Awas!! TukulNdeso Serang Data .........!!!!

Bagaimana Ia Menginfeksi?
Saat file virus ini dieksekusi, maka ia sebelumnya akan mendekrip tubuhnya sendiri. Enkripsi yang digunakan sangat sederhana, yakni hanya memajukan setiap huruf sebanyak 10 karakter. Tentu saja untuk mendekripnya, kita hanya memundurkan setiap huruf tersebut. Dan salah satu kelemahan dari virus berbasis VBScript adalah kita dapat dengan mudah melihat source code atau script dari virus tersebut dengan mudah, dienkripsi sekalipun. Virus ini akan membuat fi le induk di rinya pada direktori Windows dengan nama kernel32dll.vbs, tukul.jpg.vbs, dan kembali_ ke_laptop.vbs dengan attribut hidden. Cerdiknya, ia pun meng-copy-kan file wscript.exe dengan nama lain yang menyerupai fi le system Windows yakni smss.exe, dan menjalankan virusnya melalui fi le ini. Pembuatnya sepertinya memang menyadari bahwa VBScript memang mudah untuk dilumpuhkan, cukup dengan mematikan process wscript.exe di memory. Namun, karena file ini tidak menjalankan fi le wscript.exe melainkan fi le smss.exe, jadi yang harus dimatikan dari memory adalah file smss. exe. Awas, jangan salah mematikan process, karena bisa menyebabkan sistem crash. Selain di direktori Windows, ia pun akan meng-copy-kannya pada folder yang ia temukan namun tidak rekursif, artinya ia tidak meng-copy-kan pada subfolder di bawahnya.

Bantai Registry!
Seperti yang terlihat pada function Bantai_Reg yang ada di source code virus tersebut, ia melakukan cukup banyak perubahan pada registry. Contohnya mengalihkan setiap aksi eksekusi dari beberapa tipe extension .exe, .lnk, .pif, agar sebelumnya menjalankan fi le kernel32dll.vbs seperti yang terlihat pada registry “C:\WINDOWS\smss.exe C:\WINDOWS\ kernel32dll.vbs “%1””. Dan yang utama seperti kebanyakan virus melakukannya adalah membuat item Run baru di registry agar ia dapat aktif otomatis saat memulai Windows pada modus normal ataupun safe-mode, yakni dengan nama “System” yang mengarah kepada fi le induk virus dan “svchost.exe” yang mengarah kepada fi le pesan dari virus ini. Jadi setiap memulai Windows, selain virusnya aktif, pesan dari sang virus pun akan muncul. Untuk menyamarkan dirinya, ia mengubah tipe dari fi le .VBS dari “VBScript Script File” menjadi “Image File” dan mengubah icon standar menjadi sebuah icon fi le gambar. Juga mengubah fi le gambar wallpaper Anda menjadi “Prairie Wind.bmp”. Beberapa setting-an Internet Explorer pun tidak luput dari perhatiannya. Halaman default ia ubah menjadi ke \%Windows%\tukul. html. Jadi saat Anda menjalankan Internet Explorer, maka pesan dari virus ini yang kali pertama muncul. Background dari Toolbar Explorer pun ia ubah gambarnya. Dan satu lagi Title Internet Explorer ia ubah menjadi “TuKuL_NDESO”. Untuk memperlemah pertahanan system tersebut, virus ini pun melakukan pemblokiran pada beberapa fasilitas Windows seperti System Restore, Command Prompt, Find, Folder Options, Run, Regedit, dan Task Manager. Ia pun meniadakan fasilitas klik kanan dan menngeset Folder Options agar tidak menampilkan fi le dengan attribute hidden dan menyembunyikan extension untuk beberapa file.

