Ciri-Ciri Terkena Virus Conficker

Posted on 8 May 2009. Filed under: Komputer, Umum |

Seperti virus penyakit, virus komputer juga menyebar dengan cepat dari satu komputer ke komputer lain. Wabah yang tengah mengancam jutaan komputer di seluruh dunia sekarang adalah serangan yang disebut conficker. Conficker yang juga disebut Downandup atau Kido menyerang dengan cara memanfaatkan celah kelemahan pada fitur Windows Service yang telah ditambal Microsoft bulan Oktober lalu. Namun, beberapa laporan mengatakan, virus tersebut tidak mati meski patch telah dipasang.
Conficker menginfeksi dengan cara menebak password admin di jaringan atau melalui USB flash. Jadi, hati-hati terhadap serangan ini dan lebih waspada setiap kali melakukan tukar-menukar file. Update antivirus mutlak untuk mengantisipasi kemungkinan serangan.

Jika anda mengalami satu atau beberapa gejala dibawah ini, berarti Conficker telah menginfeksi:

  1. Username Login di Active Directory (AD) Windows terkunci berulang-ulang. Jadi meskipun sudah terkunci (lock) dan dibuka oleh Admin, tetapi terkunci lagi.
  2. Komputer mendapatkan pesan error Generic Host Process.
  3. Komputer tidak bisa mengakses situs-situs tertentu seperti http://www.microsoft.com, http://www.symantec.com, http://www.norman.com, http://www.clamav.com, http://www.grisoft.com, http://www.avast.com dan http://www.eset.com dengan pesan “Address not Found” tetapi jika situs-situs tersebut di akses dari alamat IPnya akan bisa diakses. Dan situs-situs lain tidak ada gangguan berarti.
  4. Update definisi antivirus terganggu karena akses ke situs antivirus diblok.
  5. Banyak aplikasi tidak berfungsi dengan baik. Khususnya aplikasi yang memanfaatkan jaringan dan menggunakan port 1024 s/d port 10.000

Ciri File Virus

Virus Conficker.DV memiliki file yang di kompress melalui UPX. File virus berukuran 162 kb. File virus yang masuk bertipe gambar (gif, jpeg, bmp, png). Sedangkan file yang aktif umumnya bertipe “dll” (dynamic link library). File virus yang berusaha masuk akan berada pada lokasi temporary internet:

  1. %Documents and Settings-Settings-Internet Files-acak%].[%gif,jpeg,bmp,png%]
  2. %Documents and Settings-Settings-Temporary Internet Files-
    Jika file virus yang masuk berhasil dijalankan, virus akan mengcopy dirinya pada salah satu lokasi folder berikut :
    %Documents and Settings%-Data-acak%].dll
    %Program Files%-Explorer-acak%].dll
    %Program Files%-Maker-acak%].dll
    %WINDOWS%-acak%].dll
    %WINDOWS%-acak%].dll

    File “dll” inilah yang aktif dan “mendompleng” file svchost.exe (Windows Server Service) untuk melakukan penyebaran virus kembali. Virus juga akan mengcopy file “[%nama acak%].tmp” pada folder %WINDOWS%-(contohnya : 01.tmp atau 06.tmp). Setelah menggunakan file tersebut, kemudian virus mendelete file tersebut.

Gejala/Efek Virus

Jika sudah terinfeksi W32/Conficker.DV, virus akan menimbulkan gejala/efek berikut :

  1. Jika varian sebelumnya mematikan service “Workstation, Server dan Windows Firewall/Internet Connection Sharing (ICS)”. Maka kali ini virus berusaha untuk mematikan dan men-disable beberapa service, yaitu: wscsvc : Security Center, wuauserv : Automatic Updates, BITS : Background Intellegent Transfer Service, ERSvc : Error Reporting Service, WerSvc : Windows Error Reporting Service (Vista, Server 2008), WinDefend : Windows Defender (Vista, Server 2008 )
  2. Virus mampu melakukan blok terhadap program aplikasi yang berjalan saat mengakses website yang mengandung string berikut. Hal ini dilakukan tanpa melakukan perubahan pada host file yang ada. Dengan melakukan blok, dapat mencegah program anti-malware untuk melakukan update antivirus dan mencegah user saat mencoba akses ke website keamanan. Seperti Ccert, sans, bit9, windowsupdate, pctools, norman, clamav, avira, avast, grisoft, nod32, kaspersky, f’secure, etrust, panda, sophos, trendmicro, mcafee, norton, symantec, microsoft, defender, dll
  3. Virus berusaha melakukan perubahan pada system Windows Vista / Server 2008 dengan menggunakan perintah :
    ”netsh interface tcp set global autotuning=disabled“
    Dengan perintah ini, maka windows auto tuning akan di-disable. Windows Auto-Tuning merupakan salah satu fitur dari Windows Vista dan Server 2008 yang berguna untuk meningkatkan performa ketika mencoba aks es jaringan. Info selengkapnya pada
    http://support.microsoft.com/kb/947239
  4. Virus berusaha mendownload dan mengeksekusi file (bmp, gif, jpeg, png) yang kemudian masuk pada temporary internet. Virus melakukan download pada beberapa website berikut :
    aaidhe.net, aamkn.cn, abivbwbea.info, aiiflkgcw.cc, alfglesj.info, amcfussyags.net, amzohx.ws, apaix.ws, argvss.info, arolseqnu.ws,
    asoidakm.cn, atnsoiuf.cc, dll
  5. Virus akan mengecek koneksi internet dan men-download file dengan menyesuaikan tanggal setelah 1 Januari 2009. Untuk itu virus mengecek pada beberapa wesite berikut :
    baidu.com, google.com, yahoo.com, msn.com, ask.com, w3.org, aol.com, cnn.com, ebay.com, msn.com, myspace.com
  6. Virus akan membuat rule firewall pada gateway jaringan local yang membuat serangan dari luar terkoneksi dan mendapatkan alamat external IP Address yang terinfeksi melalui berbagai macam port (1024 hingga 10000).
  7. Virus akan membuat services dengan karakteristik berikut, agar dapat berjalan otomatis saat start-up windows :
    Service name: “[%nama acak%].dll“
    Path to executable: %System32%–k netsvcs
    Serta dengan menggunakan kombinasi dari beberapa string berikut yang muncul pada deskripsi service (biasanya gabungan 2 string semisal “Security Windows”) :
    Boot, Center, Config, Driver, Helper, Image, Installer, Manager, Microsoft, Monitor, Network, Security, Server, Shell, Support, System, Task, Time, Universal, Update, Windows
  8. Virus membuat HTTP Server pada port yang acak :
    Http://%ExternalIPAddress%:%PortAcak(1024-10000)%
    Virus melakukan koneksi ke beberapa website untuk mendapatkan alamat IP Address external yang sudah diinfeksi : http://www.getmyip.org, http://www.whatsmyipaddress.com, http://getmyip.co.uk, http://checkip.dyndns.org, Virus membuat scheduled task untuk menjalankan file virus yang sudah di copy dengan perintah :
    “rundll32.exe .[%eks tensi acak%], [%acak]“

sumber : sini

Make a Comment

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

  • Siapa sih ini ?

  • Kategori

  • Masa Lalu

  • Follow me…

  • Apaan nih ?

  • Yang tersesat

    • 99,128 orang
  • Paling menyesatkan

    • Almanak

      May 2009
      M T W T F S S
      « Mar   Jun »
       123
      45678910
      11121314151617
      18192021222324
      25262728293031

    Liked it here?
    Why not try sites on the blogroll...

    %d bloggers like this: