Mengakses teknologi informasi untuk mendukung proses belajar mengajar tak perlu harus menyediakan satu komputer untuk setiap siswa. Saat ini sudah ada terobosan baru yang disebut MultiPoint sehingga satu komputer dapat dipakai bersama-sama dengan banyak mouse. Multipoint adalah teknologi yang dikembangkan Microsoft untuk memperkecil rasio antara siswa dan komputer. Teknologi ini sangat berguna bagi sekolah yang tidak bisa menyediakan satu komputer untuk murid. Hal tersebut juga membantu sekolah menghemat biaya karena bahkan memungkinkan satu kelas hanya membutuhkan satu set komputer yang terhubung dengan banyak tetikus dan proyektor untuk menampilkan materi pelajaran ke layar/dinding. "Teknologi MultiPoint memungkinkan beberapa murid sekaligus mengakses satu komputer secara bersama-sama. Dengan MultiPoint, komputer bisa disambungkan dengan maksimal 30 mouse sekaligus dengan kendali ada di guru," kata Bonnie Mamanua, Business Development Manager Microsoft Indonesia. Ia mengatakan MultiPoint merupakan solusi murah untuk bisa mengurangi biaya pengadaan sarana PC sekaligus meningkatkan kualitas SDM di sekolah. Bonnie mengatakan MultiPoint adalah inovasi yang ditujukan untuk menyiasati minimnya akses komputer di kalangan usia sekolah dasar. Target utama program ini adalah sekolah dengan jumlah komputer tidak memadai.
"Baru empat sekolah di Indonesia yang kami bantu dengan MultiPoint ini. Empat sekolah tersebut adalah SD Ungaran 2, SD Serayu, SD Muhammadiyah Sapen, SD Muhammadiyah Condong Catur. Kami juga memberikan pelatihan bagi dua orang guru dari masing-masing sekolah," katanya.
Hindari individualistik
MultiPoint juga mengajak para pengajar untuk menciptakan sistem belajar yang lebih kreatif. Prototipe MultiPoint paling maju disebut Mouse Mischief yakni aplikasi berbasis PowerPoint yang bisa dikembangkan sehingga membuat pelajaran makin menarik dan interaktif. Keunggulan aplikasi ini adalah memungkinkan para guru menciptakan bahan pelajaran sendiri menggunakan PowerPoint dan menggabungkannya dengan Mouse Mischief.
Dengan menggunakan MultiPoint guru lebih efisien dalam waktu dan budget dalam menggunakan komputer sebagai alat belajar. Guru juga menjadi lebih kreatif dalam menyiapkan materi mata pelajaran dengan bahan-bahan yang menarik dan mudah dipelajari siswa.
Di sisi lain, kehadiran Multipoint akan membuat suasana belajar lebih menyenangkan. Setiap siswa bisa menggunakan tetikusnyanya masing-masing sehingga pengajaran bisa berlangsung secara interaktif. Masing-masing tetikus ini mempunyai pointer sendiri dan bisa diatur dengan berbentuk icon-icon yang lucu dan nama masing-masing siswa. Siswa lebih fokus, aktif, dan mudah dalam belajar. Selain itu siswa pun dapat belajar team work, berbagi dengan teman, serta meminimalkan sikap individualistik.
"Jika MultiPoint bisa berhasil di sekolah, saya berharap akan menjadi virus," kata Prof. Suwarsih Madya, PhD, Kepala Dinas Pendidikan Daerah Istimewa Yogyakarta menyambut baik inovasi tersebut. Menurutnya, bila melihat harga komputer sekitar Rp 6-7 juta, penggunaan MultiPoint memang sangat efisien. Komunikasi guru lebih terarah, dan anak lebih cepat merespon. Guru juga dapat merangsang spontanitas murid.
Sementara itu, Arif Rahmanto,S.Pd, Guru Bahasa Indonesia SD Muhammadiyah mengakui setelah ada MultiPoint suasana belajar jadi menarik dan anak-anak lebih fokus. "Suasana menjadi sangat menarik. Karena minimal kita dapat memanfaatkan hardware yang kita punya secara maksimal karena banyaknya jumlah siswa di sini," katanya.
Sumber: tekno.kompas.com
IKLAN / PROMO
Artikel: Belajar Bersama Lebih Seru dengan MultiPoint
Review: Top 10 Virus, April 2009
Terjadi banyak pergeseran peringkat di bulan ini, namun ada satu yang tidak berubah, yakni Conficker yang tetap bertengger di urutan paling atas. Selain itu ada beberapa virus yang baru masuk ke peringkat 10 besar ini, contohnya virus Vinurika.vbs. Daftar lengkapnya sebagai berikut:
1. Conficker
Virus luar berteknologi canggih ini memang menyebar luar biasa. Bentuknya yang merupakan file DLL (Dynamic Link Library) membedakannya dengan kebanyakan virus lain yang berupa EXE. Kemampuan yang dimilikinya juga bisa disetarakan dengan rootkit. Serta, sifatnya ber-polymorphic membuatnya memiliki tubuh yang berubah-ubah. Pada komputer terinfeksi, user tidak akan dapat membuka situs yang “berbau” antivirius atau Microsoft update. Virus ini juga aktif menyebar di Indonesia dengan menggunakan media removable disk misalkan flash disk. Pada flash disk terinfeksi, Anda akan menemukan file autorun.inf dan direktori RECYCLER yang di dalamnya terdapat sub-direktori dengan nama misalkan S-5-3-42-2819952290-8240758988-879315005-3665, dan pada direktori inilah terdapat file virus Conficker dengan nama biasanya jwgkvsq.vmx yang sebenarnya adalah file DLL.