Menyebar agar “Terkenal”
Virus ini dapat menyebar melalui beberapa perantara, seperti storage devices contohnya fl ash disk, sharing directory, mIRC, dan email. Ia membuat beberapa file autorun.inf dengan attribut hidden dan beberapa file pendukung autorun lainnya di drive fl ash drive yang terpasang pada komputer Anda. Ia pun membuat script untuk mIRC Anda agar menarik minat lawan bicara untuk menjalankan virus ini. Dan dengan memanfaatkan MAPI Outlook, ia mencoba untuk mengirimkan dirinya ke alamat yang ada pada address book Anda. Jadi, selalu waspada terhadap setiap e-mail yang mampir ke inbox. Virus ini pun akan men-sharing setiap drive yang terpasang di komputer Anda agar pengguna lain di jaringan tergoda untuk mengaksesnya, dan ia pun dapat mengkopikan dirinya pada folder yang di-sharing dengan nama seperti kembali_ke_laptop.jpg. vbs, JULIA PEREZ NUDE.jpg.vbs, dan TUKUL BUGIL.jpg.vbs.

Automatic Update
Virus VBScript yang satu ini memang tidak bisa dipandang remeh. Tak tanggung-tanggung, sang pembuatnya menambahkan fi tur Automatic Updates pada virusnya. Ia akan memantau alamat ini http://geocities.com/tukulndeso0907/ update.txt, jika terdapat updatean yang lebih baru, maka akan di-download dan ditaruh pada direktori Windows dengan nama update.sys, dan membandingkan versinya dengan yang sudah ada. Jika berbeda, maka varian yang lama tersebut akan digantikan dengan yang baru itu.

Merusak Dokumen
Kenakalan virus ini tidak sampai di situ, karena ia akan mencari fi le Microsoft Word pada komputer Anda, setelah ditemukan ia akan diam–diam memasukan kata–kata seperti “Tukul NDESO” dan mencoba mereplace setiap kata “Anda” menjadi “Elo”, “Saya” menjadi “Gua”, dan “Tidak” menjadi “Kagak”.

Virus Defense
Untuk lebih membatasi ruang gerak user, ia memblokir akses ke beberapa situs tertentu dengan mengubah isi dari fi le hosts milik Windows. Situs tersebut adalah friendster, google, vaksin.com, dan beberapa situs lainnya. Saat ia aktif di memory, ia akan terus memonitor apa yang Anda lakukan. Se perti program apa saja yang Anda akses. Jika nama fi le program tersebut mengandung kata–kata tertentu seperti contohnya anti, kill, hijack, reg, atau vir, maka sebuah kotak pesan berjudulkan “ANTIexe Manager” akan muncul yang memberitahukan bahwa akses tersebut telah diblokir oleh Administrator. Setelah menampilkan kotak pesan tersebut, maka program yang akan kita jalankan tadi akan dihapusnya. Hal mudah untuk mengetahui apakah komputer Anda terinfeksi oleh virus ini atau tidak, yaitu bisa dengan melihat status informasi Registered Owner dan Organization pada komputer terinfeksi. Pada komputer yang terinfeksi, nama pemilik komputer tersebut akan diubah menjadi “TUKUL NDESO”, dan organisasinya menjadi “tukul tur keliling dunia”.

Pencegahan dan Pembasmian
PCMAV RC20 telah dapat membasmi virus ini secara tuntas dan akurat 100%. Berbagai setting-an Windows yang telah ia ubah akan dikembalikan seperti semula oleh PCMAV. Untuk dokumen Microsoft Word yang telah ia modifikasi, silakan Anda ubah kembali secara manual dengan mereplace kata–kata tadi.

PCMAV RC20 Bisa Di Download Disini

Originaly Posted By PCMEDIA

MSWORD jadi BMP

Makin banyak vendor – vendor anti virus yang menawarkan proteksi yang lebih canggih namun ternyata para pembuat virus terutama virus local, kelihatannya semakin mahir pula dalam mengutak - atik source code virus yang lebih seru setiap kemunculannya. Setelah Kespo yang sukses menyebar dan merepotkan semua orang karena menginjeksi dan merubah file DOC / .XLS menjadi .EXE, kini muncul variannya Delf.ZFA atau lebih dikenal dengan nama ZulAnick. Kalau virus Kespo merubah file data korbannya menjadi .EXE, maka ZulAnick ini merubah file-file MSWord, Excel, MP3 dipermak menjadi .BMP (bitmap). Celakanya, vendor antivirus hanya mampu mendeteksi dan membersihkan virus yang menginfeksi file dan file (data) yang telah dibersihkan dari virus tetap tidak mau kembali ke jalan yang benar (tidak dapat diakses) karena sudah dipermak menjadi .BMP. Tentunya korbannya akan nangis Bombay (mungkin maksudnya nangis karena matanya kena bawang Bombay :P). Tetapi jangan khawatir, anda tidak perlu ke India untuk mengatasi masalah ini. Ada programmer Visual Basic lokal dari Yogyakarta yang baik hati dan membuatkan tools untuk mengembalikan data yang dipermak oleh ZulAnick. Dan kabar baiknya, tools ini ampuh dan gratis.

