Virus Bebek

W32/VBWorm.QXE (bulubebek) 6 Oktober 2008

Giliran Donal Bebek yang menyerang komputer Indonesia

Rupanya Donal Bebek tidak mau kalah dengan Kenshin, Doraemon dan Naruto. Setelah melihat “saingannya” dari Jepang beraksi, kini muncul virus lokal yang mungkin terinspirasi Donal Bebek. Virus ini dapat dikenali dengan ciri khasnya mengandung nama Bulu Bebek. Penyebaran Bulu Bebek ini sebulan terakhir cukup merata dan diperkirakan ribuan komputer di seluruh Indonesia “dikerjai” oleh si Donal Bebek ini. Virus ini berusaha untuk menyembunyikan folder/subfolder dan membut file duplikat dengan tujuan untuk mengelabui user.

Bulubebek dibuat menggunakan Visual Basic dengan ukuran file sebesar 53 KB (lihat gambar 1) yang terdiri dari 2 jenis file yakni .EXE dan .INI. Dengan update terbaru Norman Virus Control dan Norman Security Suite telah mendeteksi virus ini sebagai VbWorm.QXE (lihat gambar 2)

Gambar 1, File induk virus

Gambar 2, Hasil deteksi Norman Security Suite

File Induk

Pada saat virus ini aktif ia akan membuat sejumlah file yang akan dijalankan pertama kali pada saat komputer dinyalakan serta membuat file autorun.inf agar virus tersebut dapat aktif secara otomatis setiap kali user akses folder. Berikut beberapa file induk yang akan dibuat oleh VBWorm.QXE

• C:\Windows\Script.exe

• C:\Windows\LSASS.exe

• C:\Documents and Settings\%user%\autorun.inf

• C:\Documents and Settings\%user%\bulubebek.ini

• C:\bulubebek.ini

• c:\autorun.inf

Auto start registry

Untuk memastikan agar file tersebut dapat dijalankan, ia akan membuat string pada registry berikut:

• HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

  • Shell = explorer.exe script.exe

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

  • Shell = explorer.exe script.exe

Blok Fungsi Windows

Sebagai bentuk pertahanan ia akan mencoba untuk blok beberapa fungsi Windows seperti Task Manager, Folder Option atau CMD. Untuk melakukan hal tersebut ia akan membuat string pada registry berikut:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\HideFileExt

- CheckedValue=2

- DefaultValue = 2

- UncheckedValue = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN

- CheckedValue= 0

- DefaultValue = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

- CheckedValue= 2

- DefaultValue = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\ShowFullPath

- CheckedValue= 0

- DefaultValue = 0

- UncheckedValue = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\ShowFullPathAddress

- CheckedValue= 0

- DefaultValue = 0

- UncheckedValue = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SuperHidden

- CheckedValue= 2

- DefaultValue = 2

- UncheckedValue = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt

- CheckedValue= 1

- DefaultValue = 1

KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SuperHidden

- CheckedValue= 0

- DefaultValue = 0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

- NoFolderOptions

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

- DisableRegistryTools

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

- Hidden = 2

- HideFileExt = 1

- ShowSuperHidden = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor

• AutoRun = exit

HKEY_CURRENT_USER\Software\Microsoft\Command Processor

• AutoRun = exit

Ia juga akan mencoba blok eksekusi file “Microsoft Visual Studio Spy Debugging Tools” yang mempunyai nama file SPYXX.exe dengan menampilkan pesan berikut saat file tersebut di eksekusi dengan terlebih dahulu membuat string pada registry berikut : (lihat gambar 3)

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SPYXX.EXE

  • debugger = TAI BEBEK

Gambar 3, Pesan Error saat menjalankan file Spyxx.exe

Penyebaran otomatis

Flash Disk adalah salah satu media yang akan digunakan untuk menyebarkan dirinya dengan memanfaatkan celah autorun Windows yakni dengan membuat file autorun.inf dan bulubebek.ini (lihat gambar 4)

Gambar 4, Script yang terdapat pada file autorun.inf

Hidden folder dan membuat duplikat folder

Tidak seperti virus lain yang jahat menginjeksi atau menghancurkan file komputer korbannya, pembuat Bulu Bebek ini kelihatannya tidak memiliki niat jahat menghancurkan data komputer korbannya. Bulubebek akan mencoba untuk menyembunyikan folder/subfolder pada flash disk, untuk mengelabui user ia akan membuat file duplikat disetiap folder/subfolder sesuai dengan nama older/subfolder tersebut. File duplikat ini mempunyai ciri-ciri : (lihat gambar 5)

• Menggunakan icon Folder

• Ukuran file 53 KB

• Ekstensi EXE

• Type File “Application

Gambar 5, File duplikat yang dibuat oleh VBWorm.QXE / bulubebek

Membersihkan virus Bulubebek

1. Sebaiknya putuskan komputer yang akan dibersihkan dari jaringan (jika terhubung ke LAN)

2. Disable “System Restore” untuk sementara selama proses pembersihan berlangsung (jika menggunakan Windows ME/XP)

3. Matikan proses virus yang sedang aktif di memori, untuk mematikan proses virus ini gunakan tools penggganti taks manager seperti procexp, kemudian matikan proses virus yang mempunayi icon “Folder”. (lihat gambar 6)

