Virus nomor 1 di Indonesia, injeksi file exe/com/scr

Kalau Conficker dapat dikatakan sebagai worm nomor satu di Indonesia, maka predikat virus yang paling merepotkan dan paling banyak ditemui Vaksincom di Indonesia pantas di sandang oleh Sality. Virus yang disinyalir berasal dari Taiwan / Cina ini secara meyakinkan menempati ranking pertama dalam infeksi virus yang diterima oleh Vaksincom bersama-sama dengan Conficker.
Memang menyebalkan jika semua program kita ikut dimakan oleh virus [di infeksi], disamping sulit dalam memberantas virusnya terkadang juga file yang sudah di injeksi tersebut tidak dapat digunakan alias rusak setelah di scan dan dibersihkan oleh antivirus, alhasil harus reinstall semua program yang error atau download ulang file yang sudah di injenksi tersebut.



Salah satu virus yang akan menginjeksi file exe/com/scr ini adalah W32/Sality.AE (lihat gambar 1)

Gambar 1, Norman Security Suite dapat mendeteksi Sality.AE dengan baik



Ukuran file yang sudah terinfeksi W32/Sality.AE akan bertambah besar beberapa KB dan file yang sudah terinfeksi W32/Sality.AE ini masih dapat di jalankan seperti biasa. Biasanya virus ini akan mencoba untuk blok program antivirus atau removal tools saat dijalankan serta mencoba untuk blok task manager atau “registry editor” Windows. Untuk mempermudah dalam proses penyebarannya selain memanfaatkan “File Sharing” dan “Default Share” virus ini juga akan memanfaatkan media Flash Disk dengan cara membuat file acak yang mempunyai ekstensi exe/com/scr/pif serta menambahkan file autorun.inf yang memungkinkan virus dapat aktif secara otomatis setiap kali user mengakses Flash Disk.



Untuk blok task manager atau Registry tools, W32/Sality.AE ini akan membuat string pada registry berikut:



HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system

*

DisableRegistryTools
*

DisableTaskMgr

Pada saat file yang terinfeksi W32/Sality.AE, ia akan mendekrip dirinya dan mencoba untuk kopi beberapa file *.dll (acak) file DLL kemudian akan menginjeksi file lain yang aktif di memori serta file lain yang terdapat di komputer dan jaringan (file sharing) serta menginfeksi file *.exe yang terdapat dalam list registry berikut sehingga memungkinkan virus dapat aktif secara otomatis setiap kali komputer dinyalakan.

*

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
*

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
*

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

Berikut beberapa contoh file *.dll yang akan di drop oleh W32/Sality.AE.

*

C:\Windows\system32\syslib32.dll
*

C:\Windows\system32\oledsp32.dll
*

C:\Windows\system32\olemdb32.dll
*

C:\Windows\system32\wcimgr32.dll
*

C:\Windows\system32\wmimgr32.dll

Selain membuat file DLL, sality juga akan membuat file *.sys [acak] di direktori “C:\Windows\system32\drivers” [contoh: kmionn.sys]



Blok Antivirus dan software security

Seperti yang sudah dijelaskan di atas bahwa untuk mempermudah proses penyebaran ia juga akan mencoba untuk mematikan proses yang berhubungan dengan program security khususnya antivirus dengan cara mematikan proses yang mempunyai nama dibawah ini:



ALG


InoRPC

aswUpdSv


InoRT

avast! Antivirus


InoTask

avast! Mail Scanner


ISSVC

avast! Web Scanner


KPF4

AVP


LavasoftFirewall

BackWeb Plug-in - 4476822


LIVESRV

bdss


McAfeeFramework

BGLiveSvc


McShield

BlackICE


McTaskManager

CAISafe


navapsvc

ccEvtMgr


NOD32krn

ccProxy


NPFMntor

ccSetMgr


NSCService

F-Prot Antivirus Update Monitor


Outpost Firewall main module

fsbwsys


OutpostFirewall

FSDFWD


PAVFIRES

F-Secure Gatekeeper Handler Starter


PAVFNSVR

fshttps


PavProt

FSMA


PavPrSrv

PAVSRV


Symantec Core LC

PcCtlCom


Tmntsrv

PersonalFirewal


TmPfw

PREVSRV


tmproxy

ProtoPort Firewall service


UmxAgent

PSIMSVC


UmxCfg

RapApp


UmxLU

SmcService


UmxPol

SNDSrvc


vsmon

SPBBCSvc


VSSERV

WebrootDesktopFirewallDataService


WebrootFirewall




XCOMM



Selain mematikan proses antivirus di atas, ia juga akan berupaya untuk blok agar user tidak dapat mengakses web dari beberapa antivirus berikut:

