Virus

Apakah anda mengalami beberapa masalah seperti ini?

1. Username Login di Active Directory (AD) Windows terkunci berulang-ulang
2. Komputer tidak bisa mengakses situs-situs tertentu seperti : www.microsoft.com, www.grisoft.com, www.norman.com, terutama website-website antivirus dengan pesan “Address Not Found” tetapi jika situs-situs tersebut diakses dari alamt Ipnya akan bisa diakses
3. Update definisi antivirus terganggu karena akses ke situs antivirus diblok
4. Banyak aplikasi tidak berfungsi dengan baik, khususnya aplikasi yang memanfaatkan jaringan dan menggunakan port 1024 s/d port 10000

Harap berhati-hati, karena anda sudah terinfeksi virus yang sedang mengganas di seluruh dunia. Anda tidak perlu malu karena bukan komputer anda saja yang terinfeksi, tetapi juga komputer departemen pertahanan Perancis dan Inggris sekalipun terinfeksi oleh virus ini.
Norman Security Suite mendeteksi varian baru virus tersebut sebagai W32/Conficker.DV, sedangkan antivirus lain mendeteksi sebagai Win32.Kido.CG (Kaspersky), 32.Downadup.B (Symantec), W32.Conficker.B (Microsoft) dll.

Ciri File Virus
Virus Conficker.DV memiliki file yang di kompress melalui UPX. File virus berukuran 162 kb. File virus yang masuk bertipe gambar (gif, jpeg, bmp, png). Sedangkan file yang aktif umumnya bertype “dll” (dynamic link library)
File “dll” inilah yang aktif dan “mendompleng” file svchost.exe (Windows Service Center) untuk melakukan penyebaran virus kembali. Virus juga akan mengcopy file “[%nama sembarang%].tmp” pada folder %WINDOWS%\System32 (contohnya : 01.tmp tau 05.tmp). setelah menggunakan file tersebut, kemudian virus mendelete file tersebut.

Gejala/Efek Virus
Jika sudah terinfeksi W32/Conficker.DV, virus akan menimbulkan gejala/efek berikut :

1. Jika varian sebelumnya mematikan service “Workstation, Server dan Windows Firewall/Internet Connection Sharing (ICS)”. Maka kali inivirus berusaha untuk mematikan dan men-Disable beberapa service, yaitu :

wscsvc : Security Center
wuauserv : Automatic Updates
BITS : Background Intellegent Transfer Service
ERSvc : Error Reporting Service
WerSvc : Windows Error Reporting Service (Vista, Sever 2008)
WinDefend : Windows Defender (Vista, Server 2008)

1. Virus berusaha melakukan perubahan pada system Windows Vista/Server 2008 dengan menggunakan perintah : “netsh interface tcp set global autotuning=disabled”
2. Dengan perintah ini, maka windows auto tuning akan di-Disable. Windows Auto-Tuning merupakan salah satu fitur dari Windows Vista dan Server 2008 yang berguna untuk meningkatkan performa ketika mencoba akses jaringan.
3. Virus berusaha mendownload dan mengeksekusi file (bmp, gif, jpeg, png) yang kemudian masuk pada temporary internet.
4. Virus akan mengecek koneksi internet dan men-download file dengan menyesuaikan tanggal setelah 1 januari 2009.
5. Virus akan membuat rule firewall pada gateway jaringan local yang membuat serangan dari luar terkoneksi dan mendapatkan alamat external IP Address yang terinfeksi melalui berbagai macam port (1024 hingga 10000).
6. Virus akan membuat services dengan karakteristik berikut, agar dapat berjalan otomatis saat start-up windows.

Pembersihan Virus

1. Putuskan komputer yang akan dibersihkan dari jaringan/internet.
2. Matikan system restore (windows XP/Vista)
3. Matikan proses virus yang aktif pada services. Gunakan removal tool dari Norman untuk membersihkan virus yang aktif.
4. Delete service svchost.exe gadungan yang ditanamkan virus pada registry. Anda dapat mencari secara manual pada Registry.
5. Hapus Schedule task yang dibuat oleh virus. (C:\WINDOWS\Task)
6. Hapus string registry yang dibuat oelh virus. Untuk mempermudah dapat menggunakan script registry di bawah ini :

[Version]
Signature=”$Chicago$”
Provider=Vaksincom Oyee
[DefaultInstall]
addReg=UnhookRegKey
Delreg=del
[UnhookRegKey]
HKCU,Software\Microsoft\Windows\Current\Version\Explorer\Advanced, Hidden, 0x00000001,1
HKCU, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, SuperHidden, 0x00000001,1
HKML, Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\FolderHidden\SHOWALL, CheckedValue, 0x00000001,1
HKML, System\CurrentControlSet\Services\BITS, Start, 0x00000002,2
HKML, System\CurrentControlSet\Services\ERSvc, Start, 0x00000002,2
HKML, System\CurrentControlSet\Services\wscsvc, Start, 0x00000002,2
HKML, System\CurrentControlSet\Services\wuauserv, Start, 0x00000002,2
[del]
HKCU, Software\Microsoft\Windows\CurrentVersion\Applets, dl
HKCU, Software\Microsoft\Windows\CurrentVersion\Applets, ds
HKLM, Software\Microsoft\Windows\CurrentVersion\Appletes, dl
HKLM, Software\Microsoft\Windows\CurrentVersion\Appletes, ds
HKLM, System\CurrentControlSet\Services\Tcpip\Parameters, TopNumConnections

Gunakan notepad, kemudian simpan dengan nama “repair.inf” (gunakan pilihan Save As Type menjadi All Files agar tidak terjadi kesalahan).
Jalankan repair.inf dengan klik kanan, kemudian pilih install.

Catatan : Untuk file yang aktif pada startup, anda dapat men-Disable melalui “msconfig” atau dapat men-delete secara manual pada string : “HKML,Software\Microsoft\Windows\CurrentVersion\Run”

Untuk pembersihan virus W32/Conficker.DV secara optimal dan mencegah infeksi ulang, sebaiknya menggunakan antivirus yang terupdate dan mampu mendeteksi virus ini dengan baik dan patch komputer anda dengan http://www.microsoft.com/Technet/Security/Bulletin/MS08-067.mspx guna mencegah infeksi ulang.