ไวรัสคอมพิวเตอร์

     -Brontok

ลักษณะอาการ

- Menu Folder Option จะหายไป

- จะเกิดไฟล์ .exe ชื่อเหมือน Folder ในทุก Folder ที่เปิดเข้าไปดู

- มีหน้าเวปขึ้นมาเขียนว่า Brontok

- ไม่สามารถเรียกใช้ Registry Editor และFolder Option ได้

วิธีแก้ไข

1. หากมีคอมพิวเตอร์หลายเครื่อง มีการแชร์ไดร์ฟ หรือแลนกันไว้ให้จัดการยกเลิกการแชร์ ตัดการติดต่อกันเสียก่อน

2. เข้า Safe Mode ( กด f8 รัวๆ ตอนรีบู๊ดเครื่อง) เลือกเข้าในฐานะของ Administrator

3. ไปที่ Run พิมพ์ msconfig กด OK เลือก Start upยกเลิกเครื่องหมายหน้ารายการเหล่านี้ออกไป norBtok , smss

4. Restart เครื่องใหม่

5. โหลด File UnHookExec.inf จาก http://securityresponse.symantec.com/avcenter/UnHookExec.inf

6. เมื่อโหลดเสร็จให้ คลิกขวาที่ไฟล์ แล้วเลือก install

7. ไปที่ Run พิมพ์ regedit ไปที่ HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer ลบค่า

NoFolderOptions" = "1

8. ไปที่ %UserProfile%\Local Settings\Application Data\ ลบ File csrss.exe , inetinfo.exe , lsass.exe ,

services.exe , smss.exe , winlogon.exe ออกให้หมด

9. ไปที่ %UserProfile%\Start Menu\Programs\Startup\ลบFile Empty.pif

10. ไปที่ %UserProfile%\Templates\ ลบFile A.kotnorB.com

11. ไปที่ %Windir%\inf\ ลบfile norBtok.exe

12. ไปที่ %System%\ ลบfile 3D Animation.scr

------------------------------------------------------------------------------------------------------------------------

      - Svchost.exe

เป็น Worm ชนิดหนึ่ง ที่สร้างชื่อเลียนแบบไฟล์ Svchost.exe ของระบบปฏิบัติการWindow ซึ่งไฟล์ svchost.exe เป็นไฟล์ generic host

processใช้รัน กับ DLL ไฟล์เพื่อสร้าง Service ขึ้นมาเช่น EventSystem,Netman,NtmsSvc,RasMan โดยที่สามารถรันได้หลายๆ

instance พร้อมกัน

อีกชื่อหนึ่งที่ใช้คือ W32.CodeBlue ซึ่งส่งผลกระทบกับระบบปฏิบัติการ Windows ที่ใช้งานโปรแกรมประยุกต์ IIS

ขั้นตอนการทางานของ W32.CodeBlue

1.เรียกใช้ไฟล์ Httpext.dll ในเครื่องผู้ถูกบุกรุก ซึ่งอยู่ในโฟลเดอร์ C:\Inetpub\wwwroot\scripts

2. ตัวหนอนจะเรียกใช้งานผ่านคาสั่ง HTTP GET

3. หลังจากนั้นตัวหนอนจะสร้างไฟล์ C:\Svchost.exe และเรียกใช้งาน

4. C:\Svchost.exe จะทาการสร้างและแก้ไขส่วนต่างๆ ของระบบ

W32.CodeBlue จะสร้างและแก้ไข

1. ทาการสร้างไฟล์ C:\Svchost.exe และแก้ไข registry ดังนี้

HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run

ซึ่งจะอนุญาตให้เรียกใช้งานตัวหนอนหลังจาก restart เครื่องทุกครั้ง

2. สร้างไฟล์ชั่วคราวที่ C:\d.vbs ซึ่งไฟล์นี้เป็นไฟล์ที่ถูกเรียกจากโปรแกรม C:\WINNT\system32\Wscript.exe

3. ไฟล์ d.vbs จะทาการลบไฟล์ .ida, .idq, และ .printer IIS service เพื่อไม่ให้มีการติดเชื้อจาก CodeRed

4. ในช่วงเวลา 10 นาฬิกาและ 11 นาฬิกา ตัวหนอนจะทาการส่ง mail ที่มีข้อมูลขนาดใหญ่ไปยังเว็บไซต์บริษัทในเมืองจีน

วิธีตรวจสอบ

ใน Drive C หรือ D จะมี Folder ที่ชื่อ d และใน Folder ที่ชื่อ d นั้นจะมี Folder ต่างๆ เช่น c , cpu ,n ,w และอื่นๆ

- ไฟล์ Svchost.exe ของระบบจะอยู่ใน C:\WINDOWS\system32 เท่านั้น ไฟล์ที่เป็นไวรัส ส่วนใหญ่จะอยู่ใน C:\Svchost.exe หรือ

C:\WINDOWS\Svchost.exe

วิธีแก้ไข

1. ไปที่ Start Menu เลือก Run พิมพ์ regedit คลิก OK ไปที่ HKEY_LOCAL_MACHINE\Software\Microsoft\

Windows\CurrentVersion\Run

2. ฝั่งขวาของข้อความจะแสดงค่า C:\svchost.exe ให้ลบข้อความทางฝั่งขวามือ และ ออกจากโปรแกรม

3. ค้นหาและลบไฟล์ C:\svchost.exe และ C:\d.vbs