Rasanya baru kemarin kita dilanda kesengsaraan akibat ulah kespo, dimana semua data baik MS.Word maupun MS.Excel akan di injeksi/infeksi sehingga terkadang antivirus vendor akan menghapus file tersebut dan tidak berdaya untuk repair file yang sudah terinfeksi virus Kespo tersebut. Bak perlombaan, para programer lokal juga berlomba untuk membuat tools untuk menghajar sang Kespo, seiring dengan berjalannya waktu kini sudah banyak bermunculan removal tools untuk mengembalikan file yang diinjeksi Kespo tersebut, antara lain :

· Husni dengan DOC/XLS Remover nya (Gratis) http://adilmakmur.wordpress.com/2007/05/25/doc-xls-recover/

· Ahlul dengan EXE 2 DOC nya (Gratis) http://www.ahlul.web.id/download/kespo/

· PCMAV dikeluarkan oleh majalah PC Media dan diberikan di dalam DVD jika anda membeli majalah PC Media.

· Yayat dengan YAV (Yayat Anti Virus) Gratis. Yayat adalah seorang programmer VB yang bekerja di internet café Chanal – Yogyakarta www.chanal.biz. Untuk mendownload tools YAV terbaru, Vaksincom sudah mengupload file tersebut di http://vaksin.com/removal.htm.

Penting !!!...

Use this removal with your own risk!!.....

'Fantasi Biru', Patah Hati Bertelur Virus Komputer

Ni Ketut Susrini - detikInet-----> link

Seperti halnya virus-virus serupa yang muncul karena patah hati, virus yang paling baru beredar adalah 'Fantasi Biru'. Virus ini menyebar cukup luas dan banyak dikeluhkan netter Indonesia. Waspadalah!

Perusahaan antivirus PT Vaksincom menilai virus ini tidak terlalu jahat, karena yang dilakukannya "hanya" menyembunyikan file/folder di komputer korban. Untuk mengelabui user ia akan membuat file duplikat sesuai dengan folder yang disembunyikan.

Aksi tersebut berbeda dengan virus Banjir (W32/PoisonIvy.NQ) yang beredar sebelumnya. Virus Banjir tega menghapus file dan menghancurkan data.

Alfons Tanujaya, spesialis antivirus PT Vaksincom mengungkap Fantasi Biru menyebar luas di Indonesia dengan penyebaran yang cukup merata. Virus ini berukuran 40 KB, dengan ciri khas menampilkan pesan dengan header "81u3f4nt45y - 24.01.2007 - Surabaya".

"Virus ini akan mengelabui korbannya dengan memalsukan dirinya sebagai icon folder dan memiliki kemampuan autorun (berjalan otomatis)," kata Alfons dalam keterangan tertulis yang dikutip detikINET, Senin (26/3/2007). "Virus ini menginfeksi komputer jika Anda mencolokkan UFD (USB Flash Disk) yang sudah terinfeksi," imbuhnya.

