Karena itu virus-virus yang memanfaatkan kepopuleran Facebook mulai bermunculan. Sebut saja Koobface yang walaupun penyebarannya tidak terlalu tinggi sudah menjadi indikasi bahwa Facebook mulai “diperhitungkan” oleh para kriminal internet untuk menjadi sarana mencapai tujuannya.
Kenapa disebut virus Facebook? Karena mempunyai ciri di mana virus ini akan mengincar korban para pengguna internet khususnya bagi mereka yang mempunyai account Facebook, dengan dalih untuk keamanan saat ber-Facebook-ria mereka (pembuat virus) mengirimkan sebuah email yang akan datang seolah-olah dari “Admin Facebook” yang attachment untuk mereset password Facebook yang telah ada sebelumnya, karena datangnya dari admin Facebook maka sudah tentu mereka akan mempercayai email tersebut (daripada account Facebooknya di blokir ), alhasil bukannya Facebook anda aman tetapi komputer anda akan dijadikan sebagai server zombie untuk menyebarkan spam ke alamat yang ia dapat dan menyebarkan dirinya dengan mengirimkan email yang seolah-olah berasal dari “Admin Facebook” dengan menyertakan sebuah attachment yang mengandung virus. Jadi harap berhati-hati, tetap pantau perkembangan virus dan tetaplah ber-facebook-ria.... asal tidak menggangu pekerjaan
Apakah cukup sampai di situ?, ternyata tidak .. ibarat pribahasa “sudah jatuh tertimpa tangga ……. di gigit anjing lagi”, ternyata ia juga akan mendownload scareware / antivirus palsu yang menyamarkan dirinya sebagai antispyware dengan nama “Security Tools” yang akan terinstall secara otomatis ke dalam system komputer yang telah terinfeksi.
Antispyware palsu ini akan menampilkan peringatan palsu juga seolah-olah system anda sudah terinfeksi virus dengan menampilkan sederetan nama-nama virus / trojan serem yang berhasil dideteksi (tetapi sebenarnya file/virus tersebut tidak ada), jika user mencoba untuk melakukan aksi pembersihan dengan menggunakan software palsu tersebut maka ia akan menampilkan layar agar user melakukan pembelian software tersebut, jika muncul hal ini sebaiknya Anda abaikan saja karena anda tidak akan mendapatkan software antispyware tersebut.
Security Tools, spyware yang menyamar sebagai program Antispyware
Email yang dikirimkan oleh virus Facebook ini akan mempunyai ciri-ciri berikut:
File yang di sertakan dalam email tersebut mempunyai ukuran sekitar 24 KB (ZIP) atau 30 KB (exe), file dalam bentuk exe akan mempunyai icon MS.Excel dengan type file sebagai “Application”
File induk virus
Dengan update terbaru Norman Security Suite mendeteksi virus tersebut sebagai W32/Obfuscated.D2!genr sedangkan untuk file [reader_s.exe] dikenali sebagai W32/Pandex.YE. Dengan teknologi Sanbox Norman Security Suite juga mengenali varian baru dari virus ini [possible new, unknown virus].
Jika file tersebut dijalankan ia akan membuat beberapa file induk yang akan di jalankan pertama kali pada saat komputer dinyalakan:
* C:\Documents and Settings\%user%\reader_s.exe
* C:\Documents and Settings\%user%\Start Menu\Programs\Startup\isqsys32.exe
* C:\WINDOWS\system32\reader_s.exe
* C:\Windows\system32\wbem\proquota.exe
* C:\windows\system32\sdra64.exe
* C:\Windows\system32\lowsec
* local.ds
* user.ds
* user.ds.lll
* C:\Documents and Settings\Elvina\Application Data\wiaservg.log
Registry
Virus ini tidak banyak bermain dengan registri karena tujuannya adalah untuk mendownload scareware yang “jika” berhasil dijalankan akan merubah segambreng regisrti, walaupun demikian ia akan tetap mencoba untuk melakukan perubahan pada registry khususnya agar file yang dibuat tersebut dapat dijalankan pertama kali saat komputer di nyalakan, yakni:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
reader_s = C:\Documents and Settings\Elvina\reader_s.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
reader_s = C:\Wincdows\system32\reader_s.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\system 32\sdra64.exe,
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System
EnableProfileQuota =1
HKEY_LOCAL_MACHINE\SOFTWARE\AGProtect
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6}
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Explorer\{8FFA689D-2C2B-2B2E-D865-74C04CA4EF06}
Download Trojan/spyware
Virus ini akan mencoba untuk melakukan koneksi ke beberapa alamat yang telah ditentukan dengan tujuan untuk mendownload trojan/spyware lain yang kemudian akan dijalankan secara otomatis, file yang berhasil di download akan di simpan di direktori berikut:
* C:\Windows\temp
* Wp%xxx%.exe (xxx ini berbeda-beda, contohnya wpv271256600826.exe)
* _ex-08.exe
* C:\Documents and Settings\Elvina\Local Settings\Temp\*.tmp
* C:\Documents and Settings\All Users\Application Data\47543326\ 47543326.exe
Berikut beberapa alamat server yang akan dituju oleh virus tersebut
* 202.39.17.53
* 217.23.7.162
* 95.211.27.211
* 202.169.46.56
Ia juga akan mencoba untuk melakukan koneksi ke beberapa web server berikut:
* http://mmsfoundsystem.ru/public/cont...15&rnd=8520045
* http://hostvegass.ru/cman/receiver/online
* http://wapdodoit.ru/mn/base.cfg
* http://www.whatsmyipaddress.com
Ia juga akan melakukan DNS query ke sejumlah alamat MX domain yang ditentukan. (dikutip dari groups di facebook)