2. Autoit
Hampir kebanyakan varian dari virus import berbasis script ini menggunakan icon mirip seperti folder. Virus ini memiliki kemampuan untuk melakukan auto update ke beberapa situs. Ia juga dapat memanfaatkan Yahoo! Messenger sebagai media perantara penyebarannya dengan mengirimkan pesan berisi link ke setiap contact person yang ada di Y!M korban.
3. FreeMine
Virus lokal ini dibuat menggunakan Visual Basic dengan ukuran file sekitar 68KB tanpa di-pack. Ciri virus ini, iconnya menyerupai Microsoft Word. Saat aktif di memory, ia akan mempertahankan kelangsungan hidupnya dengan men-terminate setiap aplikasi yang ada dalam daftar black-list di tubuhnya, seperti contohnya Process Explorer. Ia juga dapat menyebar melalui media removable disk, dan pada removable disk terinfeksi akan terdapat file autorun.inf dan Free_Mine.exe.
4. Recycler
Yang menjadi ciri khas dari virus ini adalah teknik bagaimana ia menyebar. Yakni “ngumpet” dalam direktori Recycler/Recycler/Recycle Bin. Ia juga diketahui menerapkan teknik code injection agar kode virus bisa “nyangkut” pada explorer.exe. Ini dilakukannya untuk mempersulit user maupun program antivirus sekalipun untuk membunuhnya.
5. Yuyun.vbs
Virus yang diciptakan menggunakan Visual Basic Script ini berukuran sekitar 9KB. Pada komputer terinfeksi ia akan membuat banyak sekali file duplikat di setiap folder yang ia temukan dengan nama file autorun.inf, Thumb.db, dalam kondisi ber-attribut hidden, dan sebuah shortcut dengan nama Microsoft. Jika shortcut tersebut diakses, dia memang akan menuju ke suatu folder, tapi dibalik itu virus tersebut juga akan aktif. File Thumb.db disini juga bukan merupakan file milik Windows, tapi melainkan file script virus. Pada komputer terinfeksi juga akan ditemukan sebuah file pesan virus pada direktori Temp user. Di direktori ini juga akan ditemukan file lain yakni script virus yang sudah dalam kondisi ter-decrypt. Karena perlu Anda ketahui bahwa virus ini memang hadir dalam kondisi ter-enkripsi.
6. Vinurika.vbs
Kuat dugaan pembuat virus ini masih sama dengan yang membuat virus Yuyun.vbs. Ciri khas-nya sama, membuat shortcut yang banyak sekali pada komputer korban. Dan pada flashdisk terinfeksi, akan terdapat kurang lebih 4 file yakni autorun.inf, thumb.db, Microsoft.lnk, dan New Folder.lnk. File thumb.db yang bertindak sebagai induknya, sama seperti pada Yuyun.vbs.
7. Raider.vbs varian
Virus jenis VBScript ini jika dibuka dengan Notepad misalnya, maka tidak banyak string yang bisa dibaca karena dalam kondisi ter-enkripsi. Di beberapa varian. pada Registry, ia memberikan pengenal dengan membuat key baru di HKLM\Software dengan nama sama seperti nama pada computer name, dengan isinya berupa string value seperti nama virus tersebut, Raider, serta tanggal komputer tersebut kali pertama terinfeksi.
8. Fdshield
Virus yang dibuat menggunakan bahasa Delphi ini menggunakan icon yang menyerupai Internet Explorer. Memiliki ukuran file sebesar 553.472 bytes, tanpa di-pack. Satu hal yang mencolok dari virus ini adalah dari nama yang digunakan saat menyebar, yang bertuliskan “17++ Sexs & Rahasia Wanita artis Indonesia (foto2_kamera tersembunyi_liputan).exe”. Bagi user yang tidak hati - hati, akan menyangka file tersebut merupakan file HTML. Jika Anda lihat pada direktori C:\Windows\System32, akan ditemukan sebuah file induk dengan nama “rundl32.exe”. Jangan tertipu lagi! Itu bukanlah file bagian dari Windows, tapi itu memang adalah file virus. Perhatikan huruf “L” yang cuma satu. Dan sekarang lihat pada Schedule Task, ada Job baru dengan nama “Windows FD Shield” yang akan mengeksekusi file virus diwaktu yang telah ia tentukan.
9. Risa
Virus lokal satu ini memiliki ukuran sekitar 42KB, dengan kondisi ter-pack menggunakan UPX. Icon yang dimiliki menyerupai folder. Saat komputer terinfeksi virus ini, akan banyak sekali ditemukan folder-folder tipuan di setiap penjuru drive. Ia juga dapat masuk ke flash disk, di flash disk akan terdapat beberapa file dengan nama seperti “Kumpulan Puisi cinta palsu.exe”, “Rahasia (Jangan dibuka).exe”, dan lainnya. Pesan dari pembuat virus pun dapat ditemukan dengan pada direktori Windows dengan nama “Wasiat.html”, atau pada root drive C:\ dengan nama “Puisi_untukmu_bang.html”.
10. Malingsi varian
Virus bertubuh gemuk dengan ukuran besar, contoh pada salah satu varian memiliki ukuran sekitar 689KB. Ia dibuat menggunakan Visual Basic yang di-pack menggunakan PECompact. Sepertinya virus ini ditujukan untuk menyerang virus lain, ini terlihat dari pesan yang ada di tubuhnya. Virus ini berkembang biak dan menyebar menggunakan perantara mIRC, yang bertindak sebagai Bot.
Sumber: www.virusindonesia.com
Waspadai Conficker, Jangan Terkecoh Patch Palsunya
Masih ingat Conficker bukan? Worm ini diperkirakan telah menjangkiti 9 juta komputer di seluruh dunia, dan dikategorikan sebagai ancaman serius oleh para pakar sekuriti. Serangan terbarunya dijanjikan akan berlangsung hari ini, 1 April. Salah satu teknik yang digunakan worm Conficker adalah mem-patch komputer berbasis Microsoft yang sudah diinvasinya agar ia bisa bersembunyi dan mencegah malware lain menyusup. Menurut salah satu vendor, Qualys, scanner-nya yang telah di-upgrade Selasa kemarin mampu membedakan patch Microsoft yang asli dengan patch susupan Conficker. "Minggu lalu para peneliti dari University of Bonn mendapatkan bahwa begitu meng-install dirinya sendiri, worm menutup kelemahan (terkait dengan MS08-067] karena ia tidak ingin orang lain mengambil alih mesin," kata Wolfgang Kandek (CTO, Qualys). "Tetapi patch Conficker tampak berbeda."
Karya peneliti Bonn yang membedakan patch asli Microsoft dari patch palsu milik Conficker telah memungkinkan Qualys meng-upgrade scanning engine-nya agar bisa membedakan kedua patch tersebut. Begitu kata Kandek seperti dikutip networkworld. "Patch Conficker tampak berbeda. Sebelumnya, kita akan mengatakan, Anda kelihatannya sudah di-patch," katanya.Scan ini dapat mengungkap mesin-mesin yang tidak diduga terinfeksi oleh Conficker.
Lalu bagaimana dengan pemilik komputer di rumah? Bagaimana ia tahu kalau komputernya sudah disusupi Conficker? Sederhana saja. Jika ia tidak mampu terkoneksi ke situs Web solusi sekuritinya atau tidak dapat mengunduh detection/removal tools yang gratis, berarti komputernya terinfeksi Conficker.
Nah, agar komputer Anda tidak melambat atau kacau gara-gara infeksi Conficker, silakan jalankan tool-tool untuk mendeteksi dan juga membasmi Conficker yang ditawarkan oleh beberapa vendor antimalware, di antaranya versi free trial dari Symantec dan McAfee, maupun Microsoft.
Sumber: tekno.kompas.com
TIPS: CEGAH HACKING FILE SHARED
Komputer kamu terhubung jaringan? Baik Local Area Network (LAN) ataupun internet? Sebaiknya anda memperhatikan beberapa tips agar data anda tidak di hack oleh orang yang tidak bertanggung jawab dan dapat bersifat merugikan bagi anda. Lakukanlah trik-trik cegah hacking file berikut ini:
1. Matikan file sharing di WIN 9x pada mesin. Untuk system administrator dalam melindungi sejumlah besar sistem, dapat mengunakan the system policy editor (poledit.exe). Kegunaan dari utility ini adalah untuk menonaktifkan fasilitas file and sharing ke semua system. Utility ini dapat ditemukan di cd WIN9x di rektori \tools\reskit\netadmin\ jika anda harus mengaktifkan file sharing ini sebaiknya menggunakan password yang komplek. Dalam Win 9x hanya mengijikan 8 buah karakter, sebaiknya gunakan password yang sulit ditebak.
2. Non-Aktifkan automatic sharing melalui parameter "AutoShare" pada registry. " HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters ", dan " AutoShareServer " pada WinNT Server atau " AutoShareWks " pada WinNT Workstation. Isi DWORD ini , dengan nilai '1' untuk enabled (default), atau nilai '0' untuk disabled. 
3. Ketika kita membuka menu MyComputer di Windows XP, maka akan muncul sebuah folder bernama Shared Documents yang berada dibagian bawah daftar drive yang. Menu Microsoft ini berfungsi untuk menampung seluruh file dan folder yang di share ke jaringan. Jalankan Registry Editor Start-Run kemudian ketik regedit Masuklah ke subkey MyComputer\HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\ NameSpace\DelegateFolders . Di bawah key DelegateFolders terdapat sebuah subkey lagi dengan nama {59031a47-3f72-44a7-89c5-5595fe6b30ee}. Hapuslah subkey ini. Pengguna komputer lain di jaringan tidak akan menemui folder yang tadinya secara default sudah di- share oleh Windows.
4. Pastikan menonaktifkan Shared folder.Jika kamu menemukan file folder dengan gambar tangan di bawahnya maka folder tersebut merupakan folder yang kamu sharing, jika anda ingin mencegah data anda tershare maka non aktifkan shared folder tersebut dengan klik kanan folder lalu Properties-Sharing - hilangkan tanda contereng pada share this folder lalu klik ok Atau dengan menghapus paramater shares HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ LanmanServer\ Karena sebenarnya saat kita menshare folder akan mengubah bagian registry tersebut. 
