Frost Antivirus Website - All About Technology

Friday, September 9, 2011

Jempolers Indonesia Facebook SPAM

Menjadi Bandung Bondowoso bermodalkan Javascript contekan

[nama anda] pengen tahu saipa aja yang Sering lihat profilemu? Http://www.facebook.com/JempolersIndonesia?sk=app_app208195102528120

Kalau Bandung Bondowoso yang sakti mandraguna berhasil membangun 999 candi dalam semalam dengan bantuan makhluk halus demi mempersunting Roro Jonggrang. Maka di jaman modern ini, jika ingin menyaingi Bandung Bondowoso anda tidak perlu pergi bertapa ke hutan untuk mendapatkan kesaktian atau meminta bantuan makhluk halus, cukup menggunakan komputer dan bantuan dari Javascript anda akan mampu mengumpulkan ratusan ribu korban dalam waktu 3 malam. Cuma yang anda dapatkan bukan makhluk halus, tetapi anggota Facebook yang menjadi korban aksi penipuan anda. Adalah komunitas yang menamakan dirinya Jempolers Indonesia yang menjalankan aksinya sejak 29 April 2011 memanfaatkan keinginan narsis para anggota Facebook untuk mengetahui siapa saja yang melihat profilenya. Jika anda jatuh menjadi korban dan menjalankan apa yang diperintahkan maka secara otomatis anda akan mengirimkan pesan Facebook Chat ke seluruh kontak anda. Hebatnya, dengan teknik yang mirip (untuk tidak mengatakan menyontek pages “Find Your Stalkers”) teknik eksploitasi Javascript ini, hanya dalam 3 malam berhasil memakan korban ratusan ribu pengguna Facebook Indonesia. Menurut pantauan Vaksincom, dari 29 April 2011 sampai dengan 2 Mei 2011 korban yang “menyukai” (like) situs tersebut sudah mencapai lebih dari 750.000 anggota Facebook. Selain itu, eksploitasi Javascript ini juga mampu melakukan posting ke Profile Facebook korbannya.

Pesan chat FB yang dikirimkan akan muncul seperti pada gambar 1 di bawah ini :

Gambar 1, Pesan FB Chat yang memancing calon korbannya

[nama anda] pengen tau saipa aja yang Sering lihat profilemu? Http://www.facebook.com/JempolersIndonesia?sk=app_app208195102528120

Anda akan di giring (bukan Nidji) untuk masuk ke page Jempolers Indonesia yang akan meminta anda untuk menjalankan satu Script (lihat gambar 2)

Gambar 2, Petunjuk menjalankan Javascript yang akan memberikan akses posting tanpa izin di profile anda

Jika korbannya melakukan langkah sesuai dengan petunjuk yang diberikan maka pada saat itu juga Javascript yang melakukan eksploitasi atas celah pemrograman di server FB akan dijalankan dan coding jahat ini akan dapat melakukan pengiriman pesan ke FB Chat pada seluruh kontak FB anda (lihat gambar 1 di atas) sekaligus melakukan posting pada profile anda. Hebatnya, posting profile ini juga sekaligus berfungsi sebagai promosi bohong atau iming-iming bahwa seakan-akan aplikasi untuk melihat “Siapa Yang Melihat Profil Saya” adalah benar-benar berfungsi. Padahal sebenarnya aplikasi tersebut tidak ada dan data posting yang ditampilkan adalah data bohongan yang mengambil data kontak profile dan menampilkan angka jumlah “views” secara acak. (lihat gambar 3)

Gambar 3, Posting yang dilakukan di Profile korban seakan-akan aplikasi ini mampu melihat siapa saja yang melihat profil anda.

