Win32/Conficker.AA juga dikenal sebagai
W32/Worm.AHGV, Net-Worm.Win32.Kido.bg, Worm:Win32/Conficker,
W32/Conficker.worm.gen, Mal/Conficker adalah worm yang memanfaatkan
Microsoft Windows Server Service RPC Handling Remote Code Execution
Vulnerability (MS08-67) untuk menyebar melalui jaringan. Worm ini
mencegah user untuk mengakses website security, menghapus System Restore
point sebelum terinfeksi, melindungi dirinya dari penghapusan dengan
menghapus semua NTFS file permissions,kecuali execute dan directory
traversal…
Jika sudah terinfeksi W32/Conficker.AA, virus ini akan menimbulkan gejala/efek sebagai berikut:
Jika sudah terinfeksi W32/Conficker.AA, virus ini akan menimbulkan gejala/efek sebagai berikut:
- Jika varian sebelumnya mematikan service ‘Workstation, Server dan Windows Firewall/Internet Connection Sharing (ICS)’. Maka kali ini virus berusaha untuk mematikan dan mendisable beberapa service, yaitu wscsvc: Security Center, wuauserv: Automatic Updates, BITS : Background Intellegent Transfer Service, ERSvc: Error Reporting Service dan yang lainnya.
- Virus mampu melakukan blok terhadap program aplikasi yang berjalan saat mengakses website yang mengandung string berikut: Ccert, sans, bit9, windowsupdate, wilderssecurity dan masih banyak lagi. Hal ini dilakukan tanpa melakukan perubahan pada host file yang ada. Dengan melakukan blok, dapat mencegah program anti-malware untuk melakukan update antivirus dan mencegah user saat mencoba akses ke situs keamanan.
- Virus berusaha melakukan perubahan pada sistem Windows Vista/Server 2008 dengan menggunakan perintah: ‘netsh interface tcp set global autotuning=disabled’. Dengan perintah ini, maka windows auto tuning akan didisable. Windows Auto-Tuning merupakan salah satu fitur dari Windows Vista dan Server 2008 yang berguna untuk meningkatkan performa ketika mencoba akses jaringan.
- Virus berusaha mendownload dan mengeksekusi file (bmp, gif, jpeg, png) yang kemudian masuk pada temporary internet.
- Virus akan memeriksa koneksi internet dan mendownload file dengan menyesuaikan tanggal setelah 1 Januari 2009. Untuk itu virus memeriksa pada beberapa situs berikut: baidu, google, yahoo, msn, hingga ask.com
- Virus akan membuat rule firewall pada gateway jaringan lokal yang membuat serangan dari luar terkoneksi dan mendapatkan alamat external IP Address yang terinfeksi melalui berbagai macam port (1024 hingga 10000).
- Virus akan membuat service dengan karakteristik tertentu agar dapat berjalan otomatis saat start-up windows serta membuat HTTP Server pada port yang acak
- Virus membuat scheduled task untuk menjalankan file virus yang sudah dikopi dengan perintah: ‘rundll32.exe .[%ekstensi acak%], [%acak]
Caranya seperti dibawah ini :
| Gunakan cara-cara berikut untuk menghapus Win32/Conficker.AA
1. Download MS08-67 vulnerability patch sesuai versi windows anda dari sini 2. Install MS08-67 vulnerability patch. 3. Download Win32.Worm.Downadup.Gen (Win32/Conficker.AA) removal tool dari BitDefender dari sini. 4. Unzip/extract file tersebut. 5. Unplug/lepaskan kabel jaringan. 6. Jalankan file Anti-downadup-graphics.exe sehinggu muncul windows seperti dibawah |
7. Klik tombol start
8. Reboot computer anda setelah selesai.
9. Colokkan kembali kabel jaringan.
10. Buat restore point baru dengan cara sbb. :
8. Reboot computer anda setelah selesai.
9. Colokkan kembali kabel jaringan.
10. Buat restore point baru dengan cara sbb. :
- Disable system restore to flush out infected restore points.
- Reboot computer kembali
- Hidupkan kembali Windows System restore
- Klik START -> ALL PROGRAMS -> ACCESSORIES -> SYSTEM TOOLS -> SYSTEM RESTORE.
- Klik pada “create new restore point”, kemudian klik NEXT dan ikuti perintah selanjutnya
