Không phải là không biết GS à,
Con này lây vào hai loại file là htm và exe. Bkav xóa được những file htm bị lây nhiễm, nhưng page.pif và các file ~*.exe, lsass.exe, smss.exe và nhữnng file exe bị lây nhiễm lại không phát hiện được.
Còn KAS thì không diệt được những file htm bị lây nhiễm.
Thế chẳng phải không diệt được triệt để là gì?
Chính vì việc không diệt được những file tiềm tàng đó nên máy mới bị "tái nhiễm".
Lúc trước dùng đến 4 thằng quét cùng lúc Bit, Nor, Bkav, Zone, sau đó chưa chắc ăn chui vô dos xóa thủ công luôn thằng page.pif, lsass.exe và smss.exe. Xin hỏi có ai biết tại sao tụi nó không diệt luôn mấy thằng này không? nếu không phân tích kỹ thì tui đâu có biết mà chui vô diệt thủ công mấy file đó sau khi quét xong!?! sở dĩ máy bị tái nhiễm vì tui không ngờ nó nhiễm vào cả những file exe trong máy.
Bạn bảo tui thiếu kiến thức căn bản thì quả là khinh người quá đáng. 

Mình mới cài lại win, tưởng máy không bị virus, khi đọc bài này của bạn, mình mở task manager ra thấy có 2 thằng lsass.exe và smss.exe đang chạy và ko end được. Khi mình dùng processxp thì end được nhưng mà máy tính báo lỗi và ra thông báo shutdown máy tinh luôn sau mấy chục giây. Dùng các loại chương trình diệt víu mà ko thấy gì, dùng cả Fire Lion bản mới nhất quét cũng không thấy báo gì. Chẳng biết máy mình có phải bị virus không nữa mong các bạn cho ý kiến 

Dowload pagefile.pif và LSASS.EXE http://superupload.fire-lion.com/download.php?file=de5213dd80079d4d284aeb3122372102
Kô biết FH của pác Hoàng update con này chưa.

Hôm qua có thằng gà mang USB đến khoe ảnh, mình kô có nhà, mấy tên kia bảo:" quét virus đi!", thằng đó bảo:"Làm gì có virus!", thế là chúng nó kô quét ! Mình về mở task manager thấy có 2 cái LSASS.EXE và SMSS.EXE đang đứng cùng với ông Explore.exe . Bực mình với mấy thằng gà nhưng cũng sau đó thấy con này hay hay nên cũng nguôi nguôi đi tí Nhờ nó mà mình thu thêm ít điểm kinh nghiệm và có thêm một skill mới

Các biểu hiện của nó:
- Chưa thấy có biểu hiện gì lạ, nếu kô có thói quen kiểm tra process thì chắc là còn chưa biết có sự ghé thăm của nó

- À mà hinh như nó làm nghẽn mạng. tự nhiên thấy thằng chủ mạng gọi bảo: "máy anh làm gì mà cứ cắm dây mạng anh vào là ping báo tới 2000ms mà rút dây anh ra thì mạng "time out" luôn ". Mình liền ping thử thì thấy vẫn 38ms đều đều --> chẳng lẽ con này làm được như vậy? (đó là lúc mình chưa kiểm tra process, máy lúc đó thằng khác đang dùng.) Lên chỗ thăng chủ mạng xem thử. Nhưng lúc này thì mạng lại ngon rồi kô thấy 2000ms nữa nhưng đúng là rút dây mình ra thì mạng time out thật . nó bảo:"kô biết đâu là dây modem đâu là dây của anh nữa " Một lúc sau thì hết cái hiện tượng ấy. có lẽ con kia đã dùng xong mạng (kô biết nó dụng mạng làm gì ) và buông tha bà kon Lúc sau về dùng máy và kiẻm tra process mới thấy nó. có thằng bảo :"chắc là từ USB thằng X rồi" .kô đỡ được mấy ông, chẳng nhẽ rời máy là out admin luôn.

Bắt đầu chiến với nó:
- Vì nó hiện lù lù 2 cái Process kia nên dùng Procexp thấy ngay con nó cùng nằm trong C:\Windows\System32\Com. Nhưng vào đến nơi thì kô thấy đâu.

- Hóa ra nó đã đóng ẩn system của mình (mình toàn để mở) đóng xong nó làm mất luôn cái dòng:"Hide protected operating system file (Recommanded)" trong Folder Option. (Mình chưa biết key nào làm việc này)

- Dùng atrrib để -s -h 2 cái của nợ ấy nhưng nó cũng kô hiện ra --> chắc là nó liên tục kiểm tra thuọc tính s h của 2 cái đó, nếu thấy bị - thfi nó lại + lại luôn. Dùng Filemon thì thấy đúng là cái LSASS.EXE liên tục chăm sóc chính nó và thằng SMSS.EXE thật.

- Dùng Procexp kill bon nó nhưng kô được, kill 1 thì nó hiện thêm 2 3 chính nó. mà Procexp ko có (hay có mà mình chưa biết nhỉ?) chức năng kill liền nhiều Process nên bó tay với lại này.

- Quyết định rút Kiếm băng (IceSword) ra xài lần này thì máy chết với ông Hix nhưng cứ click mãi mà chả thấy kiếm băng hiện ra --> kinh thật nó khóa cả kiếm băng của mình . Thử đổi tên kiếm băng xem sao? --> à đã hiện ra! nhưng đáng tiếc chỉ trụ được chưa đầy 3s thì lại biến mất hix mày làm tao sợ rồi đấy, sợ pha lẫn cảm hứng dâng trào he he.