Gambar 6, Mematikan proses virus yang aktif dimemory

4. Repair registry Windows yang sudah di ubah oleh virus. Untuk mempercepat proses tersebut salin script dibawah ini pada program notepad kemdian simpan dengan nama repair.inf. Jalankan file tersebut dengan cara:

• Klik kanan repair.inf

• Klik Install

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee

[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del

[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden, UncheckedValue,0x00010001,1

HKLM, SOFTWARE\Microsoft\Command Processor, AutoRun,0,

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001,1

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, DefaultValue, 0x00010001,2

HKCU, Software\Microsoft\Command Processor, AutoRun,0,

[del]

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableTaskMgr

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NOFind

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NORun

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PAYXX.exe

HKCU, Software\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\HideFileExt

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\ShowFullPath

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\ShowFullPathAddress

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SuperHidden

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions

HKCU, Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegistryTools

5. Cari dan hapus file duplikat yang dibuat oleh virus. Untuk mempercepat proses pencarian sebaiknya gunakan fungsi “Search Windows” dengan terlebih dahulu menampilkan file yang disembunyikan. (lihat gambar 7)

Gambar 7, Menampilkan file yang disembunyikan

Jika Folder Option belum muncul sebaiknya LogOff komputer terlebih dahulu kemudian tampilkan file yang tersebunyi.

Setelah file duplikat ditemukan, hapus file yang mempunyai ciri-ciri : (lihat gambar 8)

• Menggunakan icon Folder

• Ukuran file 53 KB

• Ekstensi EXE

• Type File “Application

Gambar 8, Mencari dan menghapus file duplikat Bulubebek

6. Tampilkan kembali file/folder pada Flash Disk yang sudah disembunyikan. Untuk menampilkan file yang disembunyikan anda dapat menggunakan bebarapa tools alternatif seperti Batch File Utility atau dengan menggunakan perintah ATTRIB

Berikut cara menampilkan file/folder yang disembunyikan dengan menggunakan ATTRIB (lihat gambar 9)

• Klik “Start”

• Klik “Run”

• Ketik “CMD”, kemudian tekan tombol “Enter”

• Pindahkan posisi kursor ke drive Flash Disk

• Kemudian ketik perintah ATTRIB –s –h –r /s /d kemudian tekan tombol “enter”

Gambar 9, Menampilkan file yang disembunyikan

7. Untuk pembersihan optimal dan mencegah infeksi ulang scan, dengan antivirus yang up-to-date dan sudah dapat mendeteksi virus ini.

Aj Tau

info@vaksin.com

PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

PH : 021 345 6850

Fx : 021 345 6851

Kecil-kecil jadi hacker

Kecil-kecil jadi hacker

Trojan horse yang menyamar sebagai paket upgrade firmware yang menghilangkan beberapa file penting iPhone rupanya hasil kreasi seorang hacker cilik. Bocah berusia 11 tahun itu berhasil membuat trojan untuk iPhone, sebuah file jahat yang menyamar sebagai update firmware untuk iPhone.

Vnunet yang dikutip detikINET, Jumat (11/1/2008) melansir, pengguna iPhone berpotensi terinfeksi trojan yang menyamar sebagai sebuah tool untuk meng-upgrade iPhone. Perusahaan keamanan Symantec mengidentifikasi trojan itu sebagai "iPhone firmware 1.1.3 prep".

Dalam blognya, peneliti keamanan Symantec Orla Cox mengatakan bahwa saat diinstal, program tersebut tidak berefek banyak pada iPhone. Kerusakan yang ditimbulkan bukan pada saat trojan itu terinstal, tapi ketika user mencoba me-remove malware tersebut. Trojan tersebut akan menghapus sejumlah file resmi yang ada di iPhone.

Berkaitan dengan hal tersebut, administrator situs independen publikasi iPhone, Modmyifone, mengklaim sudah mengumumkan peringatan terkait ancaman trojan tersebut dan melacak pembuatnya. Mereka bahkan telah menghubungi orangtua sang bocah dan menutup situs yang meng-hosting trojan tersebut.

Di lain sisi, Apple menyatakan tidak akan bertanggung jawab terhadap kerusakan yang ditimbulkan program pihak ketiga itu. Apple juga mengaku tidak akan mengambil langkah khusus apapun terhadap iPhone yang terinfeksi, karena memang program tersebut bukan dirilis oleh Apple.

Sementara itu perusahaan keamanan mewanti-wanti agar pengguna iPhone berhati-hati saat menginstal program dari pihak ketiga di ponsel. "Saat ini ada anak 11 tahun 'bermain-main' dengan file XML dengan membuat trojan. Ke depannya bisa saja ada seseorang yang memiliki skill lebih dan target tertentu," tandas chief research officer F-Secure, Mikko Hypponen.