*

Cureit
*

Drweb
*

Onlinescan
*

Spywareinfo
*

Ewido
*

Virusscan
*

Windowsecurity
*

Spywareguide
*

Bitdefender
*

Panda software
*

Agnmitum
*

Virustotal
*

Sophos
*

Trend Micro
*

Etrust.com
*

Symantec
*

McAfee
*

F-Secure
*

Eset.com
*

Kaspersky

W32/Sality.AE juga akan mencoba untuk merubah regisrty berikut:

*

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Setting\"GlobalUserOffline" = "0"
*

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\"EnableLUA" = "0"

*

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\xxx [xxx adalah acak, contoh : abp470n5]
*

HKEY_CURRENT_USER\Software\[USER NAME]914
*

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMI_MFC_TPSHOKER_80
*

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_IPFILTERDRIVER

Selain itu ia juga akan mencoba untuk merubah beberapa string registry Windows Firewall berikut dengan menambahkan value dari 0 menjadi 1:



HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center

*

AntiVirusDisableNotify
*

AntiVirusOverride
*

FirewallDisableNotify
*

FirewallOverride
*

UacDisableNotify
*

UpdatesDisableNotify

dan membuat key “SVC” serta string berikut dengan value 1



HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc

*

AntiVirusDisableNotify
*

AntiVirusOverride
*

FirewallDisableNotify
*

FirewallOverride
*

UacDisableNotify
*

UpdatesDisableNotify

Tak cuma itu W32/s\Sality.AE juga akan menghapus key “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ALG”.

ALG atau Application Layer Gateway Service adalah services yang memberikan support untuk plug-in protokol aplikasi dan meng-enable konektivitas jaringan / protokol. Service ini boleh saja dimatikan. Dampaknya adalah program seperti MSN Messenger dan Windows Messenger tidak akan berfungsi. Service ini bisa dijalankan, tetapi hanya jika menggunakan firewall, baik firewall bawaan Windows atau firewall lain. Jika tidak komputer yang terinfeksi virus ini akan mengalami celah keamanan yang serius.



Blok akses “safe mode”

Dalam rangka “mempertahankan” dirinya, W32/Sality.AE juga akan mencoba untuk blok akses ke mode “safe mode” sehingga user tidak dapat booting pada mode “safe mode” dengan menghapus key yang berada di lokasi di bawah ini :

*

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
*

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot
*

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot

Injeksi file exe/com/scr

Tujuan utama dari virus ini adalah mencoba untuk menginjeksi program instalasi dan file yang mempunyai ekstensi exe/com/scr yang ada di drive C - Y terutama file hasil instalasi (file yang berada di direktori C:\Program Files) dan file-file portable (file yang langsung dapat dijalankan tanpa perlu instal), ia juga akan menginfeksi file yang mempunyai ekstensi “.exe” yang terdapat dalam list registry berikut sehingga memungkinkan virus dapat aktif secara otomatis setiap kali komputer dinyalakan.

*

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
*

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
*

HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache

File yang berhasil di injeksi biasanya ukurannya akan bertambah sekitar 68 - 80 KB dari ukuran semula. Program yang telah terinfeksi ini akan tetap dapat di jalankan seperti biasa sehingga user tidak curiga bahwa file tersebut sebenarnya telah di infeksi oleh W32/Sality.AE. Salah satu kecanggihan Sality adalah kemampuannya menginjeksi file tumpangannya sehingga ukuran file bervirus tidak seragam, jelas lebih sulit diidentifikasi dibandingkan virus lain yang menggantikan file yang ada sehingga ukuran filenya akan sama besar.



Harap berhati-hati, tidak semua program antivirus dapat membersihkan file yang sudah terinfeksi W32/Sality.AE, bisa-bisa file tersebut akan rusak setelah di scan dan di bersihkan oleh antivirus tersebut.

Tidak mau kalah dengan virus mancanegara lain, untuk memperlancar aksinya ia akan mencoba untuk melakukan koneksi ke sejumlah alamat web yang sudah ditentukan dengan tujuan untuk memanggil/mendownload trojan/virus lainnya yang di sinyalir merupakan varian dari versi sebelumnya yang memungkinkan virus ini dapat mengupdate dirinya.



