Kaleidoskop Malware 2005
Meskipun virus W32/Tabaru mencapai puncak penyebarannya pada pertengahan tahun 2005, ternyata pembuatnya manORblack mulai menyebarkannya akhir Desember 2004 dan tidak lupa memberikan ucapan selamat tahun baru pada korbannya yang tertarik pada file .JPG Riyani Jangkaru (lihat gambar 1)
Gambar 1, Virus W32/Tabaru.A yang merekayasa dirinya seakan-akan sebagai file JPG Riyanni Djangkaru
Yang telah direkayasa sedemikian rupa dimana jika file tersebut dijalankan secara otomatis akan mengaktifkan virus Tabaru tersebut menginfeksi komputer korbannya. Virus Tabaru ternyata hanya puncak gunung es dari serbuan virus lokal yang seakan berlomba menampilkan eksistensi dirinya dan terkadang atmosfir persaingan programmer antar daerah di Indonesia tercium kental. Diawali oleh Pesin yang berasal dari Sumatera, Sulawesi menantang dengan meluncurkan Tabaru dan “tentunya” kakak sulung Jawa tidak mau kalah dengan meluncurkan Kumis dan terakhir malah menggemparkan pengguna internet Indonesia sampai hari ini dengan keluarnya Rontokbro yang merontokkan ribuan komputer diseluruh Indonesia, baik yang menggunakan antivirus terupdate maupun tidak.
Serangan virus dibulan Januari 2005 masih didominasi oleh sisa-sisa pertarungan Perang Dunia Virus 2004 antara Netsky dengan Bagle (yang berakhir dengan tertangkapnya pembuat Netsky, remaja Jerman 16 tahun Sven Jaschan yang akhirnya harus mendekam di “Hotel Prodeo”) dimana pada akhir Januari 2005 Bagle.AV menyebar dengan cepat dan pada saat itu para vendor antivirus sudah kebingungan (tidak kompak) memberi nama pada varian baru ini karena terlalu banyaknya varian yang ditelurkan oleh Bagle. Sebagai informasi, vendor antivirus memberi nama pada varian virus menggunakan Abjad, varian virus ke 8 akan diberi akhiran “H”, e.g. W32/Klez.H merupakan varian virus Klez ke 8.
Hal penting yang terjadi pada bulan Januari 2005 adalah insiden Spyware mengalahkan insiden virus tipis dengan perbandingan 52 % : 48 % yang berlanjut sampai bulan Februari dengan perbandingan 59 % : 41 %. Satu ciri khas statistik virus adalah dominasi persentase penyebaran tertinggi hanya oleh beberapa jenis virus saja seperti Netsky dan Gaobot (peringkat 1 dan 2) yang memberikan kontribusi > 50 % dari total insiden virus, berbeda dengan Spyware yang kontribusi insidennya tidak didominasi oleh beberapa spyware tetapi penyebarannya merata dan tidak jomplang.
Bulan Maret 2005 ditandai dengan meluasnya jangkauan virus yang mulai menyerang MSN Messenger, Kelvir dan Sumom. April 2005 Vaksincom mencatat munculnya virus Kangen yang menggunakan rekayasa sosial menggunakan (memalsukan) icon MS Word sebagai lambang dari file yang mengandung virus sehingga penerima virus yang umumnya berhati-hati dengan file eksekusi (seperti .exe, .com dst) tidak curiga karena ”biasanya” kalau mengklik file dengan icon MS Word akan membuka file tersebut di aplikasi pengetikan Microsoft Word. Selain itu, Kangen juga mengawali ”kebiasaan” pembuat virus lokal yang melakukan pemblokiran aplikasi Task Manager, MSConfig dan Regedit pada setiap aksinya. Hal ini diikuti oleh virus lokal lain dengan sangat cepat pada bulan-bulan berikutnya. Sampai kuartal ke tiga 2005 Kangen dapat dikatakan sebagai pemimpin virus lokal karena variannya terus bermunculan dan tidak ada virus lokal lain yang dapat menandingi Kangen dalam penyebarannya sampai munculnya Rontokbro yang mengganas dan sampai hari ini sudah mencapai varian AB.
Gambar 2, Virus Kangen yang akan menampilkan teks lagu Kangen milik band Dewa pada komputer korbannya
Bulan Mei 2005, Sober.O beraksi memanfaatkan gaung Piala Dunia 2006 dan menjanjikan hadiah tiket menonton piala dunia bagi penerimanya jika menjalankan lampiran email. Sedangkan dari sisi Spyware, Newdotnet diam-diam memanfaatkan keawaman pengguna komputer dimana ia menjual subdomain seakan-akan sebagai Top Level Domain dengan memodifikasi LSP (Layer Service Provider) sehingga subdomain Newdotnet akan terlihat seperti Top Level domain pada komputer yang telah dikuasainya. Newdotnet memanfaatkan Freeware untuk menyebarkan dirinya, seperti Go!Zilla (Download Accelerator), BearShare (P2P Sharing), Mp3.Com (Musik Digital MP3), iMesh (P2P Sharing), Babylon (Penterjemah Bahasa), Webshots (Screensaver Indah), gDivx (Multimedia Player), BikiniDesk (Screensaver, Wallpaper), RadLight (Multimedia Player), RealOne Player (Audio & Video Player), UK Software (Software Fax, Webcam), Cydoor / LingoWare (Online Advertising Software), Grokster (P2P Sharing), KaZaA (P2P Sharing), AudioGalaxy (P2P Sharing), Mindset Interactive / NetPalNow / FavoriteMan (memberikan penawaran barang murah). Karena itu, para penggemar freeware harus selalu berhati-hati jika menginstal program gratisan.
Sober.P kemudian dimanfaatkan oleh Neonazi untuk menyebarkan propaganda dan Vaksincom mendeteksi 4 IP milik ISP Indonesia menyebarkan propaganda NeoNazi tersebut (tentunya hal ini diluar keinginan ISP dan biasanya berasal dari pelanggan ISP yang terinfeksi virus dan menyebarkan dirinya menggunakan IP dari ISP langganannya).
22 Juni 2005, pembuat Kangen mengikuti jejak George Lucas yang mengeluarkan Revenge of Sith (Star Wars III) dengan menyebarkan varian Kangen yang ketiga W32/Kang.C dengan sasaran lebih memfokuskan pada Win XP dan Server 2003 dan menyampingkan Win 98.
Juli 2005, Pesona Riyanni Djangkaru membawa bencana bari pengguna komputer yang mengklik file virus yang direkayasa seakan-akan sebagai file gambar (JPG) pembawa acara populer Jejak Petualang, padahal kegiatan tersebut akan mengaktifkan virus Tabaru (Riyani Jangkaru) yang menurut catatan pembuatnya diciptakan awal tahun 2005 namun mulai dirasakan penyebarannya pertengahan tahun 2005.
Setelah bulan Juli 2005, dominasi penyebaran virus lokal dimulai. Tercatat W32/Kumis.A pembuat virus yang diilhami oleh ”dosennya yang berkumis” dan memalsukan dirinya sebagai folder dan mengakibatkan komputer restart tanpa mengeksploitasi celah keamanan seperti Sasser maupun Blaster. (lihat gambar 3)
Gambar 3, W32/Kumis.A memalsukan dirinya seakan-akan sebagai folder agar dijalankan oleh pengguna komputer
Agustus 2005, terjadi perang bot. Virus Zotob, Rbot dan Sdbot diserang oleh IRCbot dan Bozori dimana yang menjadi korbannya (layaknya pepatah Gajah Bertarung, Pelanduk Mati ditengah) adalah para pengguna komputer yang notabene tidak ada hubungan dengan kedua kubu pembuat virus ini. Bulan Agustus juga tercatat sebagai waktu tercepat munculnya eksploitasi pada celah keamanan celah keamanan MS 05-039 dimana hanya 7 hari setelah pengumuman celah keamanan tersebut langsung bermunculan belasan virus yang mengeksploitasi celah keamanan tersebut (Zotob, Rbot dkk).
Selain perang bot, pengguna internet Indonesia mulai diinfeksi oleh virus lokal yang terinspirasi oleh Elang Brontok, Rontokbro. Rontokbro tercatat sebagai virus lokal tersukses sampai hari ini dimana dua bulan setelah kemunculannya ia berhasil bertengger sebagai virus nomor 4 paling banyak menginfeksi komputer Indonesia. Seakan tidak bosan memecahkan rekor, Rontokbro malahan menjadi virus yang paling banyak menyebar di Indonesia pada bulan November 2005 mengalahkan semua virus top mancanegara seperti Netsky, Mytob, Funlove, Sober, Padodor, Bagle dan Korgo.
Seakan tidak mau kalah dari virus lokal lain, beberapa varian Rontokbro bahkan menjalankan aksinya membasmi virus lokal lain seperti Tabaru, Kangen dan Kumis yang dikhawatirkan akan mengundang serangan balasan virus lokal lain membasmi Ronrokbro dan yang menjadi korbannya kembali pengguna komputer Indonesia yang notabene tidak ada hubungannya dengan pertempuran ini.
Rahasia keberhasilan Rontokbro menyebar dengan sangat cepat adalah kecanggihan program, rekayasa sosial yang didukung dengan penyebaran varian yang sangat banyak. Vaksincom mencatat sampai bulan Desember 2005 Rontokbro sudah mencapai varian ke 28 (W32/Rontokbro.AB) dan bertambah terus. Rontokbro menggunakan beberapa teknik baru yang belum digunakan virus lokal lain seperti berusaha melakukan update dirinya ke internet, memanipulasi host file sehingga komputer korbannya tidak dapat mengakses situs keamanan tertentu seperti www.symantec.com, www.kaspersky.com dan www.vaksin.com dan tidak lupa seperti virus canggih lainnya ia akan berusaha menyebarkan dirinya (selain melalui file sharing dan USB drive) melalui email dengan menggunakan SMTP sendiri. Sebagai informasi, penyebaran melalui SMTP merupakan pintu gerbang menjadi jawara dunia dan jika teknik dan rekayasa yang digunakan tepat maka Rontokbro akan berhasil kembali memecahkan rekor ”jago kandang” yang selama ini masih disandang virus lokal J. Hal ini tidak mudah mengingat kendala bahasa dan budaya yang harus dipahami oleh pembuat virus. Kita lihat saja, apa yang akan dilakukan oleh Rontokbro ditahun 2006.
Vaksincom juga mencatat munculnya virus baru yang diilhami oleh penyanyi cantik dari negeri Jiran yang tidak kalah keren dengan Kangen dengan nama W32/Runitis pada bulan Desember 2005. Siapa penyanyi cantik tersebut ? Silahkan baca nama virus tersebut secara terbalik J. (AAT)..by : natztheone@gmail.com