Satu hal yang menjadi catatan dari aksi ini adalah coding ini tidak menggunakan aplikasi (Apps) Facebook sehingga tidak dapat di blok oleh Facebook atau pengguna Facebook melalui “Privacy Settings” di Facebok dan kemungkinan besar memanfaatkan celah keamanan dalam server Facebook. Karena itu semua pengguna Facebook yang menggunakan OS apapun, termasuk Smartphone rentan terhadap ekslpoitasi ini. Karena itu Vaksincom menyarankan para pengguna Facebook untuk jangan mudah percaya tautan / link apapun yang diberikan oleh kontak Facebook anda. Sekalipun itu teman, mantan pacar, saudara atau istri anda sekalipun. Khususnya pada saat-saat weekend, aplikasi ini akan diluncurkan oleh pembuatnya demi mendapatkan korban yang maksimal.

Jika anda sudah menjadi korban dari aplikasi ini, untuk mencegah korban lebih banyak, harap segera hapus posting yang dilakukan oleh aplikasi ini dari profil anda (lihat gambar 4) dan informasikan kepada kontak-kontak Facebook untuk melakukan hal yang sama dan berhati-hati terhadap tautan apapun yang dikirimkan dari FB Chat.

Gambar 4, Posting palsu yang mengklaim seakan-akan aplikasi “Siapa yang melihat profilku” berfungsi

News W32/BitCoinMiner.B (Trojan.BtcMine.11)

W32/BitCoinMiner.B (Trojan.BtcMine.11)

Sentinel Primenya virus

Pengantar :

Kalau motivasi Megatron menaklukkan bumi adalah untuk menjadi CEO di bumi sudah anda anggap cukup jahat, rupanya masih ada Sentinel Prime yang lebih jahat lagi. Ia ingin menjadikan penduduk bumi sebagai budak dan menyedot habis semua sumber daya di bumi. Jika virus Sality atau Ramnit adalah Megatron, maka setelah melihat virus yang satu ini (yang pasti bukan Nazaruddin namanya) anda akan merasa bahwa Ramnit masih kalah jahat. Bagaimana tidak jahat, selain melakukan hal-hal yang dilakukan oleh virus konvensional seperti :

Berjalan (bukan jalan-jalan ke Columbia) secara sembunyi-sembunyi pada Command Prompt.
Download file malware lain baik dari internet, remote server maupun IRC server.
Membuka port-port di komputer korbannya dan melakukan upload data tanpa sepengetahuan (apalagi) persetujuan pemilik komputer.
Menyembunyikan USB removable disk dan folder-folder di bawahnya

si Nazar...eh.. salah, si virus ini juga mengkonsumsi sumber daya komputer sehingga CPU resources komputer menjadi 100 % dan dengan tidak tahu malunya menghabiskan dana Sea Games .... eeee salah, menghabiskan bandwith komputer yang di infeksinya. Karena panjangnya analisa virus ini, (bukan karena penulisnya melarikan diri keluar negeri :p) kami membaginya menjadi 2 tulisan dimana bagian pertama akan menceritakan latar belakang BitCoin dan aksi / ciri virus ini. Bagian kedua akan membahas sedikit lebih teknis mengenai cara penyebaran, teknik pemrograman dan tentunya bagaimana cara membasmi virus ini.

Pernahkah Anda mendengar sebuah mata uang digital ? Jika pernah tentu-nya akan familiar dengan nama-nama seperti BitCoin, e-Gold, Liberty, e-Bullion, Pecunix dan lain-lain yang sering digunakan untuk membeli barang-barang secara online. Sama dengan dunia nyata, semua orang berlomba-lomba mencari uang, baik cara yang legal maupun cara ilegal.

Salah satu mata uang digital yang cukup nge-trend adalah BitCoin yang dibuat sejak tahun 2009 dan dikenal sebagai mata uang peer-to-peer. Dengan peer-to-peer, maka tidak ada otoritas pusat yang mengeluarkan uang baru atau melihat transaksi yang berjalan. Semua proses dilakukan dan di kontrol secara kolektif dalam jaringan. Anda dapat melihat informasi lebih lengkap mengenai BitCoin pada wiki dan website-nya.

Selain berfungsi sebagai mata uang digital, BitCoin memiliki salah satu program yang disebut BitCoin Mining, yang merupakan salah satu solusi bisnis yang ditawarkan pengembang BitCoin kepada seluruh pengguna BitCoin. BitCoin Mining merupakan cara untuk menghasilkan blok-blok BitCoin untuk digunakan pada Block Chain. Block Chain sendiri adalah sebuah database transaksi yang dimiliki oleh semua node/titik pada jaringan BitCoin yang berpartisipasi dalam proses transaksi dan verifikasi mata uang digital BitCoin. Untuk menghasilkan blok-blok BitCoin tidak lah mudah, karena harus memecahkan angka-angka yang sudah ter-kriptografi/enkripsi dan juga membutuhkan waktu dan sumber daya (CPU resources) yang cukup. Jika berhasil, maka akan mendapatkan hadiah sebesar 50 BitCoins per blok. Pada Juli 2011, sudah beredar sekitar 6,9 juta BitCoins. Dengan perdagangan mata uang BitCoins yang mendekati harga $20 dolar, BitCoin Mining terlihat sebagai salah satu cara untuk mendapatkan uang yang banyak. Dan tentu-nya hal ini pun disadari oleh para penjahat dunia maya yang akan berpikir sama seperti itu.

Salah satu yang juga digunakan bagi para penjahat dunia maya yaitu dengan mengirim sebuah trojan/backdoor yang memiliki kemampuan mencatat data aktif pengguna BitCoin seperti user name dan password, yang kemudian data tersebut akan dikirim kembali ke pengirim tersebut. Selain itu komputer yang sudah terinfeksi trojan pun dijadikan sebagai alat bagi pengirim tersebut untuk ikut memecahkan blok-blok kriptografik BitCoin menggunakan akun BitCoin dari si pemilik trojan tersebut. Dan salah satu trojan yang dapat melakukan aksi tersebut yaitu trojan BitCoinMiner/BtcMine. Dan hingga saat ini, tercatat sudah puluhan varian BitCoinMiner/BtcMine yang menyerang pengguna komputer. Motivasi finansial ini jelas menjadi motivator yang kuat bagi pengembang trojan untuk membuat dan mengembangkan malware bitcoin ini.

Bagi anda yang para pengguna komputer di Indonesia, harap berhati-hati karena sejak pertengahan Juni hingga saat ini banyak pengguna komputer yang sudah terinfeksi oleh serangan trojan ini, dan salah satu varian baru yang terdeteksi yaitu W32/BitCoinMiner.B (Trojan.BtcMine.11) (lihat gambar 1). Kabar buruknya adalah, Trojan ini termasuk sulit dibersihkan dan jika komputer anda terinfeksi Trojan ini, anda perlu menggunakan Safe Mode untuk membersihkannya.

Gambar 1, Norman mendeteksi varian W32/BitCoinMiner.B (Trojan.BtcMine.11)

Keluarga ZBOT : Pencuri data pribadi

Keluarga ZBOT merupakan salah satu kelompok trojan/backdoor yang dirancang untuk mencuri informasi/data dari pengguna komputer terutama hal-hal yang berhubungan dengan data pribadi keuangan khususnya yang berhubungan dengan Internet Banking.

Sedangkan varian trojan BitCoinMiner/BtcMine merupakan salah satu varian dari ZBOT yang muncul sejak pertengahan Juni 2011. Varian ini juga memiliki kemampuan mencatat informasi/data yang berhubungan dengan data pribadi seperti username, password, data kartu kredit dan lain-lain. Selain itu komputer yang sudah terinfeksi trojan pun dijadikan sebagai alat bagi pengirim tersebut untuk ikut memecahkan blok-blok kriptografi BitCoin menggunakan akun BitCoin dari si pemilik trojan tersebut demi keuntungan pembuat trojan.

Trojan BitCoinMiner/BtcMine merupakan salah satu trojan yang telah di modifikasi oleh pembuat malware dengan tujuan yang baru (mendapatkan uang dari BitCoin). Trojan ini memiliki kemiripan (atau mungkin merupakan bagian) dengan kelompok malware YM (ChyMine/YiMfoca, yang identik menyebar menggunakan akun YM, Skype, Gtalk, dan lain-lain) karena memiliki file dan lokasi yang sama persis dengan malware YM.