Ingat tidak ada cara 100% aman dari ancaman hack karena hacker selalu berusaha dengan segala macam cara untuk mengeksploitasi korbannya, mencegah lebih baik dari pada mengobati itu kata bu Dokter sih hehehe…
Sumber: www.virologi.info
Review penelitian: Warnet Masih Menjadi Pilihan Utama
Jakarta- 20 Maret 2009 - Yahoo! dan TNS mengeluarkan hasil studi tentang kebiasaan pengguna internet di perkotaan Indonesia. Survey untuk studi ini dilakukan pada 2000 orang yang termasuk dalam General Media dan 1021 orang yang termasuk dalam Internet Media. Metodologi yang digunakan adalah dengan cara wawancara tiap orang door-to-door.Ada beberapa kesimpulan dari hasil survey yang dipaparkan oleh Suresh Subramanuian, Deputy Managing Director TNS Indonesia. Salah satunya adalah warnet (warung internet), ternyata masih menjadi pilihan bagi orang-orang untuk mengakses internet, walaupun di Indonesia sendiri sedang menjamur berbagai gadget, seperti PDA atau Blackberry. Dengan sebaran hampir di seluruh daerah di Indonesia, warnet menjadi tempat yang dapat dikunjungi kapan saja, apalagi banyak tempat yang memiliki jam operasi selama 24 jam sehari dan 7 hari dalam seminggu.
Penggunaan internet didorong atas empat faktor, yaitu pencarian informasi (koran online, menggunakan feature Search pada Yahoo!), komunikasi (chat, email), entertainment (game online, download atau upload file musik), dan juga transaksi bisnis (transfer uang secara online).
Pengguna internet di Indonesia juga didominasi oleh pengguna dari segmen remaja, yaitu dari rentang umur 15-19 tahun dan lebih didominasi oleh kaum pria.
Berkembangnya website jejaring sosial di Indonesia saat ini tidak secara otomatis menjadikan aktivitas online tersebut pada peringkat pertama “Aktivitas online yang paling sering dilakukan”. Penggunaan e-mail bagi pengguna internet di Indonesia saat ini masih menjadi aktivitas yang paling sering dilakukan setelah instant messenger, sertajuga website jejaring sosial (Friendster atau Facebook).
Source: Yahoo Press Conference
Author: Deliusno
Sumber: www.chip.co.id
HAL - HAL ANEH SEPUTAR VIRUS BRONTOK
Hal-hal aneh seputar Brontok
Pencipta virus Brontok diduga dari Institut Teknologi Bandung (ITB), tapi ternyata tidak ada bukti mengenai hal itu kecuali mengenai laporan bahwa virus mulai menyebar di ITB. Virus ini mengupdate dirinya dari suatu situs di Internet, tapi anehnya hanya satu analisis yang menyebutkan hal tersebut. Padahal dengan mengetahui dari URL mana virus itu mengupdate dirinya, kita bisa melakukan hal berikut:
Melacak siapa pemilik situs itu, dan dalam kasus web site gratisan, pihak-pihak tertentu (administrator ISP, dll) bisa diminta untuk melacak orang yang mendaftarkan situs tersebut atau mengakses situs tersebut kali pertama (kemungkinan besar sang pembuat virus).
Administrator bisa memblok URL update virus di level proxy atau firewall.
Dengan melihat log, administrator bisa melacak komputer mana yang terinfeksi Brontok.
Satu-satunya analisis lokal yang menyebutkan bahwa virus mengupdate dirinya berasal dari sebuah perusahaan antivirus lokal yang menjalin kerja sama dengan sebuah perusahaan antivirus luar negeri. Tapi anehnya meski perusahaan tersebut mengetahui bahwa virus tersebut mengupdate dirinya, dia tidak menyebutkan URL updatenya, meski sudah saya tanya pribadi melalui email. Apakah perusahaan tersebut tidak tahu URLnya? (kurang pandai dalam menganalisis virusnya) ataukah mereka sengaja membiarkan agar virus berkesempatan mengupdate dirinya dan perusahaannya mendapatkan untung? (kedua kemungkinan tersebut sama mengkhawatirkannya).
Virus ternyata tidak hanya bisa mengupdate dirinya, tapi juga mendownload daftar file yang perlu dihapus sebelum proses update dilakukan, artinya virus yang tadinya hanya dianggap mengesalkan ini ternyata bisa berbahaya juga. Dan sebenarnya file update virus ini bisa saja bukan berisi virus baru, tapi berisi kode untuk memformat komputer Anda.
Virus versi awal hanya menyerang situs 17tahun.com dan israel.gov.il, tapi lama-lama mulai menyerang situs lain, seperti www.kaskus.com, dan bahkan situs pribadi (blog) seperti fajarweb.com, adakah dendam pribadi oleh pembuat virus ini pada orang tertentu?
Pembuat virus mencantumkan kata-kata ini di virusnya:
!!! Akan Kubuat Mereka (VM lokal yg cengeng & bodoh) Terkapar !!!
Dan di versi Brontok terbaru, ternyata dia berusaha menghapus virus lokal seperti dekil/decoy, kumis, fawn, kangen, dan riyani_jangkaru (pengetahuan saya mengenai virus lokal agak minim, jadi dafar ini hanya yang saya ketahui). Penghapusan sebagian virus lokal cukup menyeluruh, dengan membunuh task virus, menghapus file virus, dan bahkan menormalkan atribut file dokumen yang dibuat menjadi hidden oleh virus lain (tapi pembersihan registry yang diubah virus lain tidak dilakukan).
