เว็บบอร์ดสนทนาภาษาปืน

 เครื่องติดไวรัส แต่สงสัยทำไมมันระบาดเร็วมากติดหมดทุกไดร์  คือในเครื่อง HDD 2 ตัว เป็น SATA ทั้ง 2 ตัว ตัวแรก 250 GB ตัวที่2 320 GB

จากรูปเป็นชื่อไฟล์เดียวกันหมดติดไปทุกไดร์ อาการตอนนี้คือ
 
เมื่อไปที่ Tools > Foders options

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm160556.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm160556.jpg)

ไปที่แท็บ View > คลิกเลือก Show hidden files andfolders  แล้วกด ตกลง

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm160615.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm160615.jpg)

ตอนนี้เครื่องน่าจะมองเห็นไฟล์ที่ซ่อนไว้ ( hidden files ) แต่ก็มองไม่เห็นกลับมาเป็นเหมือนเดิมคือเราเลือกคลิกที่แท็บ Show hidden files andfolders ไม่ได้ครับ


(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm155225.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm155225.jpg)

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm155248.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm155248.jpg)

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm155317.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm155317.jpg)

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm155341.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm155341.jpg)

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm155402.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm155402.jpg)

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm155422.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm155422.jpg) :'(

Start => Run =>typing "cmd"

แล้วก็ไปที่ไดรฟ์ที่ต้องการ  เช่นพิมพ์ c: แล้ว Enter

Typing "attrib -h [ชื่อโฟลเดอร์ที่หายไป]"

นี่แก้เบื้องต้นนะ วิธีการที่ดีกว่านี้ ยังนึกไม่ออกที

ที่จริง คนชื่อ"วัฒน์" น่าจะเก่งเรื่องพรรค์นี้นะ  ::008::

ถ้ามีเงื่อนไขอย่างที่น้าวัฒน์บอกวันก่อน น่ากลัวว่า ต้องถอดฮาร์ดดิสก์ ไปสแกนด้วยเครื่องอื่นแล้วแหละ

พอสแกนจบ ก็ต้องมารับมือกันความยับเยินที่ไวรัสทำไว้ให้อีก

จากที่ดูตัวสแกนบอกว่าเป็นเป็นโทรจัน  ลงหาตัวสแกนโทรจันมาลงดูครับ   ::014::


Malwarebytes Anti-Malware 1.44
http://www.filehippo.com/download_malwarebytes_anti_malware/ (http://www.filehippo.com/download_malwarebytes_anti_malware/)

SuperAntiSpyware 4.33.1000
http://www.downloaddd.com/security-software/1072-superantispyware-4.33.1000.html (http://www.downloaddd.com/security-software/1072-superantispyware-4.33.1000.html)

 ขอบคุณครับ ::014::
Malwarebytes Anti-Malware 1.44

นี้ผลที่ได้

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm172214.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm172214.jpg)

(http://sv1.img.uploadfile.biz/upload/2010_02/112i142i54i164date01022010pm172425.jpg) (http://sv1.img.uploadfile.biz/show.php?id=112i142i54i164date01022010pm172425.jpg)

                    แต่วัฒน์นี้ ..... ใน HDD มีแต่ภาพโป๊ะเต็มไปหมด ไวรัสจึงแพร่เชื้อเร็ว

เจอ ๕  ตัวเลยนะครับ  :D  

ต่อไปก็ป้องกันไวรัสข้าทางแฟลต์ไดร์ครับ  ;)

(http://www.thaiware.com/upload/Screenshot00000000000000009307.jpg)

http://www.thaiware.com/main/info.php?id=9307 (http://www.thaiware.com/main/info.php?id=9307)

Copy ไฟล์โปรแกรม (http://www.hulashare.com/images/5k1w1ic9ptouoast7jvs.jpg)ไปวางไว้ใน C:\Program Files     <<< ไม่ต้องใส่ใน Folder  ครับ  วางโปรแกรมลอย ๆ ไว้เลย  ;D

 :) ขออนุญาต คุณ.คุณพ่อตัวดี แจ้งเตือนเพื่อนสมาชิก เกี่ยวกับไวรัสตัวใหม่ที่แพร่กระจายอยู่ตอนนี้

ระวังหนอนไวรัสชื่อ Zimuse

รายละเอียดเวิร์ใ Win32.Worm.Zimuse.A
Virus Name: Win32.Worm.Zimuse.A
Aliases: Trojan.Startpage.G (Symantec), Trojan.Generic.1729691 (BitDefender), W32/Threat-SysVenFakP-based!Maximus (F-Prot)
Type of infiltration: Worm
Size: 195072 B
Affected platforms: Microsoft Windows

ผลกระทบ
Win32.Worm.Zimuse.A นั้นจะทำการเขียนข้อมูลของตัวมันเองลงทับ (Overwirte) ข้อมูล 50KB แรกของ MBR (Master Boot Record) ของทุกๆ ลอจิคัลไดรฟ์ในฮาร์ดดิสก์ทุกตัวที่ติดตั้งอยู่ในเครื่องคอมพิวเตอร์ ส่งผลให้ผู้ใช้ไม่สามารถเข้าถึงข้อมูลที่จัดเก็บในฮาร์ดดิสก์ได้