Manfaatkan Celah Keamanan dari Windows (tren shortcut)

Tampaknya, trend shortcut sudah menjadi kiblat baru bagi para pembuat malware untuk melancarkan aksinya untuk menginfeksi pengguna komputer dengan mudah (khusus-nya pengguna Windows). Dengan memanfaatkan celah keamanan pada Windows yaitu Windows Shell Icon Handler / LNK (MS10-046), maka trojan BitCoinMiner/BtcMine dapat dengan mudah masuk dan menginfeksi komputer serta melakukan penyebaran dengan cepat.

Gejala & Efek Trojan BitCoinMiner/BtcMine

Beberapa gejala yang terjadi jika anda sudah terinfeksi yaitu :

CPU 100%

Sama seperti pendahulu-nya, trojan BitCoinMiner/BtcMine juga akan menggunakan CPU resource anda menjadi 100%, dan hal ini karena aktivitas dari trojan yang berusaha menembus kriptografi blok BitCoin dan mencoba aktif terus untuk melakukan pengiriman data. (lihat gambar 2)

Gambar 2, Proses trojan yang aktif hingga CPU menjadi 100%

Boros Bandwith

Dengan sering-nya melakukan aktivitas kriptografi yang menggunakan sumber daya dari komputer (CPU resource) tentunya akan membuat penggunaan CPU menjadi 100 %. Tetapi dibalik itu perlu diperhatikan dari aktivitas penggunaan bandwith internet, karena akibat dari trojan BitCoinMiner/BtcMine justru membuat bandwith anda menjadi boros. Sering-nya melakukan pengiriman kriptografi ke server BitCoin selama komputer terhubung internet, akan membuat status pada LAN Card anda berbeda dengan komputer lain dimana pada umumnya paket receive (download) akan jauh lebih besar daripada sent (upload) tetapi untuk komputer terinfeksi virus ini akan mengakibatkan paket sent (upload) lebih besar dari receive (download) (lihat gambar 3). Hal ini perlu menjadi perhatian anda khususnya yang menggunakan koneksi internet yang dihitung berdasarkan bandwidth yang anda gunakan.

Gambar 3, Paket “sent” lebih besar dari “receive”

Menyembunyikan drive USB / removable disk

Agar tidak mudah dilakukan pembersihan dari antivirus atau removal tools, trojan BitCoinMiner/BtcMine menyembunyikan drive USB / removable disk pada Windows Explorer. Walaupun coba di akses melalui Computer Management, tetapi drive akan hilang kembali. (lihat gambar 4)

Gambar 4, Trojan menyembunyikan drive USB / removable disk

Menyembunyikan folder pada drive USB / removable disk

Jika sebelumnya trojan BitCoinMiner/BtcMine telah berhasil menyembunyikan USB / removable disk pada komputer yang terinfeksi, maka sebenarnya folder-folder pada USB / removable disk tersebutpun telah berhasil disembunyikan dan dipalsukan dengan membuat sebuah shortcut yang mirip nama folder tersebut. Sepertinya trik shortcut juga menginspirasi trojan ini. (lihat gambar 5)

Gambar 5, Trojan menyembunyikan folder pada drive USB / removable disk

Berjalan-nya aplikasi Command Prompt pada Task Manager

Muncul secara terus menerus aplikasi Command Prompt yang tersembunyi pada Windows Task Manager. (lihat gambar 6)

Gambar 6, File Command Prompt yang berjalan pada Windows Task Manager

Aplikasi Command Prompt yang berjalan ternyata menjalankan script file cmd/bat dari trojan BitCoinMiner/BtcMine yang memiliki perintah sebagai berikut : (lihat gambar 7)

