Sebagian besar dari kita tentu tidak asing dengan istilah chatting, bahkan chatting dengan menggunakan kamera dari komputer sehingga masing-masing lawan bicara bisa saling melihat. Medianya dengan menggunakan aplikasi Instant Messaging (IM) baik Skype, Yahoo Messenger, maupun Microsoft Live Messenger. Baru-baru ini salah satu varian worm terbaru berhasil dideteksi dan memaksa Microsoft untuk sementara menghentikan active links-nya di Live Messenger 2009 karena terserang worm Win32/Slenfbot.AKD http://windowsteamblog.com/windows_live/b/windowslive/archive/2010/11/12/security-alert-active-links-in-messenger-2009-temporarily-turned-off-to-prevent-a-malicious-worm.aspx
Worm tersebut juga terdeteksi oleh ESET Threat Centre, dan dikenal sebagai Win32/Yimfoca.AA. Tindakan suspend terhadap active links pada Live Messenger 2009 diambil untuk mencegah meluasnya penyebaran worm yang tergolong aktif tersebut.
Worm Win32/Slenfbot.AKD atau Win32/Yimfoca.AA juga menyerang situs jejaring sosial dengan facebook sebagai korbannya. Pada facebook, worm ini menyebar melalui link websites yang ternyata berisi malware. Worm ini dikategorikan sebagai berbahaya oleh Microsoft Malware Protection Center. ESET Thread Center menyatakan worm tersebut mampu mencuri data nama atau identitas komputer, OS yang digunakan oleh komputer korban termasuk versinya, dan mengirimkannya ke komputer lain secara remote.
Pierre Marc Bureau, salah seorang peneliti senior di ESET Threat Centre menyampaikan bahwa Modus operandi dari worm tersebut terbilang sederhana yaitu:
Pertama, korban menerima pesan yang berisi sebuah hyperlink seakan berasal dari salah satu rekan korban.
Kedua, ketika si korban membuka hyperlink tersebut, akan muncul video player palsu dan sebuah pop-up yang meminta korban menginstall update Flash Player. Sebenarnya file tersebut juga membawa worm versi terbaru. Jadi hyperlink tersebut hanya sebagai alat untuk masuk saja untuk menginstall malware kedalam komputer korban.
Ketiga, komputer akan terinfeksi sesaat setelah file tersebut dijalankan di komputer
Mekanisme seperti ini adalah cara yang efektif bagi malware untuk masuk, menyebar dan tetap aktif. Seiring waktu berjalan, pihak-pihak penyebar malware akan memperbaiki tekniknya untuk merayu calon korban agar mau berkunjung ke hyperlink-nya yang sebenarnya berisi malware. Worm jenis ini akan menunggu sampai korban melakukan chatting dengan seseorang. Selanjutnya, yang terjadi adalah sesuai dengan modus operandi tersebut. Worm ini juga bisa di lokalisir berdasarkan wilayah geografis, tujuannya adalah untuk membatasi penyebaran hanya di wilayah yang menggunakan bahasa tertentu saja atau agar dapat bekomunikasi dalam bahasa yang digunakan di wilayah itu. Cara seperti ini terbilang maju, karena dapat membuat malware terlihat tidak terlalu mencurigakan dan dapat menipu para user yang berhati-hati sekalipun.
Salah satu worm aktif yang memiliki teknologi tersebut adalah worm varian dari Mariposa botnet, atau yang dikenal dengan Butterfly. Ada beberapa nama lain untuk varian-varian dari Mariposa botnet yang berhasi dideteksi oleh ESET Threat Center Malware Lab diantaranya adalah Win32/Bflient, Win32/Peerfrag, Win32/Palevo, and Win32/Rimecud. Yang mengejutkan adalah hingga saat inipun Butterfly masih bergetayangan meski orang yang dicurigai sebagai pembuatnya sudah ditahan oleh kepolisian Slovenia, dan Mariposa botnet telah dilemahkan. Pada kenyataannya, bulan Oktober, Win32/Bflient.K justeru menempati urutan 8 dalam daftar top 10 malware sedunia, seperti dilaporkan oleh ESET Threat Center.
Pada bagian lain, Pierre Marc Bureau dari ESET menyampaikan “Apakah ini adalah penyebaran worm Butterfly yang mengakibatkan Microsoft memblok active links pada Microsoft Live Messenger 2009?” Bisa jadi. Tetapi satu hal yang penting adalah teknologi memblok link perlu segera diintegrasikan ke dalam IM clients, karena penyebar malware akan terus memanfaatkan hyperlink sebagai perantara dan kemudian menginfeksi korban-korban lain setiap harinya.