[http://]pedmeo222nb.info

[http://]pzrk.ru

[http://]technican.w.interia.pl

[http://]www.kjwre9fqwieluoi.info

[http://]bpowqbvcfds677.info

[http://]bmakemegood24.com

[http://]bperfectchoice1.com

[http://]bcash-ddt.net

[http://]bddr-cash.net

[http://]btrn-cash.net

[http://]bmoney-frn.net

[http://]bclr-cash.net

[http://]bxxxl-cash.net

[http://]balsfhkewo7i487fksd.info

[http://]buynvf96.info

[http://]89.119.67.154/tes[xxx]

[http://]oceaninfo.co.kr/picas[xxx]

[http://]kukutrustnet777.info/home[xxx]

[http://]kukutrustnet888.info/home[xxx]

[http://]kukutrustnet987.info/home[xxx]

[http://]kukutrustnet777.info

[http://]www.kjwre9fqwieluoi.info

[http://]kjwre77638dfqwieuoi.info

http://mattfoll.eu.interia.pl/[sensor]

http://st1.dist.su.lt/l[sensor]

http://lpbmx.ru/[sensor]

http://bjerm.mass.hc.ru/[sensor]

http://SOSiTE_AVERI_SOSiTEEE.[sensor]

Mengeksploitasi Default Share dan Full Sharing

W32/Sality.AE akan menyebar dengan cepat melalui jaringan dengan memanfaatkkan default share windows atau share folder yang mempunyai akses full dengan cara menginfeksi file yang mempunyai ekstensi exe/com/scr. Karena itu, Vaksincom menyarankan pengguna komputer untuk menonaktifkan Default Share (C$, D$ .. dst) dan hindari Full Sharing folder anda di jaringan.



Selain menyebar dengan menggunakan jaringan, ia juga akan memanfaatkan flash disk yakni dengan cara kopi dirinya dengan nama file acak dengan ekstensi exe/cmd/pif serta membuat file autorun.inf agar dirinya dapat aktif secara otomatis tanpa harus menjalankan file yang sudah terinfeksi virus, selain itu ia juga akan menginfeksi file yang mempunyai ekstensi exe/com/scr yang terdapat dalam flash disk tersebut.



Selain itu Sality.AE juga akan menambahkan string [MCIDRV_VER] dan DEVICEMB=xxx, dimana xxx menunjukan karakter acak ke dalam file C:\Windows\system.ini. (lihat gambar 2 dan 3)



Gambar 2, File system.ini sebelum di ubah oleh W32/Sality.AE


Gambar 3, File system.ini setelah di ubah oleh W32/Sality.AE



Cara membersihkan W32/Sality.AE

1.

Putuskan hubungan komputer yang akan dibersihkan dari jaringan dan internet
2.

Matikan System Restore selama proses pembersihan berlangsung.
3.

Matikan Autorun dan Default Share. Silahkan download file berikut kemudian jalankan dengan cara:
*

Klik kanan repair.inf
*

Klik install

http://www.4shared.com/file/82762498/f5dc1edd/repair.html?dirPwdVerified=feea1d94

4.

Matikan program aplikasi yang aktif di memori agar proses pembersihan lebih cepat terutama program yang ada dalam daftar startup.
5.

Sebaiknya scan dengan menggunakan removal tools dengan terlebih dahulu merubah ekstensi dari removal tools tersebut dengan ekstensi lain [contoh: CMD] agar tidak di infeksi ulang oleh W32/Sality.AE. Dalam contoh di bawah, nama file “Norman_Malware_Cleaner.exe” di rename menjadi “Norman_Malware_Cleaner.cmd” supaya tidak di infeksi Sality. (lihat gambar 4)

Rename Norman Malware Cleaner
Gambar 4, File “Norman_Malware_Cleaner.exe” yang telah di rename ekstensinya menjadi “Norman_Malware_Cleaner.cmd”, kotak biru



Selalu gunakan Norman Malware Cleaner terbaru untuk membersihkan dan membasmi virus baru. Download Norman Malware Cleaner terbaru dari “

http://download.norman.no/public/Norman_Malware_Cleaner.exe

Gambar 5, Gunakan Norman Malware Cleaner untuk mendeteksi dan membasmi Sality.



Catatan:

*

Agar removal tersebut tidak terinfeksi oleh W32/Sality.AE, Sebaiknya ubah ekstensi dari removal tools tersebut menjadi ekstensi lain [contohnya: CMD] (lihat gambar 4 di atas)
*

Sality.AE ini akan mencoba untuk menginfeksi file yang mempunyai ekstensi EXE dan SCR serta COM, file yang sudah berulang kali di infeksi oleh virus ini terkadang akan mengalami kerusakan jika dibersihkan oleh program antivirus, oleh karena itu jika terdapat program yang error setelah di scan oleh antivirus sebaiknya install ulang program tersebut.