Dari pesan yang ditampilkan, virus ini mengaku berasal dari Surabaya. Pesan akan muncul setiap kali komputer login. Berikut isi pesan tersebut:

Surabaya in my birthday
Don't kill me, i'm just send message from your computer
Terima kasih telah menemaniku walaupun hanya sesaat, tapi bagiku sangat berarti
Maafkan jika kebahagiaan yang kuminta adalah teman sepanjang hidupku Seharusnya aku mengerti bahwa keberadaanku bukanlah disisimu, hanyalah lamunan dalam sesal
Untuk kekasih yang tak kan pernah kumiliki 3r1k1m0
(nks/nks)

Awas, Jangan Klik E-mail dari 'Microsoft'

Dewi Widya Ningrum - detikInet----->link

Jika Anda menerima e-mail beratas nama Microsoft yang menawarkan download browser Internet Explorer 7 (IE7) Beta 2, jangan di-klik. Segera hapus!

Saat ini tengah beredar sebuah virus yang menyamar sebagai versi uji coba browser terbaru IE7. Meski hingga saat ini tercatat belum ada korban, beberapa pakar keamanan memperingatkan agar pengguna komputer tetap waspada terhadap e-mail tersebut.

E-mail tersebut seolah-olah benar-benar berasal dari Microsoft. Virus akan beraksi jika sang penerimanya meng-klik link yang ada di attachment.

"Ide mengirimkan link tampaknya sudah menjadi tren yang dipakai penyerang. Cara semacam ini tergolong masih baru dan lebih sukses ketimbang mengirim sebuah file," ujar Mikko Hypponen, chief research officer di F-Secure.

E-mail tersebut memakai subyek "Internet Explorer 7 Download" dan pengirimnya tertulis berasal dari admin@microsoft.com. Selain itu, pada e-mail juga disertakan grafis ber-style Microsoft berwarna biru yang menawarkan download IE 7 beta 2.

Jika Anda meng-klik grafis tersebut, maka akan ter-download sebuah file eksekusi bernama "IE 7.exe". Pastinya, file tersebut merupakan virus baru yang dijuluki Virus.Win32.Grum.A. Sampai berita ini diturunkan, para pakar keamanan masih menganalisis kasus ini.

Menurut Sophos, virus ini bisa menyebar dengan mengirimkan dirinya sendiri via e-mail ke daftar kontak korban yang ada di buku alamat (address book).

"Virus ini juga bisa mengubah file registry untuk memastikan bahwa virus ini telah terinstal, dan akan mencoba men-download file tambahan dari Internet," papar Graham Cluley, senior konsultan teknologi Sophos.

Virus semacam ini, menurut Cluley, sering menginstal keystroke logger untuk mencuri informasi pribadi, dan menampilkan jaringan dari komputer yang terinfeksi untuk melancarkan serangan denial of service attack (Dos).

"Kami belum tahu darimana datangnya virus ini," kata Hypponen. "Pastinya virus ini dibuat dengan cukup baik dan sulit untuk menganalisanya dengan tools biasa," lanjutnya lagi.

Infoworld yang dikutip detikINET, Sabtu (31/3/2007) melansir, F-Secure telah menerima banyak laporan e-mail, tetapi yang mengeluh soal kerusakan yang ditimbulkan virus tersebut sampai sejauh ini masih terbatas.

Soal seberapa besar ancaman virus ini, yang jelas Cluely menyatakan bahwa virus ini tidak dikategorikan sebagai salah satu virus terbesar tahun ini, namun bukan berarti virus ini bukan merupakan ancaman.

Dikenali Sebagai "mediocre"

Oleh antivirus, Win32.Grum dideteksi sebagai "mediocre". Demikian dikatakan Sunbelt Software Inc. Sementara itu beberapa vendor besar lainnya, menurut Hypponen, masih belum bisa mendeteksinya.

Bahkan beberapa sistem penyaring (filtering) e-mail juga tidak bisa memblokir virus ini pada Jumat pagi lalu.

Virus Win32.Grum hanya menginfeksi pengguna Windows. "Microsoft sudah mengetahui masalah tersebut dan saat ini tengah menyelidikinya, termasuk dampak terhadap pelanggannya," kata seorang juru bicara Microsoft via e-mail.

