HATI HATI VIRUS ASPROX MENYERANG DENGAN BERGERILYA

Informasi Virus baru lagi nih buat temen yang memperhatikan kesehatan komputernya silahkan dibaca berita ini,
Inggris - Waspada terhadap 'serangan gerilya' virus baru bernama Asprox. Virus ini telah menyebar di sekitar dua juta komputer di seluruh dunia. Disebutkan bahwa cracker dari Eropa Timur telah menginfeksikan virus ini ke lebih dari seribu situs Inggris.

Virus ini juga gentayangan di kantor-kantor pemerintah daerah di Inggris dan National Health Service (NHS) yang setiap harinya digunakan oleh ribuan orang untuk mengakses layanan lokal. Sekitar dua belas situs dewan daerah termasuk Hackney Council di London juga jadi incaran, sehingga membahayakan warga yang log on untuk membayar pajak.



Para ahli mengatakan bahwa virus ini tak seperti virus pada umumnya yang menyebar lewat e-mail atau situs-situs terlarang. Asprox secara diam-diam bersembunyi di situs mainstream, menanti untuk menginfeksi komputer orang-orang yang mengunjungi situs tersebut. Sekali menyerang, virus ini dapat digunakan pelaku untuk mengakses informasi penting dan mencuri file-file, e-mail dan password.

Sejauh ini, menurut penuturan para ahli sekuriti, virus ini telah menyerang sekitar dua juta komputer di seluruh dunia. Pada umumnya komputer yang diserang tersebut tidak dilindungi dengan sofware anti virus yang up to date.

Serangan virus ini tidak menampakkan tanda-tanda yang mencurigakan. Cracker yang menginfeksikan virus ini mengincar data personal korban untuk mencuri uang dari rekening milik korban.

"Ini merupakan serangan yang sangat serius. Tahun lalu saat komputer Anda diserang virus, Anda dapat dengan segera mengetahuinya, tapi sekarang Anda tidak melihat tanda-tanda bahwa komputer Anda telah terinfeksi virus," ujar Yuval Ben-Itzhak, chief technical officer dari Finjan, perusahaan sekuriti yang pertama mengekspos ancaman Asprox,
dikutip detikINET

Selengkapnya....

IM Anda Betingkah Aneh Waspadalah

W32/Agent.FUVR 12 Juni 2008

Yahoo Messenger bertingkah aneh ?? Waspadalah...Waspadalah




Lagi-lagi serangan virus mancanegara yang cukup menggemparkan para pengguna internet Indonesia. Virus ini mampu membuat komputer atau server anda megap-megap kehabisan nafas seperti ikan mas koki cari makanan karena ia akan berusaha dengan intens mendownload file dari situs web tertentu (kebanyakan di Cina) untuk mengupdate dirinya dan "hebatnya" virus ini juga aktif memanfaatkan YM (Yahoo Messenger). Jadi ibarat kata Bang Napi, jika YM anda tahu-tahu bertingkah aneh dalam beberapa hari ini .... Waspadalah..... Waspadalah.

Untuk memastikan W32/Agent.FUVR aktif di komputer anda (Windows XP), silahkan periksa C:\Windows\AppPatch dan cari file-file dengan nama :

*
AcXtrnel.dll

File ini merupakan file palsu yang mirip dengan file dll OS Microsoft Windows "AcXtrnal.dll"
*
AcSpecf.dll

File ini juga merupakan file palsu yang mirip dengan file dll OS Microsoft Windows "AcSpecfc.dll"
*
AcPlugin.dll

File ini adalah benar file dll Microsoft Windows (Microsoft Plus), TETAPI file ini seharusnya ada di C:\Program Files\Microsoft Plus dan bukan di c:\Windows\AppPatch. Microsoft Plus adalah add on untuk Windows XP yang saat ini sudah tidak dilanjutkan produksinya.
*
Jview.dll

Jview sebenarnya adalah file Java, tetapi virus ini dengan cerdik melakukan delay / menunda aktivasi Jview yang asli (jika ada) dengan mengubah setting registry sehingga yang dijalankan adalah Jview yang bervirus.




Hati-hati jika Anda menjumpai sejumlah file dengan nama Microsoft.vbs, Microsoft.bat atau Microsoft.pif pada local disk (C:\). Jika kita buka file Microsoft.bat maka akan terlihat jelas bahwa file ini akan menjalankan file dengan nama Microsoft.pif begitupun dengan file Microsoft.vbs. File Microsoft.pif ini sendiri di kompres dengan menggunakn UPX

Drop File

Begitu virus ini aktif ia akan membuat beberapa file induk yakni :

* C:\Windows\AppPatch\Jview.dll
* C:\Windows\AppPatch\AcXtrnel.dll
* C:\Windows\AppPatch\AcPlugin.dll
* C:\Windows\appPatch\ AcSpecf.dll

Virus ini juga akan melakukan blocking pada beberapa aplikasi sekaligus mendaftarkan dirinya supaya dijalankan oleh Windows dengan membuat beberapa string pada registry editor berikut:

*
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
o "JavaView"= {DA191DE0-AA86-D04E-4B87-2A3D4928BE99} - C:\WINDOWS\AppPatch\Jview.dll [ ]
o ThunderAdvise"= {97421D0D-E07F-40DF-8F07-99597B9585AD} - C:\WINDOWS\Downloaded Program Files\ThunderAdvise.dll [2008-06-10 17:58 45056]
*
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
o AppInit_DLLs=ukrth.dll, hjmh.dll, gyjert.dll, tjdegtr.dll, fyhje.dll, hgnmjsdg.dll, jkhjsd.dll, hjtdrh.dll, hyjmt.dll, fydgky.dll, ytjkyer.dll, dgrgfs.dll, gfcfg.dll, frntrn.dll, qrhhb.dll, drghszd.dll, fngn.dll, gnfctt.dll, xgnfn.dll, xfgnhcgfm.dll, serger.dll, bnxnb.dll, fxgnfx.dll, jzijj.dll, xfgnfx.dll, serghjm.dll, thsddh.dll, xbcvxb.dll, zfdzb.dll, xdndn.dll, xdfntt.dll, hgfhk.dll, dnteh.dll, xfng.dll, njritc.dll, chmfcmh.dll, jwlah.dll, gmnait.dll, hfjg.dll, thurh.dll, mgmgmm.dll, oqrthc.dll, dhugtj.dll, jyjlt.dll, ijatnaw.dll, sehhter.dll, fhjfg.dll, zdbdb.dll, ydgn.dll, dbfb.dll, fjnbv.dll, uyjtd.dll, setrhes.dll, cdxbfxdb.dll, xfgnxfn.dll, gjkhj.dll, xdhdg.dll, rhs.dll, mrjhtjd.dll, zdbfbd.dll, fjyjy.dll, fxnfnh.dll, bjrvm.dll, ektvm.dll, rdthr.dll, yjrfe.dll, dscef.dll, crugd.dll, lariytrz.dll, hjaiq.dll, kduy.dll, hkfgh.dll, awef.dll, dfhsh.dll, ethsh.dll, stehs.dll, sthth.dll, wfhyt.dll, rgghjj.dll, ghjkdr.dll, hfther.dll, nhmxcjkl.dll

Mengupdate dirinya

Virus ini akan membuat koneksi internet atau jaringan menjadi lambat karena setelah ia aktif, ia akan selalu mencoba untuk melakukan koneksi internet dan mencoba untuk mendownload file gambar dengan format GIF dan file EXE kesejumlah situs yang telah ditentukan seperti :

* http://root.51113.com/root.gif
* http://hk.www404.cn:53/ads.js
* http://err.www404.cn:443/014.html

Menurut pengamatan Vaksincom, situs yang mengandung file virus ini sangat banyak dan bervariasi dan rata-rata merupakan domain yang berasal dari Cina sehingga disinyalir kuat virus ini berasal dari Cina. Karena kemampuannya mendownload file update, maka secara teknis virus ini memiliki kemampuan mengupdate dirinya seperti antivirus sehingga termasuk dalam virus dengan resiko tinggi. Walaupun varian awal sudah terdeteksi sejak akhir 2007, tetpai varian yang ditemukan ini terlihat berbeda dengan varian awal dan terbukti berhasil mengecoh banyak program antivirus yang seblumnya berhasil mendeteksinya.

File gif dan exe tersebut akan disimpan di direktori berikut (lihat gambar 5) :

* C:\Documents and Settings\%user%\Local Settings\Temporary Internet Files\Content.IE5\xxx (xxx ini menunjukan karakter acak)
* C:\Documents and Settings\%user%\Local Settings\Temp

Selain itu virus ini juga akan mendownload beberapa file EXE/DLL/Sys yang akan di simpan di direktori C:\Windows\system32, file ini DLL inilah yang nantinya akan di aktifkan setiap kali user browse internet (lihat gambar 7).