PENTING !!!

Harap Backup data penting anda sebelum melakukan pembersihan virus. PT. Vaksincom tidak bertanggung jawab atas kerugian yang diakibatkan oleh proses pembersihan virus ini baik langsung maupun tidak langsung !!!

6.

Agar komputer yang sudah terinfeksi W32/Sality.AE dapat booting “safe mode”, silahkan restore registry yang sudah di ubah oleh virus.

Silahkan download file berikut kemudian jalankan sesuai OS yang terinfeksi W32/Sality.AE tersebut.



http://www.4shared.com/file/82761423/934fb170/_2__Sality.htmldirPwdVerified=feea1d94

7.

Fix registry lain yang di ubah oleh virus, silahkan download tools berikut kemudian jalankan file tersebut dengan cara:

*

Klik kanan repair.inf
*

Klik install

http://www.4shared.com/file/82874724/f485f1dd/repair.html?dirPwdVerified=3b1f2fa9

8.

Restart komputer dan scan ulang dengan menggunakan removal tools untuk memastikan komputer telah bersih dari virus.
9.

Untuk pembersihan optimal dan mencegah infeksi ulang sebaiknya install dan scan dengan antivirus yang dapat mendeteksi Sality dengan baik.

Salam,

Aj Tau

info@vaksin.com



PT. Vaksincom

Jl. Tanah Abang III / 19E

Jakarta 10160

Read More......

AntiVirus Terbaik Tahun Ini

Di awal Tahun 2009 TopTenREVIEWS sudah mengeluarkan beberapa review untuk Anti Virus Terbaik 2009. Di Tahun sebelumnya TopTenREVIEWS juga mengeluarkan Top 10 Anti Virus, dimana pada tahun lalu posisi teratas di tempati oleh Bitdefender Anti-virus dan disusul oleh Kaspersky Anti-virus.

Antivirus Terbaik 2009 ini di nilai dari hasil review para pengguna produk antivirus dan dari kemampuan serta fitur dari masing-masing antivirus tersebut. Seperti kecepatan untuk melakukan scan, capat dalam mengidentifikasi virus dan worms, kemudahan penggunaan, efektivitas, update databases, fitur, kemudahan installasi, help dan support.

Review yang dilakukan oleh TopTenREVIEWS terhadap produk antivirus sangat membantu kita dalam mengambil keputusan untuk memilih produk antivirus yang tepat dalam menjaga komputer kita terhadap serangan Virus, Worm, Spyware dan Trojan.

Yang perlu kita ketahui, semua software antivirus tidaklah sama, ada yang bagus, yang buruk dan sedang. Begitu banyak software antivirus yang berkembang saat ini, tentu kita sebagai pengguna dibuat bingung untuk memilih antivirus yang baik, untuk itu TopTenREVIEWS membantu kita dalam hal ini. Sebenarnya dalam memilih antivirus yang tepat dan baik ada 2 faktor yang menentukan yaitu User-friendliness and Effectiveness.

Berikut 10 Antivirus Terbaik 2009 yang dikeluarkan oleh TopTenREVIEWS:

Peringkat 1 : BitDefender Antivirus (www.bitdefender.com)
Peringkat 2 : Kaspersky Anti-Virus (www.kaspersky.com)
Peringkat 3 : Webroot Antivirus (www.webroot.com)
Peringkat 4 : ESET Nod32 (www.eset.com)
Peringkat 5 : AVG Anti-Virus (www.avg.com)
Peringkat 6 : Vipre Antivirus + Antispyware (www.vipreantivirus.com)
Peringkat 7 : F-Secure Anti-Virus (www.f-secure.com)
Peringkat 8 : Trend Micro (www.trendmicro.com)
Peringkat 9 : McAfee VirusScan (www.mcafee.com)
Peringkat 10 : Norton AntiVirus (www.symantec.com)

Read More......

Calo-pun Bergentayangan, Putra Daerah Harus Belajar

Ada kabar baik dari pemerintah kabupaten Mukomuko, ini menyangkut dengan tes CPNS musim ini, di media lokal ketua panitia sekaligus Sekkab kabupaten Mukomuko Ir. H. Moh. Satria Razalie, menyatakan tes CPNS di kabupaten Mukomuko akan bebas dari praktek KKN. Katanya.. dia tidak ingin para calon peserta menjadi korban penipuan oleh oknum calo yang menjanjikan bisa lulus tes CPNS. Memang slama ini yang bermain ternyata para calon yang mengaku dengan dengan pejabat pemangku kebijakan atau yang memutuskan alias pejabat tinggi di daerah. Siapa pun orangnya yang berani menjanjikan bisa menjamin kelulusan tes CPNS, dianggap pembohong alias penipu. (sanksinya apa nih???)

