Conficker Win32.Kido.CG W32.Downadup.B

Copas dari Detikinet.com
Ardhi Suryadhi

Analis virus dari Vaksincom Adi Saputra menilai, Conficker merupakan virus yang canggih yang cukup cerdas, karena memiliki kemampuan meng-update dirinya dan memiliki satu payload spesial yang sangat menyulitkan pembuat antivirus untuk membuat tools membasmi dirinya.

"Sehingga tak jarang, jika jaringan komputer di kantor Anda terinfeksi virus ini, meskipun Anda sudah banting tulang membersihkan tetapi virus tersebut tetap membandel," ujarnya dalam keterangan tertulisnya kepada detikINET, Rabu (28/1/2009).

Conficker yang dulu muncul pada kasus 'Generic Host Process' error kali ini muncul dengan varian dengan target serangan Windows XP, Vista, semua versi Windows Server. Bahkan, kata Adi, Windows 7 versi Beta pun masih rentan atas serangan virus ini.

Norman Security Suite mendeteksi varian baru virus tersebut sebagai W32/Conficker.DV, sedangkan antivirus lain mendeteksi sebagai Win32.Kido.CG (Kaspersky), W32.Downadup.B (Symantec), W32.Downadup.AL (F-Secure), W32.Conficker.B (Microsoft), W32.Conficker.A (CA, Sophos dan McAfee), Worm_Downad.AD (Trend Micro) dan W32/Conficker.C (Panda).

Ciri File Virus
Dijelaskan Adi, virus Conficker.DV memiliki file yang dikompres melalui UPX. File virus berukuran 162 kb. File virus yang masuk bertipe gambar (gif, jpeg, bmp, png). Sedangkan file yang aktif umumnya bertype 'dll' (dynamic link library).

Selanjutnya file virus yang berusaha masuk akan berada pada lokasi temporary internet. Jika file virus yang masuk berhasil dijalankan, virus akan mengkopi dirinya pada salah satu lokasi folder. File 'dll' inilah yang aktif dan mendompleng file svchost.exe (Windows Server Service) untuk melakukan penyebaran virus kembali.

"Virus juga akan mengcopy file '[%nama acak%].tmp' pada folder '%WINDOWS%\system32' [contohnya : 01.tmp atau 06.tmp]. Setelah menggunakan file tsb, kemudian virus mendelete file tsb," tukas Adi.

Nah, jika sudah terinfeksi W32/Conficker.DV, virus ini akan menimbulkan gejala/efek sebagai berikut:
· Jika varian sebelumnya mematikan service 'Workstation, Server dan Windows Firewall/Internet Connection Sharing (ICS)'. Maka kali ini virus berusaha untuk mematikan dan mendisable beberapa service, yaitu wscsvc: Security Center, wuauserv: Automatic Updates, BITS : Background Intellegent Transfer Service, ERSvc: Error Reporting Service dan yang lainnya.
· Virus mampu melakukan blok terhadap program aplikasi yang berjalan saat mengakses website yang mengandung string berikut: Ccert, sans, bit9, windowsupdate, wilderssecurity dan masih banyak lagi. Hal ini dilakukan tanpa melakukan perubahan pada host file yang ada. Dengan melakukan blok, dapat mencegah program anti-malware untuk melakukan update antivirus dan mencegah user saat mencoba akses ke situs keamanan.
· Virus berusaha melakukan perubahan pada sistem Windows Vista/Server 2008 dengan menggunakan perintah: 'netsh interface tcp set global autotuning=disabled'. Dengan perintah ini, maka windows auto tuning akan didisable. Windows Auto-Tuning merupakan salah satu fitur dari Windows Vista dan Server 2008 yang berguna untuk meningkatkan performa ketika mencoba akses jaringan.
· Virus berusaha mendownload dan mengeksekusi file (bmp, gif, jpeg, png) yang kemudian masuk pada temporary internet.
· Virus akan memeriksa koneksi internet dan mendownload file dengan menyesuaikan tanggal setelah 1 Januari 2009. Untuk itu virus memeriksa pada beberapa situs berikut: baidu, google, yahoo, msn, hingga ask.com
· Virus akan membuat rule firewall pada gateway jaringan lokal yang membuat serangan dari luar terkoneksi dan mendapatkan alamat external IP Address yang terinfeksi melalui berbagai macam port (1024 hingga 10000).
· Virus akan membuat service dengan karakteristik tertentu agar dapat berjalan otomatis saat start-up windows serta membuat HTTP Server pada port yang acak
· Virus membuat scheduled task untuk menjalankan file virus yang sudah dikopi dengan perintah: 'rundll32.exe .[%ekstensi acak%], [%acak]'

Komputer nGGegirisi

Komputer kok sakmono gedhene, jan ngedab-edabi .. nganti aku ora injoh mikir, coba bayangno karo pas ngalamun kae .. iki jlentrehe:

Arane Super Komputer iki Cray XT Jaguar, sing di dokok ono ing kutho Seattle, Washington. Lehku moco seko detikINET sing jupuk sumber soko Softpedia.com, Senin (17/11/2008), Cray XT Jaguar disokong 45 ewu prosesor quad-core AMD Opteron (weleh-weleh ... ), duweni memori 362 terabyte, lan sistem file 10 petabyte. Wis to coba ...