Artikel ini akan saya buat seobjektif mungkin, dengan analisis yang dalam dan akurat. Artikel ini sekaligus dapat menjadi koreksi bagi informasi analisis Brontok di situs lain yang isinya kadang tidak akurat.
Fakta dan catatan
Beberapa pernyataan dalam artikel ini mungkin akan menimbulkan prasangka tertentu, oleh karena itu saya ingin memberitahukan beberapa fakta mengenai diri saya:
Saat ini saya bukan pengguna Windows lagi meskipun saya masih punya satu partisi Windows yang saya gunakan untuk keperluan seperti ini (analisis virus, dan mencoba-coba program Windows). Saya tidak menyimpan data di Windows, jadi eksperimen semacam ini cukup aman bagi saya. Sehari-hari saya memakai Mac OS X di iBook G4, dan GNU/Linux (Fedora Core 4) di AMD64. Karena bukan pengguna Windows, mungkin pengetahuan saya sedikit tertinggal dalam hal aplikasi-aplikasi yang ada di Windows, tapi pengetahuan teknis low level Windows selalu saya update.
Saat ini saya tidak bekerja di bisnis security ataupun memiliki bisnis yang berhubungan dengan security. Segala macam pernyataan saya terhadap entitas bisnis lain tidak dimaksudkan untuk menguntungkan diri saya. Pekerjaan saya adalah teaching assistant di Jurusan Teknik Informatika Sekolah Tinggi Elektro dan Informatika (dulu bagian dari Fakultas Teknologi Industri) Institut Teknologi Bandung.
Saya bukan cracker, saya bukan orang-orang dari kelompok pembuat virus baik kelompok luar negeri maupun Indonesia.
Saya hanya memiliki Brontok versi lama (contoh Brontok diambil dari salah satu lab di ITB), dan versi terbaru (contoh Brontok diambil dari Universitas Negeri Jakarta/UNJ), versi di antaranya saya tidak punya.
Saya tidak mencantumkan URL aneka tools yang saya pakai, karena URL untuk tools yang dapat membantu proses cracking biasanya selalu berpindah, gunakan Google untuk mencari tools-tools yang saya sebutkan.
Saya tidak membuatkan antivirus untuk Brontok ini, silakan Anda gunakan antivirus yang sudah ada (saya tidak ingin bersusah payah mengupdate antivirus terhadap Brontok yang selalu diupdate, banyak antibrontok yang ada di Internet sudah tidak bisa lagi mendeteksi, menghapus, atau menangani Brontok versi yang baru). Antivirus yang ada di pasaran dengan update terbaru seharusnya sudah cukup. Namun jika Brontok ini makin sulit diberantas, saya akan membuatkan antivirus khusus untuk Brontok. Namun saya memberikan langkah pembersihan Brontok manual yang generik untuk berbagai versi Brontok saat ini.
Bagaimana analisis virus dilakukan?
Ada tiga cara untuk menganalisis virus, pertama dengan cara black box, yaitu melihat perilaku virus di sebuah lingkungan tertentu, menganalisis isi virus dengan disassembly, dan yang ketiga adalah dengan melihat jalannya virus dengan debugger. Sayangnya kebanyakan orang hanya bisa melakukan analisis cara pertama dan sedikit cara kedua, namun tidak menyeluruh.
Black box analysis
Beberapa program tersedia untuk melihat perbedaan state komputer sebelum dan sesudah program sesuatu dijalankan (termasuk juga sebelum dan sesudah virus dijalankan). Saya tidak terlalu percaya dengan program semacam ini, tapi program semacam ini bisa menunjukkan file-file apa saja yang dibuat virus, dan perubahan registry apa yang dilakukan oleh virus.
Cara ini mudah namun tidak ampuh, karena mungkin saja virus berperilaku aneh setiap hari Rabu sementara Anda mengetes di hari Selasa. Mungkin juga program yang dipakai untuk mencatat state sistem tidak sempurna sehingga ada perubahan yang tidak tercatat, dan ada kemungkinan virus tersisa setelah proses analisis selesai. Jika virus cukup canggih dan bisa mendeteksi adanya program pemonitor, virus bisa bertingkah laku berbeda dari keadaannya yang biasa.
Disassembly dan atau dekompilasi
Program dalam bahasa tertentu (biasanya yang dikompilasi dan diinterpretasi sekaligus, misalnya Java atau C#) bisa didekompilasi dengan mudah, artinya "bahasa mesin" yang ada pada file exe bisa dikembalikan menjadi source code, tapi program dalam bahasa lain tidak bisa dikembalikan menjadi source code, hanya bisa menjadi bahasa assembly.
Bahasa assembly sifatnya sangat low level (sangat dekat dengan mesin) sehingga sulit dimengerti kecuali dengan kesabaran dan banyak latihan (biasanya dengan bantuan debugger juga). Tidak banyak orang yang mau dan bisa melakukan hal tersebut, tapi itulah yang setiap hari dilakukan cracker untuk membuat serial number generator, dan mengcrack aneka program (program bajakan yang dipakai oleh banyak orang sekarang adalah karya cracker).
Melihat jalannya virus dengan debugger
Debugger bisa digunakan untuk menjalankan virus dalam lingkungan yang dapat dimonitor. Alur eksekusi, termasuk enkripsi virus bisa dipelajari dengan mudah. Penganalisis harus berhati-hati karena virus bisa saja menggunakan teknik antidebug, atau berjalan tidak terkendali. Biasanya teknik analisis ini digabung dengan disassembly.
