Tham khảo cách diệt của tớ xem:
Virus này tớ không biết tên nhưng có thể diệt bằng cách sau(theo tớ đã làm nha):
Bước 1: Bật tank manager chọn thẻ prosesses xong rồi end tank cái exploer.exe, xong rồi bật lại nó file>new tank gõ vào exploer+ENTER
Bước 2: dùng tootal commander (TC) ver nào cũng đc hết(ai ai cũng có). Nếu chưa có ban có thể seach trên mạng vô số. Chay TC chon Confiuration>Option>thẻ Display chọn hiện hết các loại file
Bước 3: Quan trọng nè: Dùng chính TC xóa( SHIFT+DELETE nha) All file autorun.* trên tất cả các ổ đĩa gốc (chả cần nó làm gì cả vì virus tao ra nó để tự hành máy bạn thôi). Chú ý một số con khác copy file autorun vào thư mục C:\WINDOWS hay C:\WINDOWS\SYSTEM32
Bước 4: Khởi động lại máy là OKIE liền à.
Thủ công hơi phức tạp chút vì dài dòng nhưng làm thi nhanh thôi. Nhưng không phải xài phần mềm khác. Có khi xài vào rồi lại nảy sinh vấn đề khác cũng nên. Cách này làm được cho mọi Virus autorun when windows logon. Các virus khác bạn phải để ý tên lạ mà trong tank manager rồi seach chúng trong ổ cài WIN của bạn DEL nó đi là OKIE. Tớ không biết còn cách nào không nhưng khi bị nhiễn tớ làm như vậy là đươc.
Chúc bạn thành công. 

hĩ, em làm như bác rùi, BKAV nó báo nhiễm virut W32.ExploitJS.Adware.Bó tay 

Máy mình cũng bị nhiễm và đã diệt đuợc rồi.
Cài kaspersky, update virut mới
Khởi động lại máy, nhấn F8 > chọn Safe mode
Khi Win load đến màn hình welcome nhấn Shift + Alt để không nạp các services + chuơng trình linh tinh
Mở Kaspersky lên quét virut là hết.
 

Xin lỗi trước mọi người là tôi không nhớ đợt đó tôi bị nhiễm virus gì. Chỉ biết có lẽ đó là một con virus nội (xuất phát từ VN). Nó làm ẩn hết các file *.doc rồi tự tạo một file *.exe có phần tên file giống y hệt file *.doc. Sau lần bị nhiễm đó, các file Microsoft Word (*.doc) bị ẩn hết. Khi tôi vào xem thuộc tính của những file *.doc này thì phần hidden bị ẩn mất, không có cách nào tác động được. Mong các bạn có thể giải thích giúp tôi hiện tượng trên và cách khắc phục các file này trở về trạng thái bình thường. Cám ơn nhiều. 

attrib -s -h C:\WINDOWS\system32\msnfo.exe

Em đã thử dùng nhiều cách để diệt nhưng chỉ có "bkav home" phát hiện nhưng không thể diệt được nó
 

Có thể nhìn thấy nó qua task Manager nhưng bất lực 

...
Tui tự thấy mình làm được, hiểu được một số kiến thức, đủ sức để hiểu được người khác nói gì về cái mớ kiến thức đó. Tui nhìn vào mớ lộn xộn không có hệ thống của anh bạn ghost ship kia, tui thấy trong đó chỉ là "nhái lại" "nói leo" những gì mà người ta nói. Không có một tí nền tảng nào. Vì không có nền tảng rõ rệt, kiến thức thực tế, nên trong trình bày có nhiều điều tui thấy buồn cười.
...
Tui phát biểu lại một chót để anh em cho mình là newbie biết, "ngu dốt tạo nên nghi ngờ" , sau này anh em sẽ gặp nhiều người nghi ngờ về mình, chỉ nội trong lĩnh vực công nghệ thông tin này.  

http://dungnguyenle.googlepages.com/1.PNG
Cách nhận dạng worm qua Icon cũng "Sài dc" vậy mà sao mấy anh chê mãi 

à, con worm này, sao em Kill 5 cái process rồi chơi thêm vài key trong regedit là xong. có thấy gì nữa đây ? 