Gambar 7, Isi script file cmd/bat dari trojan BitCoinMiner/BtcMine

Melakukan koneksi ke Server BitCoin

Trojan BitCoinMiner/BtcMine berusaha melakukan koneksi ke Server BitCoin untuk melakukan pengiriman kriptografi blok-blok BitCoin menggunakan akun pembuat malware pada BitCoin. Dengan cara tersebut, maka pembuat malware diuntungkan karena dapat dengan cepat dan mudah melakukan kriptografi blok-blok BitCoin melalui bantuan komputer-komputer yang sudah terinfeksi. Koneksi ke server BitCoin dilakukan pada IP dan host berikut :

http://b.mobinil.biz:8332/

host http://b.mobinil.biz sendiri merupakan nama lain dari server BitCoin BTCGuild (http://www.btcguild.com) yang memiliki beberapa IP yaitu :

46.4.116.147
46.4.123.12
69.42.216.173
108.60.208.157

Melakukan koneksi ke IRC/Remote Server

Trojan BitCoinMiner/BtcMine berusaha melakukan koneksi ke IRC/Remote Server untuk melakukan pengiriman informasi BitCoin pengguna komputer yang dibutuhkan oleh pembuat malware. Koneksi ke IRC server dilakukan pada IP dan host berikut :

Dengan menggunakan user yang acak dan password “ngrBot”, trojan BitCoinMiner/BtcMine melakukan koneksi ke Remote Server dengan mudah dan pengiriman informasi berjalan dengan lancar. (lihat gambar 8)

Gambar 8, Koneksi trojan BitCoinMiner/BtcMine meng-akses Remote Server

Hebat-nya, untuk melakukan hal tersebut trojan BitCoinMiner/BtcMine menggunakan bantuan dari Windows Explorer (dengan kata lain menumpang/mendompleng aplikasi tersebut). (lihat gambar 9)

Gambar 9, Trojan BitCoinMiner/BtcMine melakukan koneksi via Windows Explorer

Mendownload file malware

Ibarat Sentinel Prime yang menggunakan teleport dalam rangka mengundang bangsa robot menaklukkan bumi, trojan BitCoinMiner/BtcMine juga melakukan download beberapa file malware tertentu dari IRC/Remote Server agar tetap terupdate dan tidak mudah dikenali oleh antivirus. File malware yang berbeda-beda inilah yang kadang membuat antivirus sulit mendeteksi keberadaan trojan BitCoinMiner/BtcMine. Umumnya link download yang digunakan adalah sebagai berikut : (lihat gambar 10)

http://[acak1].fileave.com/[acak1].exe (file malware baru yang sudah ter-update)
http://[acak2].fileave.com/[acak2].exe
http://[acak3].fileave.com/[acak3].exe

Gambar 10, Trojan BitCoinMiner/BtcMine mendownload file malware lain

Mendownload file Certificate Authority (CA)

Pada dasarnya, Certificate Authority (CA) digunakan pada transaksi pembayaran online seperti bank, paypal, dan ribuan situs lain yang menggunakan protokol SSL. Dengan mendownload file CA, pembuat malware ingin memastikan bahwa komputer korban yang terinfeksi sudah memiliki CA yang terupdate sehingga dapat melakukan transaksi BitCoin yang sah (seperti mengirim poin BitCoin yang sudah didapat oleh komputer korban ke pemilik trojan, dan sebagainya). Trojan BitCoinMiner/BtcMine mendownload Certificate Authority (CA) pada link berikut :

Melakukan transfer data yang telah didapatkan

Tujuan utama dari trojan BitCoinMiner/BtcMine adalah mendapatkan informasi dari pengguna komputer yang sudah terinfeksi. Untuk melakukan hal tersebut, trojan BitCoinMiner/BtcMine mengirimkan informasi kepada beberapa IP/hostname berikut : (lihat gambar 11)

http://api.wipmania.com/ atau http://213.251.170.52 (informasi IP komputer yang terinfeksi)
https://216.246.8.230:443 (transfer BitCoin via SSL)
http://67.228.81.181/ atau http://195.122.131.7/ (menyimpan informasi pada media server yang sudah tersedia)

Gambar 11, Transfer data dari dan ke komputer korban

Membuka berbagai port

Trojan BitCoinMiner/BtcMine juga membuka berbagai port pada komputer korban agar dapat dengan mudah terkoneksi oleh IRC/Remote Server, serta melakukan berbagai aksi dengan leluasa. Beberapa port yang teridentifikasi yaitu sebagai berikut :

80, 443, 1056, 1059, 3211, 3212, 3333, 4949, 5900, 8332

Tidak tertutup kemungkinan port-port lain pun akan digunakan oleh BitCoinMiner/BtcMine.

