Chính xác là link này đây anh Hoàng.

bai` hoc kinh nghiem ==>Chet' ko duoc lam` con ma doi'===>... http://www33.websamba.com/xomnuocden/dungdedoi.html  

Tất cả các dấu hiệu giống hệt những con virus dựa trên code gái xinh.
Khoá taskmanager , run , send link hàng loat. v.v 

Anh Hoàng có thể nói sơ qua về cơ chết diệt những con này được không, em thấy cách diệt rất hay. Cảm ơn anh 

hình như bác viết cái này bằng delphi thì phải?
 

Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\Common7\IDE\devenv.exe" "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.sln"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\Common7\IDE\devenv.exe" "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.csproj"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe" 

Em đề nghị bác Levuhoang bổ sung phần theo dõi xem phần mềm đó ghi (hoặc xoá) gì vào Registry (phần mềm bị nghi ngờ) nếu có nó thì những pre _ mới biết cách khống chế được và cũng không vất vả phải xác nhận mỗi khi có động tác ghi vào reg.
 

em đang tìm phần mềm kiểm tra việc ghi vào reg của 1 phần mềm khác mà chưa đựoc, rất mong các bác giúp đỡ.
thanks
 

Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\Common7\IDE\devenv.exe" "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.sln"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\Common7\IDE\devenv.exe" "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.csproj"
Ngưng thực thi: "C:\Program Files\Microsoft Visual Studio .NET 2003\SDK\v1.1\QuickStart\winforms\samples\printing\simplepad\cs\SimplePad.exe"



bác xem cho em vụ này nữa  

+ Máy tôi đã cài [FireLion] IE Protector những không hoạt động dù đã chọn nút Hoạt động. Tại sao ?
_ Có hai nguyên nhân chính sau:
. Chương trình được thực thi dưới quyền User. Lúc này, chức năng tự bảo vệ sẽ không hoạt động đúng với bản không cần cài đặt. Bản phải sử dụng phiên bản cài đặt để có thể thực thi dưới quyền User
. Chương trình được cài chung với DeepFreeze. Trên nguyên tắc, nếu máy bạn đã cài DeepFreeze rồi thì không phải lo lắng về malware nữa. Tuy nhiên, nếu bạn vẫn muốn [FireLion] IE Protector hoạt động. Bạn phải disable DeepFreeze, dùng bản cài đặt và mở lại (enable) DeepFreeze.
Cho tới phiên bản 3.0. Chúng tôi vẫn chưa có kế hoạch cập nhật để có thể chạy với DeepFreeze vì chỉ cần restart là mọi thứ trở lại như cũ.
 

+ 23/09/2006:
_ Phiên bản 3.0 ra mắt với các tính năng vượt trội.
_ Nâng cấp scanner. Quét tập tin với tốc độ nhanh gấp 2 lần.
_ Thêm chức năng cô lập các chương trình AutoIt. Các tập tin nằm trong quarantine sẽ được mã hoá để tránh các chương trình khác phát hiện nhầm lẫn và người dùng vô tình thực thi.
_ Một số công cụ mới được bổ sung:
+ Startup: Quản lý những chương trình tự thực thi
+ Theo dõi: Ghi lại nhật ký những thay đổi AutoRun trong Registry
+ Hosts file: Tránh malware hijack, dẫn người dùng đến những trang khác. Ví dụ, gõ www.google.com lại ra www.abc.com. Xem thêm tại đây.
_ Thêm nhiều tuỳ chọn để người dùng dễ dàng hơn trong việc sử dụng
_ Chống AutoIt tự nhấn nút Thoát bằng cách hiện random number
_ Không cho phép suspend lẫn kill process bởi các chương trình viết bằng AutoIt.
_ Thêm tính năng thông báo cho người dùng mỗi khi có phiên bản mới.
 

+ 23/09/2006:
_ Phiên bản 3.0 ra mắt với các tính năng vượt trội.
_ Nâng cấp scanner. Quét tập tin với tốc độ nhanh gấp 2 lần.
_ Thêm chức năng cô lập các chương trình AutoIt. Các tập tin nằm trong quarantine sẽ được mã hoá để tránh các chương trình khác phát hiện nhầm lẫn và người dùng vô tình thực thi.
_ Một số công cụ mới được bổ sung:
+ Startup: Quản lý những chương trình tự thực thi
+ Theo dõi: Ghi lại nhật ký những thay đổi AutoRun trong Registry
+ Hosts file: Tránh malware hijack, dẫn người dùng đến những trang khác. Ví dụ, gõ www.google.com lại ra www.abc.com. Xem thêm tại đây.
_ Thêm nhiều tuỳ chọn để người dùng dễ dàng hơn trong việc sử dụng
_ Chống AutoIt tự nhấn nút Thoát bằng cách hiện random number
_ Không cho phép suspend lẫn kill process bởi các chương trình viết bằng AutoIt.
_ Thêm tính năng thông báo cho người dùng mỗi khi có phiên bản mới.
 