* bcsxachu.sys
* sfsxachu.exe
* zywmgime.dll
* erjxakin.sys
* stjxakin.exe
* snfybbyt.sys
* tjfyabyt.exe
* apsgejba.dll
* kdaic.exe
* xsdjbbmp.sys
* zsdjabmp.exe
* lpmxajkl.exe
* rnmxajkl.sys
* aoqnabib.sys
* dfqnabib.exe
* swsxachu.dll
* rijxbkin.dll
* ypdjgbmp.dll
* nhmxcjkl.dll

Aktif bersama Yahoo Messenger

Virus ini juga akan aktif bersamaan dengan Yahoo Messenger dan pada beberapa kasus menimbulkan error pada Script file

Bagaimana cara mengatasinya?

* Sebaiknya putuskan hubungan jaringan / internet komputer yang akan dibersihkan.
* Lakukan pembersihan pada mode "safe mode".
* Patch OS anda dengan patch terakhir.
* Download tools Combofix di alamat berikut kemudian jalankan

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

*
Hapus file temporary dan temporary internet file, untuk mempercepat proses penghapusan silahkan download tools berikut

http://majorgeeks.com/ATF_Cleaner_d4949.html
*
Hapus registry yang sudah dibuat oleh virus. Untuk mempercepat proses penghapusan silahkan salin script dibawah ini pada program notepad kemudian simpan dengan nama repair.inf, jalankan file tersebut dengan cara:
o Klik kanan repair.inf
o
Klik Install

[Version]

Signature="$Chicago$"

Provider=Vaksincom Oyee




[DefaultInstall]

AddReg=UnhookRegKey

DelReg=del




[UnhookRegKey]

HKLM, Software\CLASSES\batfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\comfile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\exefile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\piffile\shell\open\command,,,"""%1"" %*"

HKLM, Software\CLASSES\regfile\shell\open\command,,,"regedit.exe "%1""

HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""%1"" %*"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, Shell,0, "Explorer.exe"

HKLM, SYSTEM\ControlSet001\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\ControlSet002\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SYSTEM\CurrentControlSet\Control\SafeBoot, AlternateShell,0, "cmd.exe"

HKLM, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows, AppInit_DLLs,0, ""

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad




[del]

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad, ThunderAdvise

HKLM, SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad, JavaView
* Untuk pembersihan optimal dan mencegah infeksi ulang gunakan antivirus yang dapat mendeteksi dan membasmi virus ini dengan baik.

Bener bener mengerikan virus ini.

Disadur dari Vaksin.com artikel aslinya disini

Selengkapnya....

Trojan DNSChanger Di Situs Porno

Sekedar Info aja nih dari Beritanet.com

Direktur Penelitian Data Mining Secure Computing, Sven Krasser, pada hari Selasa (17/06), telah menemukan variasi tipe baru dari Trojan "DNSChanger" atau yang lebih dikenal dengan OSX.RSPlug.A and OSX/Puper. Trojan DNSChanger telah secara liar mampu menyerang router, yang berarti ketika user melakukan surfing web di jaringan Internet, dapat menimbulkan resiko terjadi penyerangan malicious secara langsung ke website.

Trojan DNSChanger telah ditemukan di beberapa website pornografi yang menyamarkan dirinya dengan kode-kode video. Sekali video tersebut didownload dan diinstal, DNSChanger akan mengubah setting DNS pada komputer, dan user yang mengakses website tertentu, akan dialihkan ke alamat malicious site atau situs jahat. Jika informasi personal user telah masuk ke dalam website jahat tersebut, maka secara otomatis akan mengaktifkan Trojan DNSChanger.

"Jaringan user akan secara otomatis di-reconfigure untuk melakukan pemalsuan nama domain di atas nama server malicious site tersebut.", kata Krasser.

Trojan DNSChanger juga mampu mengakses semua setting dan fungsi router. Hal ini baru saja diketahui oleh beberapa URL interface web yang popular, dimana Trojan tersebut selain dapat mengganti setting DNS, juga dapat mengganti nama router. Trojan DNSChanger diduga diciptakan oleh 'keluarga malware' yang disebut Zlob, yang telah menyamaran kode video ActiveX pada website.

Untuk menghindarinya dan berjaga-jaga cara ampuhnya yaitu dengan mensetting DNS ke OpenDns

Jika user merasa telah terinfeksi Trojan DNSChanger, user dapat mendownload DNSChanger Removal Tool secara gratis di situs DNSChanger.(h_n)

Moga Infonya membantu

Oroginal Post dikutip dari berita net.com

Selengkapnya....