Pendekatan analisis Brontok
Bagian ini sangat teknis dan boleh di-skip.
Saya tidak melakukan black box analysis (karena sudah terlalu banyak orang yang melakukannya dengan kesimpulan yang agak ngawur), tapi langsung men-disassemble Brontok. Brontok versi pertama dikompilasi menjadi p-code (semacam bytecode pada Java) dan cukup mudah dimengerti. Versi Brontok yang baru menggunakan native code, sehingga lebih sulit dianalisis. Analisis versi pertama tidak akan dibahas.
Sebelum saya menjelaskan proses analisis, saya perlu memberitahukan bahwa telah menyalin brontok menjadi beberapa nama yang berbeda sebelum diproses (debug, disassemble, dll) oleh program yang berbeda. Tujuan penyalinan adalah agar aman bagi saya (jangan sampai tidak sengaja menjalankan file exe), dan aman dari kesalahan program yang mungkin mengubah salinan Brontok yang saya miliki.
File EXE Brontok dienkripsi dengan program MeW sehingga harus didekrip/ekstrak menggunakan UnMeW, tapi ini menyebabkan struktur file berubah dan menyebabkan program untuk menganalisis executable Visual Basic, misalnya Race, tidak bisa mengenali lagi bahwa itu adalah file VB. Untungnya salah satu tools untuk membantu menganalisis file VB yang bernama VBDE masih bisa mengekstrak sedikit informasi dari file tersebut .Karena file menggunakan native code, disassembler terbaik adalah IDA Pro (saya pakai versi freeware), dengan IDA Pro saya bisa melihat cukup banyak hal di Brontok. Tapi sayangnya IDA Pro tidak bisa melihat VTABLE Visual Basic (tabel method, ini sangat penting dalam kode program yang dikompilasi dari suatu bahasa yang menggunakan objek), dan satu-satunya cara termudah adalah menjalankan Brontok.
Pertama sebelum Brontok dijalankan, binary Brontok perlu diedit untuk menonaktifkan timer (waktunya diset menjadi 0 agar timer tidak pernah dieksekusi). Pengeditan ini dilakukan dengan mengunakan Hex Editor (saya memakai Hexplorer yang gratis), dan hal ini memerlukan sedikit coba-coba sampai berhasil. Bagian utama Brontok ada di timer, sehingga dengan menonaktifkan timer, Brontok bisa dianalisis dengan aman (tapi tetap berbahaya).Isi file Brontok, terlihat ada beberapa string yang dienkripsi dan yang tidak dienkripsi dalam Brontok.
Untuk mendebug, debugger yang saya pakai adalah OllyDbg, debugger ini cukup canggih dan nyaman dipakai dibanding WinDBG dari Microsoft (dan sama dengan WinDBG, program ini gratis). Dengan mencocokkan listing IDAPro dengan OllyDbg saya bisa memahami Brontok dengan cukup mudah.Langkah terakhir adalah dengan merekonstruksi sebagian source code Brontok menggunakan VB, hal ini dilakukan untuk melihat apakah pemahaman saya sudah benar. Jika hasil disassembly dari file VB yang sudah saya buat sama dengan disassembly Brontok, maka berarti pemahaman saya sudah benar.
VB memiliki error handling "On Error Resume Next" yang sangat membantu pemahaman hasil disassembly. Error handling tersebut berarti jika terjadi error maka pergilah ke baris berikutnya. Nah komputer perlu tahu di mana lokasi baris berikutnya yang harus dieksekusi jika ada error, sehingga informasi tersebut disimpan di executable file. Dengan berbekal nomor baris itu, saya bisa merekonstruksi dengan cukup tepat sampai ke level baris kode.
Karakteristik Brontok
Saya tidak akan memberikan penjelasan panjang lebar mengenai karakteristik Brontok, karena bagian ini sudah dibahas di banyak situs. Secara singkat, karakteristik Brontok adalah:
Brontok menggunakan ikon folder standar Windows, Anda yang memakai theme aneh/nonstandar akan melihat keanehan ikon ini.
Brontok membuat banyak perubahan di registry agar sulit dibersihkan (menonaktifkan registry editor, menghilangkan menu folder options, dll). Tepatnya, Brontok melakukan perubahan pada nilai di subkey:
HKCU\software\microsoft\windows\currentversion\run
Nilai Tok-Cirrhatus menjadi path ke Brontok.
Nilai Tok-Cirrhatus-XXX (xxx adalah acak) menjadi path ke Brontok yang namanya juga acak.
HKLM\software\microsoft\windows\currentversion\run
Nilai Bron-Spizaetus menjadi path ke Brontok.
Nilai Bron-Spizaetus-xxx (xxx adalah acak) menjadi path ke Brontok.
HKCU\software\microsoft\windows\currentversion\Policies\Explorer\
Nilai NoFolderOptions menjadi 1.
HKCU\software\microsoft\windows\currentversion\Policies\System\
Nilai DisableCMD menjadi 0.
Nilai DisableRegistryTools menjadi 1.
HKCU\software\microsoft\windows\currentversion\explorer\advanced
Nilai Hidden menjadi 0.
Nilai HideFileExt menjadi 1.