Bersambung

Tulisan BitCoinMiner ini akan dilanjutkan pada bagian 2 yang akan membahas :

Bahasa pemrograman apa yang digunakan untuk pembuatan Trojan ini.
Penampakan icon trojan ini di komputer seperti apa sehingga dapat anda identifikasi.
Metode penyebaran BitCoin.
Registri apa saja yang dirubah.
Cara membasmi Trojan ini jika sudah menginfeksi komputer anda.

Vaksincom News.

Kolab Virus Facebook Sending with jpg

Jika anda penggemar facebook jangan sampai terkena virus ini :

W32/Kolab.xx (Trojan.Click1.xxxx)

Mengirimkan link virus FB Chat sampai korbannya kalap

omg haha ck
http://img20.nimageshack.com/img20/i.php?4748-Picture**.JPG

omfg vt
http://img20.nimageshack.com/img20/i.php?6644-Picture**.JPG

haha vj
http://img20.nimageshack.com/img20/i.php?8758-Picture**.JPG

rofl haha qb
http://img20.nimageshack.com/img20/i.php?8856-Picture**.JPG

Facebook (FB), sang raja jejaring sosial memang sangat fantastis. Tidak hanya membuat iri para pesaing-nya seperti Google yang sudah sejak 2 bulan lebih telah meluncurkan produk Google+, tetapi juga memiliki daya tarik yang sangat besar bagi dunia internet. Hampir semua kalangan memiliki yang namanya akun Facebook. Tidak seperti aplikasi jejaring sosial sebelumnya yang hanya dinikmati para anak muda, FB hampir dipunyai oleh semua orang, dari anak kecil, ABG, yang muda, anak sekolah, mahasiswa, guru, pegawai kantor, artis, hingga pejabat pemerintah di negeri ini. Hingga kini, Indonesia merupakan negara ke-2 pengguna FB di seluruh dunia. (lihat gambar 1)

Gambar 1, Indonesia sebagai negara terbesar ke-2 di dunia pengguna Facebook

Selain menimbulkan persaingan dengan para vendor jejaring sosial lain, FB juga menjadi daya tarik bagi para pembuat malware. Karena memiliki kelebihan dari jumlah pengguna di seluruh dunia, FB dijadikan sasaran sebagai salah satu media yang tepat untuk menyebarkan malware dengan mudah. Serangan pembuat malware melalui berbagai cara seperti scam atau memanfaatkan aplikasi yang tersedia pada FB seperti apps dan chat.

Jika anda familiar dengan salah satu varian worm yang menyebar via chat seperti YM (Yahoo! Messenger) atau Skype, maka anda patut waspada, karena VaksinCom telah menerima laporan serangan worm/rootkit yang menyebar menggunakan pesan chat pada FB. Hebatnya, virus ini tidak memanfaatkan Apps Facebook sehingga administrator Facebook tidak bisa menghentikan virus ini dibandingkan dengna virus Facebook lain yang mengandalkan Apps.. Sejak pertengahan Agustus hingga saat ini banyak pengguna komputer yang sudah terinfeksi oleh serangan worm/rootkit ini, dan varian tersebut terdeteksi oleh Norman Security Suite sebagai W32/Kolab.xx. (lihat gambar 2)

Gambar 2, Norman Security Suite mendeteksi virus ini sebagai virus Kolab.