Ghost Ship wrote:

Đúng là cậu kô phải kô biết kill Process. Cũng kô phải con cậu nhiễm kô inject vào Process Explore. Nhưng chuyện kill process Explore rồi --> mở ẩn được rồi nhưng nó lại hoạt động lại ngay thì đúng là mình kô hiểu tại sao. Hay là sau khi kill process explore xong cậu lại vào các ổ bằng cách click đúp lên các ổ ??? 

Không ạ, lúc kill xong explore em rất cẩn thận bấm phải chuột chọn Explore mà. Em search trên web thấy mấy trang đều tư vấn như vậy nên thực hiện từng bước rất kỹ càng. mà không phải một lần, mấy lần đều như vậy cả. 

[AutoRun]
open=ntdelect.com
;shell\open=Open(&O)
shell\open\Command=ntdelect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=ntdelect.com.

vào các ổ qua ô Address của Window Explore (dùng chuột sổ cái address xuống --> di chuột đến ổ cần vào --> click) 

(người khác thì gọi là chiến chứ với đại ka thì gọi là choảng thì đúng hơn :lol

Cài vmware cho windows, copy con malware nào đó vào. Muốn nghiên cứu kiểu gì đó cũng được. Chuyện tay nghề thực , hay chỉ là nói chơi chơi cho vui , bà con ta tự hiểu lấy. 

Cứ tìm hiểu cách thức hoạt động , rồi thích post kết quả lên forum thảo luận. Hơi đâu lại hỏi ngược( như nick ghost ship kia) , bàn lùi, chê bai này nọ.

Các bác tìm hiểu windows tới một mức nhất định, các bác sẽ phải tiết kiệm lại lời nói "chê bai" "bới móc" "so đọ hiểu biết", tới mức các bác sẽ phải suy nghỉ lại chính khả năng của mình.  

"Giảng đạo " tới đó thôi. Nói nhiều quá không tốt.  

Ghost Ship wrote:

Cậu có thể thuật lại chi tiết cậu đã:"Diệt tay như các bác dạy" là diệt như thế nào kô? Cậu có biết kill Process là thế nào kô ? Chỉ có những người chưa hiểu kill Process là gì thì mới kô diệt được con này theo những hướng dẫn ở trên. Hoặc con mà cậu nhiễm là phiên bản mới và nó kô inject vào process Explore.exe nữa. 

Thì em vào Task Manager => Process, chọn explore.exe rồi End Process nó đi. Xong em lại vào New Task dò đến explore.exe để mở lại. Em nghĩ em đã làm hiện được các file hệ thống lên, tức là lúc đấy nó không hoạt động nữa rồi, nhưng sau khi em xóa 1 file của nó, hoặc thậm chí chưa kịp xóa thì nó lại hoạt động tiếp.
Đấy là em cứ nghĩ nôm na vậy thôi. Có gì không đúng các bác dạy thêm. 

Em lại phải rút điện, rồi cắm lại và vào Safe Mode dùng Antivir tìm diệt con kavo. Lần này thì Antivir tóm cổ được nó. Làm thịt xong, vào lại thì bị giống bác trainer 

Chú hunger không biết thì thôi để bác ghost ship với bác tmd giảng cho mà nghe  

tmd wrote:

Biết quá rõ về nó thì nói dễ. Đa số người khác chẳng biết gì về nó, cũng không biết một số thứ khác về windows, cho dù có thông tin đi kèm theo, họ khó làm được. Biết wincab.sys gì gì đó thì nói gì nửa.  

Không biết là wincab.sys thì vẫn dễ dàng tìm ra nó. Đơn giản là con này tuy là rootkit nhưng nó lại không ẩn chính mình mà chỉ ẩn phần virus thôi, các kỹ thuật đều cũ, chẳng có sáng tạo. Vì thế tôi mới nói nó đơn giản. Không thể sánh với con storm được. 

Diệt tay như các bác dạy cũng không lại, vì mỗi lần em làm hiển thị được các file lên, thì ngay sau đó mấy giây, nó lại làm lặn mất, em không kịp xóa, hoặc chỉ kịp xóa 1 file. 

