| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
28/07/2007 22:19:41 (+0700) | #1 | 74626 |
![[Avatar]](/hvaonline/images/avatar/c8c821e364b816a1bdebed7ed7c4204f.jpg "[Avatar]")
|
YHT
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 21/04/2006 13:29:33
Messages: 173
Location: HCM
Offline
|
|
Chào anh em, hôm nay YHT làm "chuyên gia" diệt virus cái nào:
Tình hình là ở các phòng máy YHT làm việc đang bị nhiểm một con virus có tên là .exe (khoảng trắng chấm exe)
Triệu chứng: kích hoạt liên lục, refresh máy liên tục, con trỏ cứ chớp chớp.
Mức độ nguy hiểm: Do chưa phân tích kỹ thông tin trong file virus nên tạm thời đánh giá là nó không nguy hiểm và tay viết virus này quá non tay!
Cách thức lây lan: tạo file autorun cho từng ổ đĩa, thêm vào registry để tự kích hoạt lúc khởi động, ẩn náo trong nhiều thư mục
Cách thức diệt: do chưa có tool nào diệt được cả (BKAV mới và Symantec đều không diệt được - cập nhật 26/07/2007) nên ta diệt bằng tay thôi.
1. Khởi động hệ thống vào Safe Mode (bấm F8 lúc khởi động chọn Safe Mode)
2. Cho hiện tất cả các file ẩn lên (vào Folder Option chọng Show hidden files and folders và bỏ chọn ở hai mục là Hide extensions for known file types và Hide protected operating system files (Recommended))
3. Tim xoa cac file sau:
+ File autorun.inf va file .exe (khoảng trắng chấm exe) ở từng ổ đĩa (vd: C, D, E, USB)
+ Xóa file .exe ở thư mục C:\Windows (nếu cài windows ở ổ C)
+ Xoá file .exe ở C:\Windows\system32
+ Xóa file .exe ở CÁC thư mục user profile\Windows (nếu user bạn là ABC thì mặc định sẽ ở C:\Documents and Settings\ABC\WINDOWS)
4. Không cho kích hoạt lúc khởi động
+ Vào msconfig (Run-> msconfig) gở bỏ tất cả các mục khởi động của file .exe (hoặc có thể vào registry để xoá các entry)
5. Khởi động lại máy và ngồi cười hè hè vì ta đã thành công.
Kết luận: Không biết phiên bản khác của virus này thế nào chứ con này còn yếu quá, cách thức lây lan không mới nên rất dể diệt.
Bạn nào rãnh rổi xin mời de-assembly con này ra coi tên nào viết con này, để anh em mình nhờ C15 làm thịt hắn nhé 
Nhờ chú Nguyễn Tử Quảng nhanh tay cập nhật con này zô database cho anh em nhờ.
--YHT |
|
|
 |
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
28/07/2007 22:46:08 (+0700) | #2 | 74633 |
![[Avatar]](/hvaonline/images/avatar/56f6f5c8f83cc53bbea93a034d19f05a.jpg "[Avatar]")
|
gsmth
Elite Member
|
|
0 |
|
|
Joined: 15/02/2007 13:25:36
Messages: 749
Offline
|
|
Form bài viết giống chuyên gia ha 
YHT rảnh thì submit " .exe" tới một số site cho phép quét file online (có hỗ trợ nhiều scan engines), như:
- http://www.kaspersky.com/scanforvirus
- http://www.virustotal.com/en/virustotalf.html
- http://virusscan.jotti.org/
Để xem scan engines của những anti virus khác report thế nào? vì đôi khi BKav chưa kịp cập nhật các con mới zo database. |
|
|
|
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
28/07/2007 23:02:25 (+0700) | #3 | 74637 |
|
YHT
Member
|
|
0 |
|
|
Joined: 21/04/2006 13:29:33
Messages: 173
Location: HCM
Offline
|
|
Ui, em xử hết rùi anh ơi, tối qua định đem một mẩu về ngâm cứu coi nó làm cái quỷ gì mà quên mất, còn vài máy có nó lắm nhưng lại lười gòi, hihihihihihihi.
Em nghĩ chắc có nhiều người dính con này lắm, anh em nào có thì gởi mẩu lên cho anh LeVuHoang xử lý nhé .
--YHT |
|
|
|
|
| [Question] Re: Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
29/07/2007 03:52:41 (+0700) | #4 | 74707 |
![[Avatar]](/hvaonline/images/avatar/5d7db8fc3a29007a5127885599b3f07c.jpg "[Avatar]")
|
rlove
Member
|
|
0 |
|
|
Joined: 21/07/2007 12:00:01
Messages: 32
Location: Anywhere else
Offline
|
|
Máy refresh liên tục => đang DDoS
Chắc các chuyên gia diệt virus ở đây cũng bị mắc phải con virus lây qua đường ngôn ngữ Vietnamese này quá.
 Ngôn ngữ lập trình mới cho virus phát tán  |
|
|
|
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
29/07/2007 04:59:12 (+0700) | #5 | 74715 |
|
YHT
Member
|
|
0 |
|
|
Joined: 21/04/2006 13:29:33
Messages: 173
Location: HCM
Offline
|
|
Ui trời, ngôn ngữ lập trình gì nữa đây? YHT bày chiêu cho mấy anh em, ai có bị nhiễm mà ko biết làm sao thì diệt thôi mà, ai biết rồi thì thôi.