Tercatat, sudah puluhan varian sejak Agustus yang disebarkan oleh pembuat virus ini. Hebatnya, pada saat awal kemunculannya selama 2 minggu pertama mayoritas Antivirus bahkan tidak dapat mendeteksi worm/rootkit tersebut sampai dengan awal September 2011. (lihat gambar 3)

Gambar 3, Hasil scan VirusTotal pada awal September saat mendapatkan kiriman Kolab/Click1

Infeksi Kolab

Umumnya Anda akan mendapatkan pesan chat pada Facebook oleh salah satu teman Anda. Pesan chat tersebut memberikan sebuah link tertentu. (lihat gambar 4 dan 5)

Gambar 4 dan 5, Pesan chat FB yang dikirim oleh komputer yang terinfeksi Kolab/Click1

Hebatnya, akun Facebook yang di infeksi oleh virus tidak mengalami perubahan sama sekali. Bahkan tidak ada pop up FB Chat yang terbuka. Yang dibutuhkan oleh virus ini hanyalah akun Facebook tersebut sedang login saja. Kemungkinan besar hal ini terjadi supaya korban virus tidak menyadari kalau komputernya telah terinfeksi oleh Kolab/Click1 dan menyebarkan banyak sekali FB Chat ke kontak-kontak Facebooknya yang mengarahkan untuk mendownload virus ini.

Jika Anda meng-klik link pada pesan chat tersebut, maka secara otomatis file akan terdownload ke dalam komputer Anda. Dan jika Anda menjalankan file tersebut, maka komputer Anda sudah pasti telah terinfeksi.

Sulit dibasmi dan menyebabkan BSOD (Bumi Serpong Ooo Damai ??.. :p)

Kolab/Click1 tidak berjalan pada proses atau services Windows, sehingga sulit menemukan dan mematikan keberadaan worm/rootkit ini. Tetapi, worm ini justru mendompleng atau menumpang pada file svchost.exe milik Windows, sehingga Anda akan sulit mematikan-nya. Jika Anda memaksa mematikan file svchost.exe, komputer akan mengalami blue screen of death / BSOD. Termasuk jika Anda mencoba melakukan scan menggunakan tools tertentu seperti GMER, tools yang biasa digunakan untuk mendeteksi rootkit. (lihat gambar 6)

Gambar 6, Berusaha mematikan file svchost yang telah didompleng, akan muncul BSOD

Broadcast ke IP-IP tertentu

Walaupun tidak berjalan pada proses atau services Windows, Kolab/Click1 memanfaatkan file svchost.exe Windows, untuk melakukan broadcast pada IP-IP tertentu. (lihat gambar 7)

Gambar 7, Aktivitas broadcast yang dilakukan oleh Kolab/Click1

Mencantumkan diri-nya pada Windows Firewall

Agar dapat berjalan bebas tanpa hambatan, Kolab/Click1 mendaftarkan programnya pada Windows Firewall, sehingga diperbolehkan untuk melakukan koneksi dan broadcast. (lihat gambar 8)

Gambar 8, Aktivitas broadcast yang dilakukan oleh Kolab/Click1

Tips Hindari Kolab/Click1

Berikut beberapa tips bagi Anda jika tidak ingin terinfeksi dan menjadi korban dari worm/rootkit ini

Hindari melakukan klik pada link yang dikirim pada Anda, baik melalui pesan chat FB atau status.
Beritahukan pada teman Anda, bahwa komputer tersebut telah terinfeksi virus, dan segera lakukan update dan scan komputer dengan antivirus yang terupdate.
Jangan melakukan copy link atau melakukan pemberitahuan disertai link tersebut, karena dengan begitu Anda justru ikut menyebarkan link yang mengandung virus tersebut.
Jangan meninggalkan FB Anda dalam keadaan aktif/login, sebaiknya Anda logout dahulu hingga Anda kembali.
Gunakan Secure HTTP / HTTPS pada saat Login FB, hal ini agar FB Anda tidak mudah diakses oleh orang lain disekitar Anda.

Vaksinis sedang melakukan test ekstensif pada virus ini di laboratorium virus Vaksincom. Nantikan artikel berikut yang akan menggali lebih dalam tentang virus ini serta cara membasminya.

Sumber :

Vakson.com