Sebagai catatan saja, versi final browser IE 7 sudah diluncurkan Microsoft pada Oktober 2006. Oleh sebab itu Microsoft tidak mungkin mengiklankan produk betanya. Pengguna bisa men-download versi real browser tersebut di situs Internet Explorer Microsoft.(dwn/dwn)

Kursor 'Menari', Komputer Terjebak Virus

Wicaksono Hidayat - detikInet .......> link

Salah satu fitur Windows adalah kursor yang bisa 'menari' atau membuat gerakan lain alias animasi. Namun fitur itu bisa membuka peluang komputer diserang oleh virus.

Sebuah kelemahan telah ditemukan pada cara sistem operasi Windows menangani kursor yang memiliki animasi. Kelemahan ini, seperti dikutip detiKINET dari Cnet, Senin (2/4/2007), berpengaruh pada semua versi Windows termasuk WIndows Vista.

Pihak tak bertanggungjawab bisa memanfaatkan kelemahan ini melalui halaman web atau pesan e-mail. Calon korban cukup mengunjungi sebuah halaman web atau membuka e-mail yang dirancang khusus dan pihak lain bisa melakukan penyerangan, demikian pernyataan resmi dari Microsoft.

Chinese Internet Security Response Team melaporkan telah beredarnya worm yang memanfaatkan celah tersebut. Kelemahan itu dikenal juga dengan nama ANI, sesuai nama file kursor yang memiliki animasi.

Menurut F-Secure, Senin (2/4/2007), program jahat itu dikenali sebagai Win32.Agent.bkp. Saat beraksi, program itu akan mengunduh program jahat lain dari internet, umumnya varian dari Win32.OnLineGames.

Program itu berusaha menemukan file halaman web (HTML) dalam hardisk lalu mengubah file itu agar mengandung script untuk mengambil file ANI. Saat halaman HTML itu diunggah (upload) ke server, maka halaman itu akan ikut menyebarkan program jahat Agent.bkp.

Selain menginfeksi file HTML, Agent.bkp ini juga berusaha meyebar via flashdrive dan media penyimpanan lainnya.

Cara mudah untuk mendeteksi adanya infeksi Agent.bkp adalah ditemukannya file tool.exe dan autorun.inf pada root setiap drive yang tersambung dengan komputer.

Selain itu, komputer yang terinfeksi akan mengirimkan e-mail ke alamat berupa serangkaian nomor acak dengan domain qq.com, misalnya 578392461@qq.com, 47823@qq.com atau 3876195@qq.com. (wsh/wsh)

Turunan Virus Bikin Komputer Otomatis Ngeprint

Ni Ketut Susrini - detikInet
Senin , 09/04/2007


Waspada jika komputer di jaringan tiba-tiba mengaktifkan printer. Kertas dan tinta jadi terbuang percuma. Ini semua ulah virus komputer yang merupakan salah satu turunan virus Lightmoon.

Perusahaan antivirus PT Vaksincom mengungkap bahwa virus tersebut kemungkinan sudah menyebar luas dengan korban ribuan komputer.

"Hal ini didukung oleh banyaknya data yang masuk ke Vaksincom yang mengeluhkan masalah serupa," kata spesialis antivirus Alfons Tanujaya dalam keterangan tertulis yang dikutip detikINET, Senin (9/4/2007).

Menurutnya, hasil penyisiran dengan Norman Virus Control mengenali virus ini sebagai W32/VBWorm.NDD.

Virus ini dibuat dengan bahasa Visual Basic, dengan ukuran file 133 Kilobyte. Dalam aksinya, virus ini seperti halnya virus lokal lainnya, memalsukan ikon dari file yang sudah terinfeksi dengan menggunakan ikon "Folder".

"Agar mudah dieksekusi virus ini akan menyertai ekstensi EXE di setiap file yang sudah terinfeksi dengan tipe file sebagai Application," ujar Alfons.

Alfons menjelaskan, Jika file yang telah terinfeksi dijalankan, ia akan membuat beberapa file induk yang akan dijalankan secara otomatis setiap kali komputer dinyalakan. File induk tersebut diantaranya ada di root Drive C, atau di sub direktori Windir dan System32.

Agar tetap aktif walaupun user mengubah file msvbvm60.dll, virus ini menyiasatinya dengan membuat file copy dari file msvbvm60.dll ke direktori "C:\%Windir%\System" dengan atribut "system" dan "Hidden".

