KIDO (conficker & downadup)

Mungkin rekan-rekan nggak begitu banyak yang mengenal virus ini namun kini virus ini sering dan bahkan mudah ditemui. Virus ini merupakan ancaman yang sangat serius di Internet. Karena komputer yang terinfeksi KIDO bisa jadi sumber kejahatan cyber yang sangat berbahaya. Pada dasarnya KIDO ini menyebarkan dirinya melalui media penyimpan dan jaringan lokal. KIDO menginfeksi komputer pada celah WINDOWS di MS08-067. Namun kini MICROSOFT sudah meluncurkan patch yang tepat kurang lebih setahun yang lalu.
Ada beberapa faktor yang membuat KIDO menyebarkan luaskan dirinya, tidak lain adalah karena kelalaian dan kekurang tahuan pengguna komputer akan pentingnya antivirus dan patch, sejauh ini tidak adanya badan yang secara langsung mengamankan internet, dan usaha dari pemerintah serta ahli keamanan dalam bidang teknologi informasi.
Maret lalu, muncul update besar-besaran dari KIDO. Kemudian pada 1 April 2009, botnet KIDO menggunakan pendekatana yang tadi sudah disebutkan untuk menerima perintah dari pembuatnya melalui 50.000 domain perharinya. Namun Produk KASPERSKY LAB berhasil mencegah segala versi KIDO untuk masuk ke dalam komputer. Berikut ini merupakan cara untuk menghapus KIDO secara manual (lihat http://support.kaspercky.com/faq/?qid=2082799973)

gejala-gejala infeksi virus KIDO
pertama, volume dari lalu lintas jaringan meningkat jika dalam jaringan terdapat komputer yang terinfeksi, karena serangan dalam jaringan dimulai dari komputer yang terinfeksi KIDO...

kedua, antivirus dengan fitur "Intrusion Detection Systems" diaktifkan akan memberikan informasi adanya serangan Intrusion.Win.NETAPI.bufferoverflow.exploit

penjelasan singkat tentang NetWorm.Win32.Kido
pertama, biasanya KIDO membuat sebuah file autorun.inf dan direktori RECYCLED dan dalam direktori RECYCLED itu ada sebuah file RANDOM_NAME.vmx, umumnya pada sebuah USB flash disk dan folder yang dishare pada jaringan...

kedua, KIDO menempatkan dirinya dalam sistem sebagai file DLL dengan nama acak, misalnya zorizr.dll (dan lain-lain) dan meletakkannya pada partisi C:\windows\system32\...

ketiga, dalam sistem KIDO sudah terdapat daftar nama acak yang akan dimunculkan nantinya, misalnya knqdgsm (dan lain-lain)...

keempat, KIDO mencoba menyerang sebuah komputer dalam jaringan dengan port 445 atau 139 TCP dan menggunakan celah WINDOWS di MS08-067...

kelima, KIDO mencoba menghubungkan dirinya ke situs-situs web berikut ini (sebaiknya FIREWALL adan aktif untuk mengawasi koneksi ke situs-situs web ini), yakni: www.getmyip.org, getmyip.co.uk, www.whatsmyipaddress.com, www.whatismyip.org, checkip.dyndns.org, schemas.xmlsoap.org/soap/envelope/, schemas.xmlsoap.org/soap/encoding/, trafficconventer.biz/4vir/antispyware/loadadv.exe, trafficconventer.biz, dan www.maxmind.com/download/geoip/database/GeoIP.dat.gz

cara penghapusan
menggunakan aplikasi bernama KKiller.exe, anda disarankan melakukan langkah-langkah berikut ini:
pertama, instal patch dari MICROSOFT yang menutup celah MS08-067, MS08-068, dan MS09-001...

kedua, pastikan pasword akun ADMINISTRATOR lokal anda sulit untuk diterka (minimal 6 karakter dan diusahakan terdiri atas hurup kapital dan non-kapital, angka, serta karakter spesial seperti tanda baca)...

ketiga, matikan fitur yang menjalankan file dalam USB flash disk secara otomatis, peranti KKiller.exe dapat dijalankan secara lokal pada komputer yang sudah terinfeksi atau dijalankan seara remote dengan bantuan ADMINISTRATION KIT dari KASPERSKY...

keempat, undul file KKiller_v3.4.3.zip dan ekstrak paket itu ke sebuah folder dalam komputer yang sudah terinfeksi...

kelima, jalankan file KKiller.exe, ketika proses scan sudah selesai, jendela command prompt bisa muncul pada layar monitor, untuk meminimize jendela itu, tekan sembarang tombol. Agar jendela itu ditutup secara otomatis, disarankan agar KKiler.exe dijalankan dengan parameter "-y"...

keenam, tunggu proses scan selesai, apabila AGNITUM OUTPOST FIREWALL terinstal pada komputer yang menjalankan KKiller.exe, kemudian restart setelah selesai...

ketujuh, lakukan full scan pada komputer anda dengan antivirus kepercayaan anda, disarankan menggunakan KASPERSKY ANTIVIRUS...

kiranya demikian cara menghapus manual yang dapat kami berikan, selain cara manual ada pula dengan menggunakan ADMINISTRATOR KIT, yakni:
pertama, jalankan proses penghapusan manual langkah pertama sampai dengan langkah empat...

kedua, dalam konsol ADMINISTRATION KIT, buatlah paket instalasi untuk KKiller.exe, dalam pengaturan paket instalasi, pilik "Make installation package for speficied executable file", pada kotak "Executable file command line (optional)" tulis parameter "-y"...

ketiga, buat task untuk instalasi jarak jauh yang dapat dilaksanakan secara global atau hanya grup tertentu, jalankan task itu...

keempat, ketika KKiller.exe sudah selesai bekerja, lakukan full scan pada komputer anda dengan antivirus kepercayaan anda, disarankan menggunakan KASPERSKY ANTIVIRUS...

kelima, kalau AGNITUM OUTPOST FIREWALL telah terinstal pada komputer, restart PC. Untuk mendapatakan informasi tambahan, jalankan KKiller.exe dengan parameter tambahan "-help".