''Pelaksanaan tes CPNS dilakukan secara bersih dan transparan memang sudah menjadi komitmen serta instruksi Bupati Mukomuko Drs. Ichwan Yunus. Menurutnya instruksi itu sudah didengar langsung oleh semua panitia. Jika masih ada oknum panitia yang berani bermain, silakan menanggung risikonya. (ooww slama ini berarti panitia juga bermain donk..!! Pedoman panitia hanyalah juklak dan juknis yang ditetapkan oleh Men-PAN dan BKN.

Sementara pembatasan kesempatan peserta asal luar daerah untuk ikut tes CPNS di Mukomuko, ternyata tidak disetujui oleh Sekkab. Ia menilai, peserta asal luar daerah juga memiliki hak selaku warga negara Indonesia untuk mengikuti tes CPNS di daerah mana saja termasuk di kabupaten Mukomuko, (kalau ini bagus). Hanya saja sekkab berpesan supaya peserta putra daerah berupaya belajar dan berupaya untuk mendapat rangking dalam mengerjakan soal tes CPNS nantinya. Sekkab yakin, jika putra daerah memang mampu dalam mengisi soal tes nantinya, maka kelulusan tes CPNS Mukomuko akan didominasi oleh putra daerah.

'Jika putra daerah memang secara terang-terangan kemampuannya kalah dari peserta asal luar, ya apa boleh buat. Kan masyarakat menuntut panitia tes bekerja secara profesional. Kalau menganai budaya sogok dan sebagainya, yakinlah. Karena panitia tes CPNS memang sudah diharamkan menerap budaya sogok itu. Intinya, rekrutmen CPNS 2008, benar-benar untuk memenuhi kebutuhan pegawai di daerah ini.

Read More......

Masih Mengenai Tes CPNS "Asal Jadi Siap Berapa Saja"

Pengangguran dan kemiskinan menjadi alasan kenapa banyak orang berlomba mau jadi PNS, padahal kalau di pikir pikir dengan membayar sampe seratusan juta bukankah lebih baik menciftakan lapangan pekerjaan baru.

Seperti posting saya sebelumnya, musim pendaftaran CPNS telah tiba kembali. Banyak orang tiba-tiba menjadi super sibuk, lari kesana-kemari mencari informasi, mengurus syarat-syarat pendaftaran, cari kartu kuning dan seabreg persyaratan lainnya. Pokoknya daftar sebanyak-banyaknya, biar peluangnya semakin besar.

Beberapa hari berita mengenai CPNS saya lihat di Bengkulu TV dan saya baca di media cetak lokal Bengkulu, banyaknya peserta yang mengikuti seleksi pendaftaran CPNS Pemprov dan Pemda. hhmmm… rame banget ya?.

Saking favoritnya, banyak orang menempuh segala cara agar bisa diangkat sebagai PNS. Hal ini pula yang menjadi “peluang bisnis tahunan” bagi sebagian oknum untuk meraup untung, diantaranya menjadi calo PNS, ini berdasarkan pengalaman yang sudah sudah lo!!. Saya sendiri tidak tahu persis kabar ini entah benar atau tidak ? Saya pernah dengar cerita dari teman-teman yang mengikuti sayembara CPNS tahun lalu di Bengkulu..

Ya, begitulah. Entah benar atau tidak, yang katanya relatif bersih dari KKN tidak bisa lepas dari kasus seperti itu. Mungkin yang benar-benar murni dari tes hanya beberapa persen saja.

Kata teman saya Tanto yang bekerja di Ulayat Salah satu NGO di Bengkulu, “Memang susah kok memberantas praktek-praktek KKN seperti itu”. Dari desas-desus yang dia dengar (di beberapa daerah kabupaten di provinsi Bengkulu), kalau mau diterima jadi PNS, untuk tingkat S-1 harus siap-siap dana 100 juta. Begitu SK turun segera dilunasi sisanya.

Wah kalau begitu kok jadi terbalik-balik ya? Seharusnya kita kerja kan untuk cari duit. Lha ini malah sebaliknya. Duit cari kerja….Mendingan di jadikan modal.

Buat teman-teman yang lagi sibuk daftar CPNS, mari kita membuka usaha saja. Nggak jadi PNS tidak apa-apa. Masih banyak kok profesi lain yang menjanjikan penghasilan lebih besar.

Read More......