Ghotship wrote:

Đây là: Mô tả về nó của BKAV

Cách em diệt nó : Dùng IceSword kill liền một lượt cả 5 Process Blank.doc, Empty.jpg, Hole.ZIP, Zero.txt, Unoccupied.reg rồi vào xóa các file các key của nó (thế là xong) nhưng em vẫn chưa biết làm hiện lại đuôi của file .exe thế nào. Pác phan tích nó rồi giúp em với nhé  

Bồ trích dẫn lộn tiệm rùi. :lol
Code:

http://www.bkav.com.vn/thong_tin_virus/?thread=3&cid=1119

=> Đây là thông tin của BKiss về con kavo.exe.
Tui cũng đang dính chưởng với con này!!! Hôm qua diệt mãi ko được

%sysdir%\[random_name].dll ( thư viện hook password ) 

=> chẳng biết tính sao với cái này.
 

Em cũng thấy hướng dẫn diệt con này trên mạng nhưng mà trong registry ko hề có các key như trong hướng dẫn.  

"Hijackthis" là gì ạ?Em chưa nghe thấy baogiờ.Chắc là vào Run...Gõ Hijackthis? 

Các malware sau này đều hướng và đã dùng kỹ thuật rootkit, cực kỳ nguy hiểm và khó diệt. Vì vậy không nên chơi với nó nếu bạn là tay mơ trong phân tích và diệt virus. 

sử dụng BKAV và Kasperky 7.0.0.215 vẫn ko quét sạch 

ko thể mở ổ dĩa từ MyComputer 

attrib -s -h D:\autorun.inf

con của GS up lên là 1 loại virus á. Nó infected vào file *.exe. GS về quét lại máy đi  

Nguy cơ:

* Làm giảm mức độ an ninh của hệ thống.
* Ăn cắp thông tin cá nhân.  

Sửa giá trị các key để không cho hiện các file hệ thống và file ẩn: HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Explorer\Advanced
HideFileExt = "1"  

Ghost Ship wrote:

Hôm trước mình vừa diệt xong nó nhưng lại bị nó lừa kích hoạt lại có ai dính con này chưa?  

GS upload con này lên đây xem ? 

Ghost Ship wrote:

Tiếp theo vào vào xóa các file Kavo.exe và Kavo*.dll (trong System32, quái sao mình gõ %Sysdir% vào Run nó kô mở System32 ra nhỉ?) 

Cái này là biến môi trường:
vào cmd gõ: echo %Sysdir%, nếu không hiện path thì do cậu chưa đặt biến -> có 2 cách đặt (WinXP):
1. System properties\Advanced\Environment variables\System variables\New
2. Vào đây đặt: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment 

Gì chứ BKAV nó có đủ tính chất của một Virus ) chỉ có một file duy nhất, có khả năng quét toàn bộ dữ liệu, sao chép lưu trữ, mã hóa file, chưa kể có cả một DB sign của virus bên trong. Xét về nhiều mặt thì các hoạt động của BKAV là virus ( trừ mục đích của các hoạt động đó ) 

...em nghĩ là em sẽ theo ngành phần mềm...
Kì I :toán rời rạc,pascal.
Kì II:C,kĩ thuật điện tử.
Kì III:kiến trúc máy tính,phương pháp tính,dữ liệu và giải thuật .
Kì IV:ôtmat,hướng đối tượng,kĩ thuật lập trình,cơ sở dữ liệu.
Kì V:assembly,quản trị dữ liệu,mạng,hệ điều hành,VB.  

GS xem thêm về MD5 nhé:
http://en.wikipedia.org/wiki/MD5  

Sở dĩ MD5 trên máy Hoàng và máy GS khác nhau là vì 2 tập tin khác nhau (nhưng trùng tên). Vì Hoàng đang sử dụng Windows Vista, còn có thể GS sử dụng Windows XP  

nếu như con keylogger này cóa mặt trong process thi làm sao để biết dược nó là keylogger trong khi có rất nhiều file cùng chạy trong process