_ Cơn bão "AutoIt SPIM" đang ngày một lan truyền mạnh trong giới script kiddie. Bắt đầu từ sự việc SPIM gaixinh, đến nay đã xuất hiện rất nhiều biến thể gaixinh như funni, yhbest...
_ Nhằm ngăn chặn đại dịch AutoIt SPIM này, FireLion Co., Ltd đã cho ra chương trình [FireLion] IE Protector.
_ Với [FireLion] IE Protector, bạn có thể yên tâm không phải lo lắng về những chú script kiddie và những biến thể được viết bằng AutoIt nữa. [FireLion] IE Protector có những tính năng chính sau:
+ Ngăn chặn AutoIt program ngay trước khi được thực thi
+ Bảo vệ IE khỏi các 0 day exploit (những lỗi chưa được công bố của IE)
 

hello all,
Hoàng vừa finish xong cái soft này tối nay. Chưa có thời giờ kiểm chứng nhiều lắm. Hy vọng là sẽ giảm cái tệ nạn AutoIt của mấy chú script kiddie hiện nay.

http://fire-lion.com/software/IEProtector/

Thanks all. 

Đang kiểm tra "D:\Software\MyTools\autoruns.exe" : Không phải AutoIt
Đang kiểm tra "D:\Software\MyTools\autorunsc.exe" : Không phải AutoIt
Đang kiểm tra "D:\Software\MyTools\Filemon.exe" : Không phải AutoIt
Đang kiểm tra "D:\Software\MyTools\MyTools.zip" : Không phải AutoIt
Đang kiểm tra "D:\Software\MyTools\procexp.exe" : Không phải AutoIt 

Tự tiêu diệt: "C:\Documents and Settings\ssssss\Application Data\Mozilla\Firefox\Profiles\7zjs8na3.default\FlashGot.exe" C:\DOCUME~1\ssssss\LOCALS~1\Temp\flashgot.7zjs8na3.default\flashgot.fgt
Tự tiêu diệt: C:\Program Files\FlashGet\flashget.exe
Tự tiêu diệt: C:\Program Files\FlashGet\flashget.exe 

Tự tiêu diệt: D:\putty.exe
Tự tiêu diệt: D:\lannetscan.exe
Tự tiêu diệt: D:\Software\MyTools\VPN\Copy of Uninstall.exe
Tự tiêu diệt: D:\Downloads\Entertainment\Copy of mars3d.exe
Tự tiêu diệt: D:\Downloads\Entertainment\Copy (3) of mars3d.exe
Tự tiêu diệt: D:\Downloads\Entertainment\Copy (2) of mars3d.exe 

Đang kiểm tra "d:\downloads\avh\misc\ieprotector13\ieprot.exe" : AutoIt 

Chào H., cậu 'Kiểm tra toàn bộ máy' thì cũng nên chừa cậu ra chứ. Trường hợp này xảy ra khi bật 'Tự chạy mỗi khi Windows khởi động'.
 

Lão Hoàng ơi ! Vui lòng thông báo là chỉ download bản IEProtector chỉ từ địa chỉ http://fire-lion.com/. Chứ ngày hôm nay đã có con virus thông báo là để gỡ bỏ các virus viết bằng AutoIt hãy vào trang web http://....... Nhưng vào trang đó là có chứa mã độc
 

Em xin có chút ý kiến
Là bác đã tính tới vụ script AutoIt nó tắt process của bác chưa ? thứ 2 là bác chỉ có thể end từng process 1 trong 1 thời gian rất ngắn nhưng nếu tên tạo AutoItscript đó tạo ra 2 process để protect cho nhau và kết hợp với việc end cái process của bác thì .... thật khó lường .
 

Đó là tất cả những gì IEProtector làm được nhưng rất tiếc là bây nhiêu đó thì chưa đủ để giải quyết trọn vẹn bài toán SPIM và virus trên YIM.
 

Hey sau khi ngồi ngâm chán chê cái đoạn PE của autoit nói thật em chả tìn thấy cái sign nào cho cam để diệt AutoIt Script cả ,mong bác cho xin ý kiến về cái sign mà bác đã dùng để nhận diện các script autoit.
 

Là bác đã tính tới vụ script AutoIt nó tắt process của bác chưa ? thứ 2 là bác chỉ có thể end từng process 1 trong 1 thời gian rất ngắn nhưng nếu tên tạo  

AutoItscript đó tạo ra 2 process để protect cho nhau và kết hợp với việc end cái process của bác thì .... thật khó lường .
 

