Tentang Conficker

Friday, April 10, 2009

by Tatang Sukroni Ganda Resmi

di copy paste di sini supaya yang lainnya bisa ikut baca :) piss ah kang tatang...

Mulai dari menanam ketela pohon sampai menerbangkan Sukhoi Su-47, bidang apapun jika digeluti dalam rentang waktu yang lama biasanya memiliki cerita unik tersendiri. Dunia IT dimana saya berkecimpung pun menjadi salah satu yang pontensial. Berikut adalah ringkasan dari perbincangan santai saya bersama rekan-rekan di milis if6 beberapa waktu yang lalu.

***

Ini kali tentang Conficker: worm yang menginfeksi OS Windows. [1]

Tak perlu panjang lebar menjelaskan betapa luar biasanya Conficker, cukup dengan bukti bahwa pada tanggal 12 Februari 2009 yang lalu Microsoft menawarkan imbalan sebesar US$250.000 atas informasi yang dapat menggiring ke pelaku pembuat/penyebar worm ini. [3]

Itu dari sisi popularitas. Saya justru lebih tertarik untuk mengintip dari perpektif teknisnya, dari analisa atas struktur dan logisnya. Merujuk kepada varian terbaru (Conficker C), dapat dibaca betapa canggihnya konsep si pembuat; ia begitu memperhitungkan agar ciptaannya ini dapat bertahan hidup dan berbiak bak cacing sakti mandraguna. ;)

Secara teknis, beberapa poin vital dalam Conficker C mencakup hal-hal berikut: [2]

• Memiliki logis mengambil alih tugas jika Conficker A/B telah lebih dulu menginfeksi.
• Mematikan service Firewall, Update, Security dan Restore Point di Windows.
• Mengaburkan keberadaan Conficker C di Windows dengan teknik "Obfuscated Coding".
• Mengelabui dan melumpuhkan Antivirus populer (Symantec, Kaspersky, Avira dll).
• Melumpuhkan Tools Administrator populer (Procmon, Procexp, Autoruns dll).
• Menjegal komunikasi dengan situs-situs Antivirus, Tools Administrator dan Security.
• Menelusuri dan menginfeksi komputer pada jaringan lokal/LAN.
• Memiliki logis "Anti-Debug" yang mempersulit "bedah tubuh" Conficker.
• Menjadikan komputer terinfeksi sebagai server sekaligus client P2P jaringan Conficker.
• Melakukan query "periksa tanggal" pada 44 situs populer (facebook, youtube dll).
• Mulai tanggal 1 April 2009, Conficker C membuat daftar 50.000 nama domain dimana setiap 24 jam dilakukan query "download dan validasi" ke 500 domain di antaranya secara acak.

Satu hal yang mencemaskan adalah sampai saat ini belum diketahui apa yang akan diunduh dan dijalankan oleh Conficker mulai tanggal 1 April tersebut. Si pembuat akan dengan mudahnya mengunggah program tertentu ke salah satu dari 50.000 situs tadi, kemudian tinggal menunggu kemungkinan Conficker melaksanan perintahnya. Tentu saja kita tidak menginginkan hal buruk ini terjadi, namun program tersebut bisa saja berisi instruksi pencurian data penting, penghapusan isi hardisk, atau serangan DDoS terhadap situs tertentu.

Mengingat berbahayanya serangan ini, para pemerhati keamanan komputer pun tak berdiam diri, seraya memantau perkembangan serangan jam per jam, mereka juga menyarankan langkah-langkah pencegahan standar dengan membuat salinan data, memasang patch [4] dan melakukan pemeriksaan dengan tools [5] dari Microsoft serta memperbaharui database Antivirus yang digunakan.

Demikian apa yang dapat kami bagi perihal Conficker, semoga bermanfaat. Bagi yang berminat mengetahui lebih lanjut, silahkan kunjungi rujukan yang dicantumkan.

Update:
* 30 Maret 2009, untuk mendeteksi apakah komputer terinfeksi Conficker A/B/C, gunakan 2 tools pembersih & pendeteksi dalam mode DOS. [6] [7]

Referensi tulisan
[1] Conficker di wikipedia
[2] Analisa Conficker (dan rujukan utama tulisan ini)
[3] Garis waktu Conficker (dan imbalan US$250.000 itu ;D )

Yang perlu diunduh
[4] Security Update untuk Windows XP SP2
[5] Malicious Software Removal Tool

Update 30 Maret 2009
[6] Pembersih Conficker di Memory
[7] Mendeteksi Conficker di File & Registry

ps.
Kudos buat anak2 milis if6