Dalam aksinya, VBWorm.NDD akan mencoba mematikan sejumlah proses dari virus lokal yang aktif di komputer. Virus ini juga akan mencoba mematikan proses antivirus yang teristal di komputer, dengan menghapus beberepa string registry yang dibuat oleh Antivirus tersebut. Akibatnya, antivirus tersebut tidak dapat aktif.

"Karena itu Vaksincom menyarankan untuk menginstal ulang program antivirus Anda jika komputer Anda terinfeksi VBWorm/NDD," ujar Alfons.


Link....disini

VIRUS WAYANG BERULAH

Berhati-hatilah, jika tiba-tiba komputer Anda menampilkan sesosok ksatria masa silam yang hadir dari dunia pewayangan. Bisa jadi Anda sudah menjadi korban virus wayang.

Perusahaan antivirus PT Vaksincom mengumumkan keberadaan virus ini. Alfons Tanujaya, spesialis antivirus Vaksincom mengatakan jika sudah menginfeksi komputer, virus ini akan terkunci di menu logon dan tidak bisa apa-apa.

"Korbannya sudah ribuan di seluruh Indonesia dan terdeteksi sejak Februari 2007, tetapi penyebaran virus ini mencapai puncaknya beberapa minggu terakhir ini," ujar Alfons dalam keterangan tertulis yang dikutip detikINET, Selasa (17/4/2007).

Antivirus Norman Virus Control mengenali virus ini sebagai W32/VBWorm.NFA. Tindak tanduknya pun cukup merepotkan, selain memblok komputer pada menu logon seperti kasus virus Flu Burung, komputer akan menampilkan gambar wayang setiap kali komputer dinyalakan.

Upaya untuk boot komputer pada mode 'safe mode' atau 'safe mode with command prompt' juga percuma dilakukan, pada kedua mode ini komputer tetap tidak dapat digunakan.

Vaksincom memperkirakan virus ini berasal dari Surabaya, dengan ukuran 76 KB. Cirinya, virus ini memakai ikon Microsoft Word dan dengan tipe file Application.

Salah satu file induk virus ini juga mendompleng nama 'sakti' HP BCL (Bunga Citra Lestari), sehingga calon korban menjadi lebih mudah terkecoh untuk menjalankan file tersebut.

Ketika telah menginfeksi, virus ini juga akan mengubah tipe file yang sudah terinfeksi dari Application menjadi Microsoft Word Document. Jadi semakin lengkaplah penyamaran yang dilakukan oleh VBWorm.NFA.

Begitu banyaknya file induk yang dibuat dengan seabreg-abreg string registri yang akan diubah, juga mengingatkan kita pada virus Oyoborus.A dan Gnurbulf.B.

Jika komputer Anda sudah terinfeksi VBWorm.NFA jangan lupa untuk membersihkan string yang sudah diubah jika masih menginginkan komputer tersebut dapat digunakan. Pasalnya, jika registri yang dibuat oleh VBWorm.NFA tidak dibersihkan maka komputer tidak dapat digunakan dengan selalu meminta konfirmasi untuk mengisi username dan password, alias terkunci di menu logon.

Virus ini juga akan memblok beberapa tools sekuriti, program firewall dan antivirus, serta beberapa situs antivirus/seks dan web sekuriti dengan memodifikasi file Host Windows yang ada pada direktori C:\Windows\system32\drivers\etc\host.

By : Ardhi Suryadhi – detikInet ........link

Mencegah Virus Autoinfect via Flash Disk

Siapa bilang orang Indonesia kalah kreatif dengan bangsa asing ? Lihat saja peta penyebaran virus lokal di tahun 2006 dan 2007. Pembuat virus lokal tidak kalah produktif dengan virus mancanegara. Salah satu hal yang disayangkan adalah kreativitas ini justru muncul dalam hal pembuatan virus, carding dan hal-hal negatif lainnya. Padahal kalau kemampuan teknis yang dimiliki dipergunakan untuk tujuan yang baik akan memberikan manfaat yang sangat besar bagi perkembangan IT bangsa ini.