+ 16/09/2006:
_ Không cho phép End Task (kill process) [FireLion] IE Protector. Chức năng này sẽ vô hiệu hoá những SPIM có ý đồ muốn tắt chương trình.
_ Vô hiệu hoá nút Close. Để tránh ứng dụng AutoIt gởi message WM_CLOSE đến để đóng chương trình. [FireLion] IE Protector đã tắt message này và thêm vào nút Thoát. Bạn có thể nhấn vào nút này để kết thúc chương trình.
_ Chức năng Tiến trình
_ Sử dụng bộ công cụ setup tiếng Việt uSetup cho bản cài đặt.
 

Em đề nghị bác nhân rộng tầm phủ sóng của program này bằng cách đặt nó lên càng nhiều nơi cho down càng tốt ,càng rộng thì nó sẽ đến đc tay của hầu hết ngưởi dùng internet ở Việt Nam
 

bác nên làm cho giao diện đơn giản hơn tới mức ,người có chỉ số IQ <0 cũng hiểu đc
 

+ Có cách nào để tôi không phải làm gì mà vẫn được bảo vệ không ?
_ lol... Một câu hỏi hay . Câu trả lời là không. Nhưng may mắn thay, đối với AutoIt thì câu trả lời là ĐƯỢC. Nếu bạn không làm gì "dính dáng" đến AutoIt, hãy chọn chức năng "Tự động cấm IE thực thi chương trình" và "Tự động loại bỏ các chương trình AutoIt". Thế là có thể an tâm không sợ các phiên bản viết bằng AutoIt nữa. Ghi nhớ là chỉ "ngủ ngon" với AutoIt SPIM thôi nhé
 

Thứ 2 ,em đã thử suy nghĩ và tìm ra một cách mà autoitscript chơi gọn program của bác là cũng ý tưởng tạo 2 process.
 

em thấy một khuyết điểm là khi bind 2 con virus vào một file exe đc nén bằng thuật ASPack thì IEprotector ko thể detect đc
 

Trả lời từng người một... hì hì...

=== mrro
Chương trình này sẽ ngăn chặn không chỉ ở bước 4 mà là ở bước 3 & 4.
Khi người dùng click vào link, IE mở lên (nhưng chưa kịp chạy) malware, chương trình đã scan và auto delete trước khi nó kịp thực thi (cách mà các Anti Virus thường làm để quét file trước khi file được thực thi file).
Ngoài ra, nếu người dùng hoặc 1 trang muốn ép (0-day exploit) IE chạy một file nào đó. Chương trình sẽ hiện lên 1 bảng confirm xem có cho phép hay không. Nếu không cho phép, chương trình sẽ lập tức deny và hành động execute file đó xem như chưa bao giờ xảy ra.
Như vậy giải pháp đã được triệt để ở bước 3 + 4.
.......
và đó là giải pháp thích hợp để phòng chống SPIM nói chung và phòng chống các 0-day exploit nói riêng. Cho dù IE có lỗi cũng không execute được các mã lệnh độc hại được down xuống từ web.
 

1. Thực ra, xét một cách tổng quát, IEProtector cũng chỉ là một chương trình antivirus. Chúng ta đã có quá nhiều chương trình antivirus, và tác dụng của những chương trình này thì mọi người đều cũng đã rõ. Nếu chúng thật sự làm được việc thì có lẽ virus, spyware, trojan hay các loại malware nói chung đều đã được đưa vào viện bảo tàng. Tui thật sự nghi ngờ vào khả năng làm việc hiệu quả của IEProtector.
 

nó chỉ được kích hoạt khi user đã đọc msg và click vào link. Cứ giả định IEProtector có thể phát hiện được hết tất cả các loại malware
 

ngăn chặn được hết 0-day exploit (một điều mà tui rất nghi ngờ) thì vẫn có ít nhất
 

- SPIM không có link.
 

- User sử dụng một browser khác IE.
 

1. Tác giả kích hoạt virus bằng cách gửi một msg chứa đường link đến virus cho friend list của mình.

2. Một nhóm người trong friend list của tác giả click vào đường link.

3. Browser của họ (có thể là IE hoặc Firefox) download và chạy con virus (một cách tự động hoặc không tự động).

4. Virus nhiễm vào máy tính của những người này và nó bắt đầu quay lại thực hiện bước 1 với một hoặc nhiều msg khác nhau.
 

Để mrro hiểu rõ hơn cách IE Protector hoạt động và vì sao nó không thể bị dù có là 0 day exploit.
Mrro thử làm theo cách sau:
+ Thực thi IE Protector
+ Thiết lập chế độ "Cấm IE thực thi..."

Rồi làm 1 ví dụ nào đó bypass được xem
 

uhm, vậy mrro trình bày phương pháp chống mọi loại SPIM xem ? 

bai` hoc kinh nghiem ==>Chet' ko duoc lam` con ma doi'===>... http://www33.websamba.com/xomnuocden/dungdedoi.html