DDoS hay không cũng chưa rõ, vì chưa monitor thử coi con quỷ này nó làm cái gì.
Tại nó phá cái máy server YHT đang ngồi nên bực mình tìm cách diệt nó thui chứ cũng không ham cái thú làm "chuyên gia" diệt virus cho lắm.
--YHT |
|
|
|
|
| [Question] Re: Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
29/07/2007 05:04:18 (+0700) | #6 | 74717 |
![[Avatar]](/hvaonline/images/avatar/6d8fd617dbf3e2c1e12be59585cdb1f9.jpg "[Avatar]")
|
tmd
Member
|
|
0 |
|
|
Joined: 28/06/2006 03:39:48
Messages: 2951
Offline
|
|
rlove wrote:
Máy refresh liên tục => đang DDoS
Chắc các chuyên gia diệt virus ở đây cũng bị mắc phải con virus lây qua đường ngôn ngữ Vietnamese này quá.
Ngôn ngữ lập trình mới cho virus phát tán
Nói chuyện vớ vẫn đó mà, quan tâm làm gì. |
|
| 3 giai đoạn của con... người, ban đầu dek biết gì thì phải thăm dò, sau đó biết rồi thì phải thân thiết, sau cùng khi quá thân thiết rồi thì phải tình thương mến thương. Nhưng mà không thương được thì ... |
|
|
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
29/07/2007 05:48:08 (+0700) | #7 | 74729 |
|
YHT
Member
|
|
0 |
|
|
Joined: 21/04/2006 13:29:33
Messages: 173
Location: HCM
Offline
|
|
Chẳng biết em post virus lên đây có vi phạm nội quy không nữa, nếu vi phạm nhờ mod xóa dùm nhé, tại không biết cách nào khác
Đây là đường link của mẩu virus này, hy vọng là anh em không dùng nó cho mục đích xấu, buồn buồn anh em lấy VMware ra test nó cho vui nhé
nhớ đổi tên file lại.
Link mới http://yht4ever.googlepages.com/khongten.rar
--YHT
(giải nén ra bạn cần rename lại) |
|
|
|
|
| [Question] Re: Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
29/07/2007 06:05:58 (+0700) | #8 | 74734 |
![[Avatar]](/hvaonline/images/avatar/33201caa8c3eeee3ad3ee8c79000eca3.jpg "[Avatar]")
|
Jack-đồ-tể
Member
|
|
0 |
|
|
Joined: 28/07/2007 17:37:23
Messages: 13
Location: Lò mổ
Offline
|
|
..../virus.exe_ chuyên nghiệp dữ ta :đuôi không trùng với mã HEX trong file "exe_"
Không biết cái trang http://yht4ever.googlepages.com này mấy bữa nữa thì die nữa
Sao không dùng file zip hoặc rar , up file kiểu này site có ngày bị khóa ) |
|
|
|
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
29/07/2007 06:37:46 (+0700) | #9 | 74739 |
|
YHT
Member
|
|
0 |
|
|
Joined: 21/04/2006 13:29:33
Messages: 173
Location: HCM
Offline
|
|
Lại thêm một câu khó hiểu nữa, chẳng hiểu cái gì hết trơn. Bên Windows thì nó tự kích hoạt khi bấm vô file exe nên YHT đổi nó lại là exe_ để cho nó không tự kích hoạt được, có gì ghê gớm đâu mà die với khóa.
YHT có cái bờ lốc với tài khoản đó, google nó khóa là chửi lảm nhãm nó cả ngày luôn à.
Nói chớ thui để tui rar nó lại cho rồi, khỏi ai nói, hehe
--YHT |
|
|
|
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
02/08/2007 15:28:10 (+0700) | #10 | 76079 |
LeVuHoang
HVA Friend
|
Joined: 08/03/2003 16:54:07
Messages: 1155
Offline
|
|
| Hoàng đã added con này với tên GotoanyPC.1 rồi đó YHT. Thanks for uploading sample |
|
|
| [Question] Cách diệt virus mới ( .exe - khoảng trắng chấm exe) |
03/08/2007 00:54:08 (+0700) | #11 | 76175 |
|
YHT
Member
|
|
0 |
|
|
Joined: 21/04/2006 13:29:33
Messages: 173
Location: HCM
Offline
|
|
Hay quá, cám ơn anh Hoàng nhiều, để em update lại database mới. Có tool diệt sướng hơn chứ mò từng máy chắc xỉu.
--YHT |
|
|
| Users currently in here |
|
1 Anonymous
|
|
Powered by JForum - Extended by HVAOnline
hvaonline.net | hvaforum.net | hvazone.net | hvanews.net | vnhacker.org
1999 - 2013 ©
v2012|0504|218|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thảo luận virus, trojan, spyware, worm...
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[WWW]](/hvaonline/templates/viet/images/icon_www.gif "[www]"){kind=icon}
![[Yahoo!]](/hvaonline/templates/viet/images/icon_yim.gif "[YIM]"){kind=icon}
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")