Cray XT Jaguar ancase bakal digunakke kanggo keperluan riset umum, sahingga para peneliti soko ngendi-endi universitas, perusahaan, agen pemerintah, organisasi non profit bisa manfaatake ketangguhan, kehebatan superkomputer iki.
( weleh ... weleh )

soal DNS

DNS untuk Intranet

Wednesday, August 27 2003 @ 05:57 PM UTC Contributed by: Kocil Domain Name Service (DNS) adalah layanan untuk memetakan nama domain (misal jawa.vnet) ke alamat IP (misal 10.0.0.1) dan sebaliknya. Ini komponen penting yang harus anda pasang pertama kali Intranet berdiri. Berikut ini cara pemasangannya di Linux Redhat. Membuat DNS gampang-gampang susah. Kalau mau enteng, pakai program configurator seperti webmin. Redhat juga punya DNS configurator yang mudah dipakai. Namun pengalaman membuktikan, edit langsung file konfigurasinya adalah cara yang paling fleksibel, andal dan terpercaya. Buat belajar, mari kita coba dengan contoh sederhana. Hanya untuk Intranet. Hanya bisa jawab nama domain dan IP yang tercantum di konfigurasi. Tidak bisa menjawab nama Internet misalnya www.yahoo.com. Tidak pakai sekuritas Untuk mengkonfigurasi DNS, langkah intinya adalah: Desain nama domain/IP anda Siapkan komputer server Pasang paket DNS (bind) Edit file konfigurasi utama (/etc/named.conf) Edit file zone DNS. Ini berisi peta nama-domain --> alamat-IP Edit file addr DNS. Ini sebaliknya berisi peta alamat-IP --> nama-domain. Aktifkan DNS daemon Uji Coba DESAIN NAMA DOMAIN / IP Untuk intranet, anda bebas mau pakai nama domain apa saja, dan tidak perlu daftar/beli ke InterNIC (pengelola nama domain Internasional). Sementara itu untuk alamat IP, anda bisa pilih salah satu ruas IP Internal: 10.x.y.z<br />172.16-31.y.z<br />192.168.y.z<br /></pre></ol> Misalkan desain kita adalah sbb: <ol><pre>jawa.vnet = 10.0.0.1<br />sumatera.vnet = 10.0.0.2<br />kalimantan.vnet = 10.0.0.3<br />sulawesi.vnet = 10.0.0.4<br />papua.vnet = 10.0.0.5<br />pc01.vnet = 10.0.0.101<br /></pre></ol> <br /><img src="http://www.benpinter.net/images/articles/20030827175742592_1.png" alt="" height="113" width="171" /> <br />Contoh Jaringan Intranet. Papua adalah DNS server, sekaligus www, mail dan samba server. Si pc01 adalah workstation biasa. <p> </p><p><b>SIAPKAN SERVER</b></p><p> Satu DNS sudah cukup untuk melayani seluruh jaringan anda dan biasanya dipasang di server internal. DNS sendiri tidak perlu komputer kencang. Tapi kalau si server sekaligus melayani e-mail, WWWP, FTP, SAMBA dll., anda perlu komputer terbaik yang anda bisa beli. Distro yang cocok dipakai adalah Redhat, Debian atau Slackware. </p><p> Pada contoh ini, DNS dipasang di server (papua, 10.0.0.5) dengan distro Redhat 9.0. File konfigurasi akan kita edit langsung. Yang mungkin jadi masalah, Redhat menyediakan konfigurator yang suka bingung kalau kofigurasinya di edit langsung. Well, percaya saya. Edit langsung lebih enak dan pasti jalan di semua distro. Lupakan saja konfigurator. </p><p><b>PASANG PAKET DNS</b></p><p> Paket DNS namanya bind (terakhir versi 9.x), dan karena pentingnya, pasti sudah tersedia di distro. Anda bisa langsung pasang saat instalasi. Kalau belum, gunakan rpm dari konsole/terminal. </p><ul><pre># pasang di redhat<br />mount /dev/cdrom<br />rpm -i bind /mnt/cdrom/Redhat/RPMS/bind-x.y.x.rpm<br /><br /># periksa apakah sudah terpasang<br />rpm -qa | grep bind<br /></pre></ul> <p><b>EDIT FILE KONFIGURASI UTAMA</b></p><p> File konfigurasi utama adalah /etc/named.conf. Anda bisa edit sebagai root dengan editor teks (vim, emacs, joe, pico, dll). Redhat sudah menyediakan contoh named.conf, namun kali ini tidak kita pakai. Sebaiknya anda selamatkan dulu, lalu buat baru </p><ul><pre># Selamatkan named.conf lama <br /># Selamatkan juga rndc.conf (pengontrol bind)<br />cd /etc<br />mv named.conf named.conf-save<br />mv rndc.conf rndc.conf-save<br /><br /># Edit baru<br />vi named.conf<br /></pre></ul> Isi named.conf paling sederhana adalah sebagai berikut: <pre>__________________________________________________________<br />// /etc/named.conf - configuration for bind<br />//<br />options {<br /> directory "/var/named/";<br /> listen-on {10.0.0.5;};<br />};<br /><br />// File untuk pemetaan nama-domain --> IP<br />zone "vnet" {<br /> type master;<br /> file "vnet.zone";<br /> allow-update {none;};<br />};<br /><br />// File untuk pemetaan IP --> nama-domain <br />zone "10.addr" {<br /> type master;<br /> file "10.addr";<br /> allow-update {none;};<br />};<br />__________________________________________________________<br /></pre> <p><b>EDIT FILE ZONE</b></p><p>File zone biasanya diberi name sesuai nama-domain terbalik dari belakang. Misalnya com.bogus.zone atau id.co.bogus.zone. Untuk kasus kita namanya vnet.zone. Posisi file ini adalah di /var/named, sesuai options directory di named.conf. Di direktori tersebut juga ada beberapa file bawaan Redhat. Biarkan saja, jangan diotak-atik. </p><pre>__________________________________________________________<br />; /var/named/vnet.zone - zone mapping<br /><br />; Block kepala<br />; Salin saja apa adanya, kecuali ubah .vnet jadi domain anda<br />; Dan nomor serial sesuai tanggal pembuatan<br />$TTL 3600<br />;$ORIGIN vnet.<br />@ IN SOA ns1.vnet. root.vnet. (<br /> 2003082701 ;serial<br /> 3600 ;refresh<br /> 900 ;retry<br /> 3600000 ;expire<br /> 3600 ;minimum<br /> )<br />; Blok server<br />; Bagian ini menyatakan server-server penting di vnet (DNS dan mail)<br /> IN NS ns1.vnet.<br /> IN MX 10 mail.vnet.<br /><br />; Blok Pemetaan<br />jawa A 10.0.0.1<br />sumatera A 10.0.0.2<br />kalimantan A 10.0.0.3<br />sulawesi A 10.0.0.4<br />papua A 10.0.0.5<br />pc01 A 10.0.0.101<br /><br />; Blok Nama alias<br />; Dengan nama alias, komputer tertentu bisa dipanggil dengan nama lain<br />; Misalnya saja papua befungsi sebagai DNS, Mail dan WWW Server<br />ns1 CNAME papua<br />mail CNAME papua<br />www CNAME papua<br />__________________________________________________________<br /></pre> <p><b>EDIT FILE ADDR</b></p><p> File addr biasanya diberi nama sesuai alamat-ip terbalik dari belakang misalnya 10.addr, 16.172.addr, atau 1.168.192.addr. Posisi file ini juga di direktori /var/named. Berikut ini contohnya. </p><pre>__________________________________________________________<br />; /var/named/10.addr - IP addr mapping<br /><br />; Blok kepala<br />; Sesuaikan alamat network (di sini 10) dan domain (vnet)<br />; Dan ganti nomor serial sesuai tanggal pembuatan<br />$TTL 3600<br />10.in-addr.arpa. IN SOA ns1.vnet. root.vnet. (<br /> 2003082701 ;serial<br /> 10800 ;refresh<br /> 3600 ;retry<br /> 3600000 ;expire<br /> 86400 ;default_ttl<br /> )<br />; Blok server<br />; Bagian ini menyatakan server-server penting di vnet (DNS)<br /> IN NS ns1.vnet.<br /><br />; Blok Pemetaan<br />; Perhatikan alamat ditulis terbalik dan ada titik di akhir nama domain<br />1.0.0 PTR jawa.vnet.<br />2.0.0 PTR sumatera.vnet.<br />3.0.0 PTR kalimantan.vnet.<br />4.0.0 PTR sulawesi.vnet.<br />5.0.0 PTR papua.vnet.<br />101.0.0 PTR pc01.vnet.