Nilai ShowSuperHidden menjadi 0.
SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Nilai Shell menjadi Explorer.exe "c:\windows\sembako-xxx.exe". (xxx adalah acak)
SYSTEM\CurrentControlSet\Control\SafeBoot\
Nilai AlternateShell menjadi cmd-bro-xxx.exe (xxx adalah acak). Perhatian: ternyata Windows akan secara otomatis menyalin isi semua key di HKLM, SYSTEM\CurrentContolSet\Control\SafeBoot ke HKLM, SYSTEM\ContolSet00X\Control\SafeBoot X (dari 1-2) jika proses restart dilakukan dengan sukses (atau jika komputer dimatikan lalu komputer dinyalakan lagi).
Brontok mengotori banyak direktori dengan salinan dirinya.
Brontok menimpa autoexec.bat dengan satu baris "pause", mungkin maksudnya menghentikan antivirus yang berjalan di mode DOS yang dijalankan dengan autoexec.bat.
Brontok membuat banyak item startup agar dijalankan ketika komputer dimulai (di start menu dan di aneka tempat di registry). Hal ini berlaku juga dalam safe mode (Perhatian perhatian, yang benar adalah "SAFE MODE" bukan "SAVEMODE").
Brontok mengupdate dirinya sendiri dari URL tertentu, tepatnya Brontok ini mendownload file exe dari situs tertentu dan mengeksekusinya (bisa saja isinya bukan update brontok, tapi kode untuk memformat seluruh isi komputer). Pembahasan ada di bagian berikutnya di artikel ini.
Brontok menggunakan enkripsi untuk menyembunyikan string-string dalam dirinya. Enkripsi Brontok juga dibahas pada artikel ini.
Brontok mengirimkan dirinya ke alamat email yang ditemukannya, jika alamat tersebut tidak mengandung string berikut (artinya brontok tidak akan mengirimkan dirinya ke Microsoft, perusahaan antivirus, dll): SECURE,SUPPORT,MASTER,MICROSOFT,VIRUS,HACK,CRACK,LINUX,AVG,GRISOFT,CILLIN,SECURITY, SYMANTEC,ASSOCIATE,VAKSIN,NORTON,NORMAN,PANDA,SOFT,SPAM,BLAH, .VBS,DOMAIN,HIDDEN,DEMO,DEVELOP,FOO@,KOMPUTER,SENIOR,DARK,BLACK,BLEEP,FEEDBACK, IBM.,INTEL.,MACRO,ADOBE,FUCK,RECIPIENT,SERVER,PROXY,ZEND,ZDNET, CNET,DOWNLOAD,HP.,XEROX,CANON,SERVICE,ARCHIEVE,NETSCAPE,MOZILLA,OPERA,NOVELL,NEW LOTUS,MICRO,TREND,SIEMENS,FUJITSU,NOKIA,W3.,NVIDIA,APACHE,MYSQL,POSTGRE,SUN.,GOO GLE,SPERSKY,ZOMBIE,ADMIN,AVIRA,AVAST,TRUST,ESAVE,ESAFE,PROTECT, ALADDIN,ALERT,BUILDER,DATABASE,AHNLAB,PROLAND,ESCAN,HAURI,NOD32,SYBARI,ANTIGEN,R OBOT,ALWIL,BROWSE,COMPUSE,COMPUTE,SECUN,SPYW,REGIST,FREE,BUG,MATH, LAB,IEEE,KDE,TRACK,INFORMA,FUJI,@MAC,SLACK,REDHA,SUSE,BUNTU,XANDROS,@ABC,@123,LO OKSMART,SYNDICAT,ELEKTRO,ELECTRO,NASA,LUCENT,TELECOM,STUDIO,SIERRA,USERNAME,IPTE K,CLICK,SALES,PROMO,.CA.COM Ada sedikit perbedaan pada email jika email dikirim ke alamat dengan substring berikut ("alamat indonesia"): PLASA;TELKOM;INDO;.CO.ID;.GO.ID;.MIL.ID;.SCH.ID;.NET.ID;.OR.ID; .AC.ID;.WEB.ID;.WAR.NET.ID;ASTAGA;GAUL;BOLEH;EMAILKU;SATU. Perbedaannya pada asal pengirim, jika untuk tujuan Indonesia pengirimnya menjadi @boleh.com sedangkan kalau non "alamat Indonesia" pengirimnya menjadi @friendster.com (pada versi awal Brontok, untuk Indonesia memakai @kafegaul.com dan untuk alamat non Indonesia memakai alamat @pornstargals.com). (bodohnya isi emailnya tetap sama, dan memakai Bahasa Indonesia padahal isinya didownload dari Internet). Perhatian: banyak analisis salah yang menyatakan bahwa Brontok tidak mengirimkan dirinya ke alamat email di Indonesia.
Brontok berusaha mendapatkan alamat email korban dengan melakukan parsing terhadap file HTML, .HTM,.TXT, .EML, .WAB, dan .PHP yang ditemuinya (Brontok mencari semua string xxx@yyy.zzz dalam file).
Brontok melakukan koneksi SMTP langsung ketika mengirim email, tapi tidak menggunakan MX record (Mail eXchanger Record) DNS suatu domain. Jika Brontok mengirim ke alamat @yahoo.com, dia akan mencoba memakai SMTP server mta237.mail.re2.yahoo.com, sedangkan jika ke domain lain Brontok mencari MX/Server SMTP dengan menambah prefix smtp., mail. atau ns1. pada domain mail.