Kreativitas merupakan hal yang menonjol dari virus-virus lokal yang muncul. Kalau virus mancanegara ingin menginfeksi file JPEG, mereka harus cape-cape berusaha mengeksploitasi celah keamanan GDI JPEG vulnerability. Kelemahan virus yang mengeksploitasi celah keamanan adalah jika celah keamanan ini sudah ditutup akan membuat virus yang dibuat menjadi tidak mempan lagi. Lain dengan pembuat virus lokal yang tidak mengeksploitasi celah keamanan, tetapi mengeksploitasi manusianya (rekayasa sosial). Saat ini, vendor IT masih belum ditemukan patch untuk menambal celah keamanan pada manusia (iseng mengklik, ingin tahu dst). Sebagai gambaran, trik yang digunakan oleh pembuat virus lokal untuk mengelabui korbannya menjalankan virus adalah dengan mengubah icon file virus menjadi icon yang tidak berbahaya, seperti icon folder, MS word atau icon JPEG. Tentunya pengguna komputer tidak akan ragu untuk mengklik file JPEG karena sampai saat ini belum ditemukan virus yang menyebar melalui file JPEG (apalagi kalau menjanjikan gambar BCL :P), kecuali virus yang mengeksploitasi celah keamanan GDI JPEG vulnerability. Tetapi, dengan trik mengubah icon virus (application) menjadi JPEG tentunya akan sukses mengelabui pengguna komputer, sekalipun komputernya sudah di patch teratur dan tidak memiliki kelemahan.

Salah satu “MKDU (Mata Kuliah Dasar Umum :P)” bagi virus lokal di tahun 2007 adalah infeksi otomatis melalui Flash Disk. Dan disini sekali lagi kreativitas pembuat virus terlihat karena mereka mampu memanfaatkan fitur yang ada (autorun) pada hardware lain (CD / DVD Rom) dan mengimplementasikannya pada virus di Flash Disk.

Seperti yang kita ketahui salah satu syarat agar virus tersebut dapat menyebar luas dan dapat berumur panjang adalah mempunyai ukuran yang kecil serta mempunyai kemampuan untuk dapat menyebar secara otomatis tanpa tergantung manusia itu sendiri, virus juga harus pandai mencari cara agar dirinya tetap aktif. Pada awal kemunculannya, virus lokal sangat tergantung manusia agar dirinya dapat aktif di komputer target, pada waktu itu virus tidak akan aktif jika file virus tersebut tidak dijalankan terlebih dahulu sehingga penyebaranya sangat lambat hal ini di dukung dengan teknik penyebarannya yang masih menggunakan Disket / Flash Disk [UFD]. Jika hal ini masih tetap dipertahankan lambat laun virus lokal akan hilang dari peredaran dunia maya apalagi saat ini user sudah semakin pintar dan sudah dapat membedakan antara file virus dan file bukan virus sehingga dengan mudah user akan menghapus file yang dianggap virus tersebut tanpa sempat menjalankan file virus tersebut. Untuk mengatasi hal tersebut diperlukan metode yang lebih “canggih” dan “efektif” agar virus tersebut dapat aktif secara otomatis tanpa harus menunggu agar user manjalankan file virus tersebut dan metode inilah yang sampai saat ini digunakan oleh kebanyakan virus lokal yang menyebar dan merupakan “MKDU” yang sudah menjadi SOP (Standard Operating Procedure) virus lokal. Metode ini sendiri sebenarnya sudah mulai dilakukan saat kemunculan virus W32/Aksika (4k51k4).



Script Autorun.inf/Desktop.ini/folder.httt

Kemudahan berbanding terbalik dengan keamanan, itulah salah satu hukum yang berlaku di dunia IT. Sadar atau tidak kemudahan yang diusung itu sendiri telah memberikan peluang program jahat untuk menyusup kedalam system komputer. Salah satu kemudahan tersebut adalah script Autorun yang digunakan untuk menjalankan suatu file secara otomatis saat user akses ke suatu Drive atau saat user menghubungkan removable disk atau saat user memasukan CD / DVD ke dalam CD / DVD ROM. Dan para programmer lokal menjadikan celah ini sebagai peluang agar virus mereka dapat menyebar lebih cepat dibandingkan sebelumnya dan sampai saat ini celah tersebut masih digunakan oleh virus agar dapat menyebarkan dirinya secara otomatis tanpa harus menungggu agar user menjalankan file virus tersebut secara manual. Cukup dengan mengakses ke Flash Disk tersebut atau mencolokkan UFD tersebut ke komputer, maka virus akan langsung menginfeksi.