<br />__________________________________________________________<br /></pre> <p><b>AKTIFKAN DNS DAEMON</b></p><p> Di Redhat, anda bisa gunakan GUI service configurator atau TUI setup. </p><ul><li>Dari terminal jalankan program setup. </li><li>Pilih menu System Services </li><li>Hidupkan [*] named pada list. </li></ul> Kalau mau cara CLI (Command Line Interface), dari terminal: <ul><pre># Hidupkan<br />root@papua# chkconfig named on<br /><br /># Periksa apakah sudah ON <br />root@papua# chkconfig --list named <br />named 0:off 1:off 2:on 3:on 4:on 5:on 6:off<br /><br /># Sekarang jalankan (start / restart)<br />root@papua# service named start<br /><br /># Periksa<br />root@papua# service named status<br /><br /># kalau anda mengubah konfigurasi, harus reload <br />root@papua# service named reload<br /><br /></pre></ul> <p><b>UJI COBA</b></p><p> Sekarang DNS Server anda mestinya sudah siap. mari di coba: </p><ul><pre>### Periksa apakah bind sudah jalan dan file terbaca dengan baik<br />### Perhatikan adanya baris listening on IPv4, <br />### zone vnet dan zone 10.in-addr.arpa loaded <br />### dan terakhir running<br />### kalau ada kegagalan, biasanya karena konfigurasi salah tulis<br />root@papua:# tail -n 30 /var/log/messages | grep named<br />Aug 27 05:03:41 papua named[1870]: starting BIND 9.2.2<br />Aug 27 05:03:41 papua named[1870]: using 1 CPU<br />Aug 27 05:03:41 papua named[1870]: loading configuration from '/etc/named.conf'<br />Aug 27 05:03:41 papua named[1870]: no IPv6 interfaces found<br />Aug 27 05:03:41 papua named[1870]: listening on IPv4 interface eth0, 10.0.0.5#53<br />Aug 27 05:03:41 papua named[1870]: command channel listening on 127.0.0.1#953<br />Aug 27 05:03:41 papua named[1870]: zone vnet/IN: loaded serial 2003082701<br />Aug 27 05:03:41 papua named[1870]: zone 10.in-addr.arpa/IN: loaded serial 2003082701<br />Aug 27 05:03:41 papua named[1870]: running<br /><br /><br />### Kalau memang jalan, periksa apakah port 53 open sebagai domain<br />### Kalau belum anda salah konfigurasi (periksa options listen-on)<br />root@papua:# nmap 10.0.0.5<br />Interesting ports on 10.0.0.5<br />(The 1516 ports scanned but not shown below are in state: closed)<br />Port State Service<br />22/tcp open ssh<br />25/tcp open smtp<br />53/tcp open domain<br />80/tcp open http <br /><br />### Test zone lookup jawa.vnet<br />### ANSWER SECTION harus dapat IP yang benar 10.0.0.1<br />### Kalau gagal, ada kesalahan di file zone<br />root@papua:# dig @10.0.0.5 jawa.vnet<br /><br />; DiG 9.2.2 @10.0.0.5 jawa.vnet<br />;; global options: printcmd<br />;; Got answer:<br />;; -HEADER- opcode: QUERY, status: NOERROR, id: 4278<br />;; flags: qr aa rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 1, ADDITIONAL: 0<br /><br />;; QUESTION SECTION:<br />;jawa.vnet. IN A<br /><br />;; ANSWER SECTION:<br />jawa.vnet. 3600 IN A 10.0.0.1<br /><br />;; AUTHORITY SECTION:<br />vnet. 3600 IN NS ns1.vnet.<br /><br />;; Query time: 0 msec<br />;; SERVER: 10.0.0.5#53(10.0.0.5)<br />;; WHEN: Wed Aug 27 05:16:59 2003<br />;; MSG SIZE rcvd: 77<br /><br /><br />### Test reverse lookup 10.0.0.1<br />### ANSWER SECTION harus dapat jawa.vnet<br />### Kalau gagal, ada kesalahan di file addr<br />root@papua:# dig @10.0.0.5 -x 10.0.0.1<br /><br />; DiG 9.2.2 @10.0.0.5 -x 10.0.0.1<br />;; global options: printcmd<br />;; Got answer:<br />;; -HEADER- opcode: QUERY, status: NOERROR, id: 40608<br />;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0<br /><br />;; QUESTION SECTION:<br />;1.0.0.10.in-addr.arpa. IN PTR<br /><br />;; ANSWER SECTION:<br />1.0.0.10.in-addr.arpa. 3600 IN PTR jawa.vnet.<br /><br />;; AUTHORITY SECTION:<br />10.in-addr.arpa. 3600 IN NS ns1.vnet.<br /><br />;; Query time: 0 msec<br />;; SERVER: 10.0.0.5#53(10.0.0.5)<br />;; WHEN: Wed Aug 27 05:24:55 2003<br />;; MSG SIZE rcvd: 80<br /><br /> Kalau testing berhasil, anda bisa tarik napas lega. DNS Jalan !!! Sekarang tinggal pastikan bahwa semua komputer di jaringan pakai DNS 10.0.0.5. diambil dari http://www.benpinter.net

Powered by ScribeFire.