Brontok Membuat file yang isinya agar semua orang menghentikan kejahatan (bla bla bla, silakan baca di situs lain jika Anda penasaran dengan isinya).
Brontok merestart komputer ketika program tertentu aktif. Pengecekan program dilakukan dengan melihat teks Window program terhadap string: REGISTRY,SYSTEM CONFIGURATION,COMMAND PROMPT,.EXE,SHUT DOWN,SCRIPT HOST,LOG OFF WINDOWS,KILLBOX,TASK, dua string terakhir baru ditambahkan untuk mengantisipasi program yang dapat membunuh task Brontok, misalnya program HijakThis.
Brontok menjadwalkan dirinya agar dijalankan di jam tertentu. Versi awal brontok menjadwalkan dirinya hanya pada jam 17:08, tapi versi baru juga menjadwalkan eksekusi pada jam 11:03 (keduanya dijadwalkan setiap hari).
Brontok berusaha mengakses share di jaringan lokal dan menginfeksinya juga.
Brontok memiliki string: By: HVM31 -- Jowobot #VM Community -- (Perhatikan kata VM/Virus Maker community ini, mungkin saja HVM31 itu punya teman yang tahu tentang ini).
Brontok versi lama menyerang (maksudnya ingin melakukan DDOS/Distributed Denial of Service attack) situs 17tahun.com dan israel.gov.il dengan ping, sedangkan versi baru menggunakan HTTP Get untuk menyerang www.17tahun.com, www.kaskus.com, dan www.fajarweb.com.
Brontok membuat counter di situs debuging.com, URLnya: http://debuging.com/WS1/cgi/x.cgi?NAVG=Tracker&username=%64%65%6C%62%65%6C%62%72%6F (usernamenya adalah delbelbro). Saya belum mengontak pemilik situs tersebut. Counter dinaikkan nilainya setiap selesai menyerang situs yang ada di daftarnya (www.17tahun.com, www.kaskus.com, dan www.fajarweb.com).
Brontok membuat file sistem.sys di direktori %windir%/system32/sistem.sis yang isinya adalah kode waktu saat brontok aktif kali pertama. Kode ini terdiri atas 2 digit bulan, 2 digit tanggal, 2 digit jam dan 2 digit menit. Misal: 01122245 berarti Brontok aktif kali pertama pada 01 = Januari, 17 = tanggal 17, 22 = jam 1 malamm, 45 = menit ke 45. File ini juga dicopykan ke direktori \Documents and Settings\Username\Application Data\ dengan nama file BronMes*.ini (bagian * bisa bervariasi).
Brontok akan berusaha membunuh paksa beberapa proses (proses adalah program yang berjalan) dengan command taskkill /f /im namaproses. Proses yang dibunuh meliputi virus/worm lokal lain, dan sepertinya beberapa antivirus. Tepatnya proses yang dibunuh adalah mcvsescn.exe;poproxy.exe;avgemc.exe;ccapps.exe;tskmgr.exe;syslove.exe; xpshare.exe;riyani_jangkaru.exe;systray.exe;ashmaisv.exe; aswupdsv.exe;nvcoas.exe;cclaw.exe;njeeves.exe;nipsvc.exe;dkernel.exe; iexplorer.exe;lexplorer.exe.
Brontok akan mengubah atribut file MSVBVM60.DLL yang ada di direktori sistem Windows. Atribut file akan diubah menjadi hidden, system, dan read only. Tujuan langkah ini adalah agar lebih sulit menghapus file msvbvm60.dll dari mode DOS seperti yang dibahas dalam beberapa website.
Brontok akan mendownload file dari sebuah URL acak (lihat bagian update Brontok) dan berusaha menimpa file %windir%\system32\drivers\etc\hosts dengan file yang didownloadnya.
Jika Brontok menemui file .DOC, .PDF .XLS, dan .PPT maka attributnya akan dikembalikan ke normal, sifat ini sepertinya dilakukan untuk mengembalikan dokumen yang disembunyikan (dijadikan hidden) oleh virus lain.
Brontok berusaha menghapus file dengan substring "kangen", *RORO*.HTT, FOLDER.HTT. Jika ekstensi file adalah .EXE, maka Brontok juga akan menghapus file jika substring file memiliki nama .DOC.EXE;.DOC ;.XLS.EXE;. XLS ;PATAH;HATI; CERITA; LUCU;MOVZX;CINTA;UNTUKMU;DATA-TEMEN;RIYANI;JANGKARU;KANGEN;JROX; DIARY;DKERNEL;IEXPLORER;LEXPLORER;ADULTONLY;ASIAN;VIRTUAL GIRL;X-PHOTOS;BESTMODEL;GAME NUDE;HOT SCREEN;HOTBABE; NAKED ;MODEL VG;SEXY ;V-GIRL7;JAPANESEGIRL;PUISI (perhatikan bahwa Brontok tidak menghapus .DOC, tapi .DOC yang diikuti spasi dan dengan ekstensi .EXE, demikian juga halnya dengan .XLS).
Brontok juga menghapus file: C:\!submit\winword.exe, c:\submit\xpshare.exe,c:\windows\systray.exe, %windir%\systray.exe, %win
DOWNLOAD EVERYTHING HERE...
Click the picture to download !
click the picture to try !
Click the picture to try !