Tui có thắc mắc, muốn hỏi Hoàng: các app viết bằng AutoIt đều bị pack = UPX, thì làm sao Hoàng detect được, chả lẽ phải unpack trên memory rồi find AutoIt string à. Nguy hiểm thế.
 

Và giả sử App AutoIt bị pack thêm một lần nữa bằng packer nào đó thì sao nhỉ ?
 

Tui cũng nghi ngờ nên test thử rùi,nếu pack thêm phát nữa cũng bị đập thui.Chỉnh cả PE header làm giả PE của msconfig cũng bị túm ( đôi lúc chỉnh PE AutoIT cũng ko chịu chạy )
 

vậy lão nbthanh cho [FireLion] IE Protector là vô ích ? Theo ý lão là không nên phát triển nữa ? Hay làm 1 cái vote xem bao nhiêu người đồng ý close dự án [FireLion] IE Protector nhé lão nbthanh  

Khi thiết kế chương trình này, mục tiêu của Hoàng đặt ra là:
1. Ngăn chặn đại dịch AutoIt
2. Miễn nhiễm với new version
3. Với công cụ này, người dùng có thêm một số tools hệ thống để gia tăng quyền hạn với chiếc PC
3. Dễ sử dụng

Trước mắt nó đã làm tốt là ngăn dịch AutoIt (ngay cả với những version mới). Còn có tiếp tục hay không khi có một trận dịch khác như BAT, PERL... thì lúc đó sẽ có quyết định sau  

Ý tưởng thì tốt, nhưng điểm dở là nó chặn hoàn toàn AutoIt ("bản thân Autoit đâu có gì xấu" - y chang câu bác LVH nói trong box BQT thì phải ).
AutoIt được dùng để làm rất nhiều chuyện hữu ích. Chỉ vì 1-2 con virus mà chặn luôn cả cái AutoIt vô tội thì hình như...đi ngược lại tư tưởng của bác Hoàng nhỉ
 

Ví dụ như có khá nhiều con GameBot hay viết bằng Autoit mà các tiệm net hay cài. Không hiểu nếu chương trình của bác Hoàng chặn luôn AutoIt, các tiệm net mất khách thì liệu nó có chịu cài tiếp không hay...kệ nó, cứ giữ khách trước đã.
 

Hoàng thử code 1 app nhỏ, run sau khi IE Protector đã chạy, gọi FreeLibraray until thành công handle của BlockerAPIs.dll chưa (chắc LoadLibrary("BlockerApis.dll") sẽ thành công). Nếu free được thì coi chừng không ổn, madCodeHook cũng bị bypass.
 

ặc ặc, lão nào ấn nhầm nút Edit bài của tui zạ :-| 

uhm, vậy bác có thể nêu ra 1 số GameBot mà các tiệm net ở VN cài không ? 

quên thông báo với bác nbthanh là, version sau sẽ có chức năng WhiteList. Thế là các tiệm net khỏi lăng tăn nhé ) 

Không biết IEProtector có chặn được cái 0-day exploit của IE mà thiên hạ đang bàn tán suốt mấy ngày qua không nhỉ?

Xem thêm ở http://www.xsec.org/index.php?module=Releases&act=view&type=2&id=21.

-m 

LeVuHoang wrote:

quên thông báo với bác nbthanh là, version sau sẽ có chức năng WhiteList. Thế là các tiệm net khỏi lăng tăn nhé ) 

Vậy chỉ cần con virus đổi tên thành 1 file exe có trong whitelist là được, phẻ, khỏi phải nghĩ cách viết protect-process, kill-process nữa cho mất công  

mrro wrote:

Không biết IEProtector có chặn được cái 0-day exploit của IE mà thiên hạ đang bàn tán suốt mấy ngày qua không nhỉ?

Xem thêm ở http://www.xsec.org/index.php?module=Releases&act=view&type=2&id=21.

-m 

Tui không có Windows Server 2000 để thử nhưng với máy của tui: Windows XP SP2, IE 6.0 SP1, IE bị lỗi crash nhưng tập tin .exe không được thực thi
 

http://www.xsec.org/index.php?module=Exploits&act=view&type=3&id=7
 

nbthanh wrote:

LeVuHoang wrote:

quên thông báo với bác nbthanh là, version sau sẽ có chức năng WhiteList. Thế là các tiệm net khỏi lăng tăn nhé ) 

Vậy chỉ cần con virus đổi tên thành 1 file exe có trong whitelist là được, phẻ, khỏi phải nghĩ cách viết protect-process, kill-process nữa cho mất công  

Checksum )