McAfee merekomendasikan agar pengguna iPhone hanya menginstal update firmware resmi saja dan hanya men-download file dari situs terpercaya saja



Hehehe, repost dari www.forumbebas.com

Gagal deh

Kirain jadi mo libur, eh malah ga jadi liburnya. Kampret............... ehehehehe. Ya iya lah masa ya iya dunks, ni hari kudunya gw libur.. eh malah jadi masuk gawe....
Dari pada BT akhirnya ngisi blog dah..... sambil lanjutin pagawean yang lom kelar, aduh... nasib-nasib jadi pekerja ya gini dah.
Eh iya jadi inget... kalo jadi BOS kayak gimana ya? hihihihihi
trus gimana ya, kayak gini juga ga ya, apa malah tambah parah kerjaanya :D

Informasi Situs File Hosting Gratis di Internet

Informasi Situs File Hosting Gratis di Internet
Di post Nov 09, 2008	Email ke teman Cetak
File hosting gratis mungkin sudah tidak menjadi masalah besar dengan cepatnya perkembangan teknologi informasi yang sedemikian cepat, tetapi saat ini masih sulit untuk menemukan situs berkecepatan tinggi yang dapat membantu Anda untuk dengan mudah mengirim atau menerima file berukuran besar. Dan inilah 11 situs gratis yang bisa membantu Anda dalam mengirim atau menerima file berukuran besar: FileBanker: Gratis File Hosting 10GB FileBanker dapat membantu Anda mengirim file dengan cepat tanpa spam. Anda tidak akan dipaksa untuk mendaftar atau membayar. Ketika Anda harus mengirim sebuah file yang terlalu besar untuk dikirim melalui email, maka FileBanker dapat membantu Anda dengan cepat. DropSend: Meng-email File Besar dengan Mudah dan Aman Situs untuk berbagi file yang bagus untuk mengirim dan menerima file besar. Anda juga dapat menyimpan file Anda di DropSend. Jasa mereka cepat, sederhana dan aman. 2Big2Send: Cepat, Mudah, Gratis Memungkinkan Anda untuk mengirim file besar yang melebihi batas penyedia jasa email. Mereka melakukan hal ini dengan meminta Anda meng-unggah (upload) file sebesar apapun ke server penyimpan mereka lalu Anda dapat mengirim email dari sistem mereka dengan sebuah link ke file tersebut. Badongo: Gratis Hosting File Dan Gambar Badongo memberikan pengguna link ke file yang dapat dengan mudah dikirim melalui email atau IM untuk dilihat atau diunduh tanpa harus mengkhawatirkan tentang ukuran atau batasan dari aplikasi IM atau email. Badongo memungkinkan pengguna untuk bergabung dan membentuk jaringan komunitas dimana Anda diperbolehkan mengakses file yang diunggah oleh para anggotanya. Gigasize: Host dan Berbagi File Gigasize adalah jasa hosting file yang gratis. Dengan gigasize Anda dapat meng-unggah file besar dengan satu klik. Share Send: Cara Mudah untuk Membagi File Share Send adalah situs berbagi file yang mudah dan sederhana. Tidak membutuhkan pendaftaran, Anda hanya perlu meng-unggah file dan Anda akan mendapatkan sebuah url untuk membaginya dengan teman atau orang lain. File ai: Membagi File Besar untuk Email dengan Aman dan Gratis File ai adalah situs gratis yang memungkinkan penggunanya untuk berbagi file yang tidak dapat dikirimkan melalui email. Anda tidak perlu mengunduh atau menginstal apapun dan file Anda tidak diunggah ke server apapun. File Anda akan dienkripsi dan dikirim secara peer-to-peer melalui browser Anda. Windows Live SkyDrive Windows Live SkyDrive bekerja dengan baik pada Windows apapun atau Mac dengan Firefox 1.5+ atau IE 6+. SkyDrive menyediakan kapasitas penyimpanan gratis sebesar 5 GB yang dapat diakses dari komputer apapun yang memiliki akses internet. Anda dapat membuat folder pribadi atau umum dan Anda apat memutuskan siapa saja yang memiliki akses ke masing-masing folder. ADrive: Revolusi Backup dan Penyimpanan Online ADrive.com saat ini memimpin dalam industri backup dan penyimpanan data online dengan menawarkan kapasitas penyimpanan terbesar di internet. Oosah: Galeri, Slideshow dan Berbagi File Online Oosah adalah situs hosting mudah pakai tetapi kaya dengan konten web 2.0. Di sini Anda dapat mengatur semua konten digital media Anda mulai dari foto, video hingga audio. sushi juga sebelumnya pernah membahas layanan ini secara mendetil. Mozy Online Backup: Sederhana, Otomatis, Aman Mozy dapat mem-backup semua dokumen, foto, file penting dan lainnya di internet. Sumber artikel: Smashing Apps. - Udaramaya www.ketok.com