วิธีการแพร่ระบาด
Win32.Worm.Zimuse.A สามารถแพร่ระบาดได้ทางการดาวน์โหลดจากอินเทอร์เน็ตและผ่านสื่อเก็บข้อมูลแบบพกพา โดยมันจะแฝงตัวอยู่ในไฟล์บีบอัดที่สามารถรันได้ด้วยตัวเอง (PECompact) โดยจะหลอกผู้ใช้ว่าเป็นในโปรแกรมทดสอบไอคิว (IQ Test) ในกรณีที่วันและเวลาของระบบเป็นไปตามเงื่อนไขที่กำหนดไว้ เวิร์มก็จะทำการสำเนาตัวเองในชื่อไฟล์ zipsetup.exe มีขนาด 195072 B ลงใรรูทโฟลเดอร์ของไดรฟ์ A:\, B:\, C:\, D:\, E:\, F:\, G:\, H:\, I:\, J:\, K:\

การทำงาน
เมื่อผู้ใช้ทำการรันไฟล์ zipsetup.exe (ด้วยความเข้าใจว่าเป็นโปรแกรมธรรมดา) เวิร์มก็จะทำการสำเนาไฟล์ autorun.inf ลงเครื่องคอมพิวเตอร์ (ไดเร็กตอรี่ที่เก็บไฟล์ zipsetup.exe) จากนั้นจะทำการสำเนาตัวเองลงในโฟลเดอร์ระบบของวินโดวส์จำนวนระหว่าง 5-11 ไฟล์แล้วแต่กรณี ดังนี้

%system%\drivers\Mstart.sys (13100 B)
%system%\drivers\Mseu.sys (18188 B)
%system%\mseus.exe (69632 B)
%system%\tokset.dll (195072 B)
%system%\ainf.inf (41 B)

จากนั้นจะแสดงหน้าไดอะล็อกบอกซ์ดังรูปด้านล่าง

(http://2.bp.blogspot.com/_gvuiuxortv8/S15f10sKzzI/AAAAAAAAIJA/f_27rIXqpJU/s320/Win32.Worm.Zimuse.A.jpg)


ทำการติดตั้งตัวเองในโฟลเดอร์ไดรเวอร์ของระบบ ดังนี้
%system%\drivers\Mstart.sys, MSTART
%system%\drivers\Mseu.sys, MSEU

ทำการแก้ไขรีจีสทรี่เพื่อให้ทำงานโดยอัตโนมัติพร้อมระบบวินโดวส์ ดังนี้
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Dump" = "%programfiles%\Dump\Dump.exe"

นอกจากนี้ ยังทำการแก้ไขสร้างรีจีสทรี่เพิ่มขึ้นอีกหลายตัว โดยบางส่วนดังนี้
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSTART\0000\Control]
"*NewlyCreated*" = 0
"ActiveService" = "MSTART"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSTART\0000]

ในกรณีที่วันและเวลาของระบบเป็นไปตามเงื่อนไขที่กำหนดไว้ เวิร์มจะทำการเขียนข้อมูลของตัวมันเองลงทับ (Overwirte) ข้อมูล 50KB แรกของ MBR (Master Boot Record) ของทุกๆ ลอจิคัลไดรฟ์ในฮาร์ดดิสก์ทุกตัวที่ติดตั้งอยู่ในเครื่องคอมพิวเตอร์ และจะแสดงไดอะล็อกบ็อกซ์ ดังรูปด้านล่าง


(http://2.bp.blogspot.com/_gvuiuxortv8/S15lUZQQonI/AAAAAAAAIJI/8QNDakWHV6A/s400/Win32.Worm.Zimuse.A.2.jpg)


โดยเวิร์มอาจจะทำการลบไฟล์ต่างๆ ดังนี้
- C:\BOOT.INI
- C:\NTDETECT.COM
- C:\NTLDR
- C:\HYBERFILE.SYS
- C:\BOOTMGR

Malware Alert - Win32.Worm.Zimuse.A - The Hard-Disk Wrecker (http://www.youtube.com/watch?v=KgjX4LQrkgI#normal)


วิธีการป้องกัน
สำหรับวิีธีการป้องกันนั้นแนะนำว่า อย่าดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ และ ทำการติดตั้งโปรแกรมป้องกันไวรัสและฐานข้อมูลอัพเดทไวรัส (Virus Definition) ให้เป็นปัจจุบันตลอดเวลา

วิธีการกำจัดไวรัส
สามารถกำจัดไวรัส Win32.Worm.Zimuse.A โดยใช้เครื่องมือจาก Eset โดยดาวน์โหลดได้ที่ http://www.eset.eu/download/ezimuse-remover (http://www.eset.eu/download/ezimuse-remover)
ขนาดไฟล์เพียง 32.7 KB (เล็กมากๆ)


