W32/Bagle.AF@mm 16 Juli 2004 Menabuh genderang perang kembali dengan membasmi Netsky
Setelah "salah satu" penyebar Netsky, Sven Jaschan di tangkap oleh polisi Jerman, perang antara Bagle dengan Netsky kelihatannya mereda dan pemunculan varian baru menurun. Meskipun diperkirakan bahwa pembuat Netsky bukan hanya Sven Jaschan (18 tahun) melainkan satu team dan Sven Jaschan ini merupakan salah satu yang agak "ceroboh" sehingga bisa tertangkap. Sven Jaschan dituduh menyebarkan varian Sasser dan Netsky.Z yang menyerang institusi pendidikan di Swiss, Amerika dan Jerman. Anda harus berhati-hati kembali karena di dunia maya sedang beredar varian Bagle yang baru, Bagle.AF. Balge.AF menabuh genderangp erang kembali dengan menghapus Netsky pada komputer yang terinfeksi, menghapus program keamanan seperti antivirus dan firewall serta "kembali" menjadikan komputer korbannya sebagai server spam.
Datang dalam berbagai lampiran eksekutable termasuk .zip berpassword Bagle.AF akan datang dalam berbagai lampiran eksekutable seperti :
dan yang harus anda waspadai adalah lampiran dalam bentuk terkompres .zip yang berpassword. Lampiran zip dengan password ini akan mampu menembus pertahanan antivirus anda yang terupdate sekalipun karena program antivirus tidak mampu mendeteksi virus yang terkandung dalam file terkompres yang diberi password (kecuali beberapa program antivirus mutakhir seperti Norman Virus Control yang dapat mendeteksi Bagle.AF dengan teknologi Sandbox sekalipun belum terupdate). Biasanya administrator akan memblok semua file eksekutable seperti .bat, .exe, .com dst tetapi meloloskan file terkompres seperti .zip dan .rar karena secara teori virus dalam keadaan terkompres tidak akan mampu menjalankan aksinya. Tetapi yang menjadi masalah adalah setelah sampai ke user penerima email, lampiran .zip tersebut akan dibuka dan virus tersebut akan aktif jika program antivirusnya belum terupdate.
Menghentikan 289 proses aplikasi sekuriti dan membalas dendam pada Netsky Bagle.AF kami kategorikan berbahaya karena dalam aksinya ia akan menghapus beberapa program antivirus dan firewall dari komputer korbannya. Adapun program yang "di incar" oleh Bagle.AF sangat banyak dan proses (program) yang akan dihentikan oleh Bagle sangat banyak, 289 proses software. Adapun beberapa program yang dihentikan Bagle.AF adalah sebagai berikut :
Selain itu Bagle.AF "membalas dendam" dengan menghapus registri yang mengandung payload Netsky sehingga secara efektif membersihkan virus Netsky pada komputer yang yang terinfeksi Bagle.AF. Adapun registri yang dihapus oleh Bagle.AF dari kunci registri :
adalah yang mengandung kata sebagai berikut :
Jangan rancu dengan nama registri yang seakan-akan seperti program antivirus Panda, Kaspersky atau Norton. Nama tersebut "dipalsukan" oleh Netsky pada registri untuk menyamarkan dirinya. Semoga hal ini tidak mengundang pembalasan dari "pemilik" Netsky yang lain karena hal ini kembali akan menyebabkan perang worm.
Selain itu, untuk mencegah Netsky membasminya, Bagle.AF akan menyarukan dirinya seakan-akan virus Netsky dengan membuat 7 pengenal / mutex :
Menjadikan komputer korbannya sebagai Spam Server Komputer yang terinfeksi Bagle.AF akan membuka port 1080 dan seperti pada kasus Bagle terdahulu, pencipta Bagle dapat mengendalikan komputer yang terinfeksi denngan password yang telah ditentukan terlebih dahulu. Pencipta Bagle.AF dapat mengetahui komputer yang terinfeksi Bagle karena secara otomatis komputer korban Bagle.AF akan mengirimkan IP dirinya ke 142 domain yang mayoritas berlokasi di Jerman (sehingga diduga kemungkinan besar pembuat Bagle.AF ini berasal dari Jerman). Adapun beberapa dari 142 domain yang dihubungi secara otomatis oleh komputer korban Bagle.AF adalah www.tripod.de; www.atlas-hannover.de; www.lufthansa.de dan www.bundesliga.de. Menurut perkiraan kami, hanya beberapa dari 142 domain ini yang akan mengumpulkan IP yang terinfeksi Bagle.AF dan pengiriman ke domain yang sangat banyak ini (yang umumnya merupakan website perusahaan besar dan bonafid) merupakan upaya untuk mempersulit / memperlambat penegak hukum melacak domain yang sebenarnya mengumpulkan IP korban Bagle.AF. Pada prinsipnya, apapun dapat dilakukan pada komputer yang terinfeksi tetapi penyalahgunaan yang dilakukan adalah menjadikan komputer korban sebagai mailserver untuk mengirimkan spam. Seperti kita ketahui setiap server email yang mengirimkan spam akan diblok IPnya dan dicap sebagai black list, tetapi jika komputer korban Bagle yang menyebarkan spam, otomatis akan menyulitkan untuk memblok IP tersebut karena IP ini biasanya milik ISP dan sifatnya Dynamic IP (digunakan oleh banyak pelanggan dial up).
Terdeteksi tanpa membutuhkan update oleh Norman Virus Control dengan teknologi Sandbox Bagle.AF akan terdeteksi oleh Norman Virus Control tanpa membutuhkan update karena Norman memiliki teknologi Sandbox sebagai W32/P2PWorm. Dengan update tanggal 16 Juli 2004, akan terdeteksi sebagai W32/Bagle.AE. Saat ini Bagle.AF terdeteksi menyebar di Canada dan Amerika Serikat, namun diperkirakan paling lambat hari Senin tanggal 19 Juli 2004 Bagle.AF sudah sampai ke Indonesia, karena itu kami harapkan anda untuk SEGERA melakukan update definisi antivirus anda.
salam, AAT PT. Vaksincom Gedung Rifa lt. IV Prof. Dr. Satrio blok C4/ 6-7 Jakarta 12950 Telp : 021-5260787 Email : info@vaksin.com |
