik dan patch komputer anda dengan
Sumber : http://nafasku.com/info-it-ciri-ciri-virus-conficker-dan-cara-mengatasinya.html
0 komentar:
Posting Komentar