วิธีการใช้งาน ESET Ezimuse Remover

   1. download จากลิงค์ด้านบน จะได้ไฟล์ EZimuse_remover.exe
   2. แนะนำให้ปิดโปรแกรมอื่นๆ ก่อน (เพราะหลังจากรันโปรแกรมนี้ จะมีคำแนะนำให้ Restart Windows)
   3. ดับเบิลคลิกที่ไฟล์ เพียงสั่งรันโปรแกรม
   4. รอสักครู่ โปรแกรมจะเริ่มตรวจสอบ และกำจัดหนอนไวรัส Zimuse
   5. โปรแกรมจะแนะนำให้ Restart Windows โดยการใส่ "Y" เพียงยืนยัน

คำแนะนำ ถึงแม้ว่าไม่ได้ติดไวรัสตัวนี้ ก็สามารถสั่งรัน เพื่อตรวจสอบไวรัสได้อย่างไม่มีปัญหาครับ


 ::014::

+๑  ขอบคุณพี่วัฒน์ครับ   ::014::

ขอบคุณครับคุณวัฒน์

SuperAntiSpyware 4.33.1000 ลงร่วมกันกับ NOD 32 ได้หรือเปล่าครับ

ฮ่า ฮ่า ดีกว่าไม้ท่อนขว้างพงหญ้าอย่างผมเยอะเลย ....  ;D

คนชื่อ "วัฒน์" จริง ๆ แล้ว ต้องยังงี้ครับ  ::005:: + 1 ครับ

ไวรัสกิน MBR ทำให้ผมนึกถึงไวรัสตัวหนึ่ง เมื่อหลายปีก่อน ....

ชื่อ Diehard 2  อาหารหลัก คือ ดิสเก็ต 3.5 และ 5.25   โดยเฉพาะแผ่นบูต เน็ตแวร์....

ไม่ใช่ครับลุงปูเครื่องนี้ต้องเปิดรับงานลูกค้าที่มีสารพัดชนิด มีไวรัสบางตัวที่ Nod32 มันเจอแต่ทำอะไรไม่ได้ครับ :D

ส่วนรูป...อะไรนั้นเป็นผลพลออยได้ครับ ;D

ขอบคุณน้าวัฒน์ที่แจ้งเตือนครับ ::014::

 ส่วนนี้อีกโปรแกรมหนึ่ง

(http://sv1.img.uploadfile.biz/upload/2010_02/117i47i250i238date02022010am092601.jpg) (http://sv1.img.uploadfile.biz/show.php?id=117i47i250i238date02022010am092601.jpg)

อุ๊ย... ทันดิสเก็ต ๕.๒๕ ด้วย... ::005:: ::005:: ::005::




























...ผมเรียนปีหนึ่ง... ต้องกระเตงแผ่น ๕.๒๕ ไปบูทเครื่อง... จากนั้นค่อยเปลี่ยนไปทำงานกับแผ่น ๓.๕ นิ้ว... ::005:: ::005:: ::005::

ลงได้ครับ โดยส่วนตัวผมใช้ Malwarebytes Anti-Malware 1.44   ต้องกดสั่งอัพเดทเอง   อัพเดทวันละครั้งครับ  ;)

ขอบคุณครับผม   ;D

ไม่ทราบว่่าตอนนี้สามารถเปิด Folder ที่ซ่อนไว้ได้หรือยังครับ
ถ้าตามที่อ่านมา ผมเข้าใจว่าอย่างนี้นะครับ
คือไวรัสเอา Folder ไปซ่อน แต่ จขกท เปิด Show Hidden File แล้ว ยังไม่สามารถโชว์ Folder ได้ใช่ไหมครับ
ลองใช้โปรตัวนี้ดูครับ ผมเคยโดนแบบนี้เหมือนกัน
http://www.explorerxp.com/ (http://www.explorerxp.com/) เข้าไปแล้ว Link สำหรับโหลดอยู่ด้างล่างของหน้าเว็บเพจนะครับ
ลองใช้งานดูนะครับ ได้ผลชัว 100% ครับ

สำหรับตัว Scan Virus ผมแนะนำร่มแดงครับ
http://download.cnet.com/Avira-AntiVir-Personal-Free-Antivirus/3000-2239_4-10322935.html?part=dl-10322935&subj=dl&tag=button&cdlPid=11012914 (http://download.cnet.com/Avira-AntiVir-Personal-Free-Antivirus/3000-2239_4-10322935.html?part=dl-10322935&subj=dl&tag=button&cdlPid=11012914)

อย่าลืมอับเดทบ่อยๆ นะครับ

   ถามเพิ่มเติมครับ ลงตัวใดตัวหนึ่ง หรือต้องลงทั้ง 2 ตัวครับ ตอนนี้ใช้ตัวบนอยู่(1.44)

 :) อันเดียวพอแล้วครับ

ขอบคุณอาวัฒน์ครับ  ที่ช่วยตอบแทน  ;)

Malwarebytes Anti-Malware 1.44  ตั้งสั่งอัพเดทเองนะครับ กดอัพเดทวันละครั้งก็พอครับ

ส่วนใครใช้ AntiVir Personal Free Antivirus  มันอัพเดทเองครับ  ;)