Agar virus ini dapat aktif setiap saat biasanya sang pembuat virus akan membuat script disetiap Drive termasuk di media Disket/Flash Disk. Autorun.inf/desktop.ini atau Folder.htt adalah beberapa script MKDU yang biasanya akan dibuat oleh virus.

Script ini sendiri sebenarnya berisi sederetan perintah yang intinya adalah untuk menjalankan file virus itu sendiri dan biasanya file induk ini akan ditempatkan di folder/direktori yang sama, agar file tersebut tidak dicurigai oleh user maka script dan file induk tersebut akan di sembunyikan. W32/Askis, W32/VBWorm.ZL, VBWorm.MOS, W32/Aksika, W32/FaceCool atau W32/Solow adalah sederetan virus lokal yang akan mengunakan metode ini maka jangan heran jika mereka sukses menyebar dijagat maya tanpa mengandalkan email.

untuk mengetahui lebih jelas tentang Autoinfect Virus via Flash Disk silahkan klik disini

VIRUS!!

kernel.sys. Untuk file kernel.sys ini sebenarnya adalah adalah file executable biasa, duplikat dari dirinya. Tak ketinggalan, ia pun menempatkan duplikat dari dirinya lagi di StartUp folder, sehingga saat memulai Windows nanti, virus akan otomatis di-load ke memory.

Setelah file–file induk tadi berhasil dibuat, barulah ia mengeksekusi fi le-fi le tersebut, sehingga di memory akan terdapat banyak sekali process virus.

Serbu Registry!

Kini waktunya sang virus untuk menyerang registry. Pertama, ia akan membuat beberapa
startup item di registry dengan nama SysTray, Msg, Pengging, dan Service. Tentunya ini
dimaksudkan agar sang virus dapat aktif otomatis pada saat memulai Windows, tak lupa
ia pun membuat perubahan pada registry yang mengatur masalah safe-mode, karena sang pembuat virus ingin virusnya juga dapat aktif dalam modus safe-mode.

Cara yang dilakukannya agar dapat aktif pada komputer korban juga dilakukannya dengan berbagai cara, di antaranya dengan mengubah setting-an Screen Saver di registry.

Ini dilakukan agar saat Screen Saver muncul, maka yang dijalankan oleh Windows adalah program virus, bukanlah Screen Saver-nya.

Hal serupa juga dilakukannya pada settingan Debugger. Jadi, saat suatu aplikasi Pembuat virus sepertinya tidak akan tinggal diam dengan segala kelebihan yang dimiliki oleh registry. Karena, hamper sama sekali tidak ada virus yang tidak memanfaatkan registry sebagai salah satu sarana pembantunya untuk menyebarkan diri. Karena dalam registry ini terkandung banyak sekali informasi ataupun fasilitas yang tidak diketahui oleh orang banyak.

Nah, Virus yang satu ini sepertinya sudah berkenalan dekat dengan registry. Bagaimana tidak, karena hampir setiap sektor di registry ia infeksi. Pengging, begitulah PC Media Antivirus RC14 mengenalinya. Virus yang juga dikenal sebagai Penguin oleh antivirus lain ini memiliki ukuran tubuh sebesar 47.104 bytes. Dibuat menggunakan bahasa Visual Basic lalu di-compress menggunakan PECompact. Virus yang dapat menginfeksi komputer berbasis Windows ini menggunakan icon yang mirip seperti icon Folder standar bawaan Windows.

Dan mengenai registry apa saja yang diubahnya sebenarnya bisa dilihat dengan Serangan Umum Pengging untuk Registry

Original posted by PC MEDIA