-Sau đó thử dùng taskkill nhưng cũng kô được. Thôi bó tay chuyển hướng vậy, tí nữa ông ra dos ông xóa thì mày chỉ có khóc he he.

- Thử kiểm tra Auturun ở các ỏ xem sao --> chà, ổ nào cũng có, thậm chí ở ổ C nó còn hiện lù lù ra chứ ko thèm +s +h (kô nhớ là nó hiện như vạy từ đầu hay là mình attrib nó từ lúc nào.) --> xem tiếp mày kick hoạt thằng nào nào --> Hix nhưng mà kô Open được nó. notepad hiện ra trắng xóa và kèm theo cái bảng báo là "access is denied" nhưng kô giống của windows. Hic ác thật.

- Định dùng hijackthis và Autoruns đẻ xem nó dùng key nào để kich hoạt cugnf máy nhưng kô thấy gì sau khi diệt được nó mới thấy được bằng Autoruns.

- Định vào safe mode nhưng kô hiểu nó làm kiểu gì mà kô vào nổi. chọn safe mode rồi nhưng chạy một loạt dòng xong là máy bị restart

- Đành vào mạng tìm thông tin về mày vậy, nhưng 2 cái process kia trùng tên với 2 process của OS nên sẽ khó đây. à kô sao paste cả cái đường dẫn vào google là ok . Nhưng ôi thôi một cái gạch chéo đỏ đã hiện ra từ lúc nào chỗ khay đồng hồ, thằng chủ mạng nó đã rút dây mạng của từ lúc nào mình rồi hic 11:30 PM rồi phone lên mịa nó lại tế cho. Hic vậy là mình đã bị kô lập với thế giới thôi kố nốt vài skill nữa, kô được thì để mai vậy

- Hôm trước về quê kiếm được cái đĩa cứu hộ hay phết. trong nó có cái win từ đĩa hay phết giống cái ngày xưa pác Hoàng bảo( tên gì quên bó nó roài). nhưng mà nó kô chỉng được registry đâu pác Hoàng à. cũng và được registry nhưng mà là registry của nó, có mỗi tí tẹo chứ kô phải registry của win trong HDD. hay là phải vào kiểu gì nhỉ?

- Với cái win trên đĩa CD này thì mình đã vào và thịt ngon cả lũ kia (liệt kê tất cả các file trong C:\Windows rồi xếp chúng theo thứ tự date creat --> cut hết những thằng mới được tạo ra trong trong ngày hôm nay ra một cái folder đẻ up lên cho pác Hoàng và bà kon nghiên cú chơi ) Hóa ra cái file mà autorun.inf của nó kích hoạt là file pagefile.pif. Thôi bây giờ restart là ok

- Nhưng kô phải vậy. vào đến nơi vẫn thấy 2 thằng đó lù lù trong task manger hic vậy là nó vẫn còn một file để kích hoạt lúc vào win ở đâu đó. đúng là nó đã hiện ra như thế thì nó cũng chả ngu mà dùng chính cái file đó để kích hoạt lúc vào win.

Vậy làm sao bây giờ đây. à còn một skill nữa, mình biết từ hồi mới vào đọc HVA nhưng chưa có cơ hội thử. có dùng vài lần nhưng kô phải để diệt virus :d có lần còn thấy có người bảo nó kô hiệu quả, nhưng lần này thì nó lại hiệu quả có lẽ thằng tác giả con này chưa nghĩ ra skill này của mình, nó mà đọc được bài này thì Ver sau chắc là kô dùng được mà kô biết nó có biết tiếng việt ko cái autorun chứ loàng ngoàng chắc nó lại là Tàu roài. đố ai biết đó là chiêu gì? :d Nếu là bạn thì bạn sẽ xử lý tiếp thế nào? kô chơi dùng các AV để quét nhá. KAV cũng phát hiện ra nhưng nó vẫn được kích hoạt ngay cả khi KAV đang chạy đấy và từ lần khởi động sau thì kô thấy KAV ở khay đồng hồ nữa làm sao để biết nó kích hoạt khi vào win như thế nào đây? xin mời các chuyên gia khoái quai tay

P/S: hơi cao hứng nên iem dùng hơi nhiều smile. nếu các pác thấy kô được thì nhắc để em xóa đi chứ đừng warn iem thêm nhát nữa nhá sao của iêm max roài. Hay các pác cho iêm nợ 3 tháng nữa nhỉ ?  

Con này tự kích hoạt khi vào win bằng cách để một file ~.exe (100kb) trong startup.

Cách diệt:
1.1: Vào DOS del cái file ~.exe, autorun.inf và các file pagefile.pif trong các ổ ròi khởi động lại máy là ok.

1.2: Vào tới win rồi thì tìm tất cả các file được tạo ra trong ngày trong C:\WINDOWS rồi del hết hoặc dùng KAV mới update quét để dọn nốt mấy file của nó trong. Nghe nói nó còn lây cả file nhưng máy của mình kô thấy. chắc là do mình diệt nó hơi sớm nên nó chưa kip phá

2. Nếu kô muốn vào DOS thì dùng Local Security Policy của Window để khóa cái file pagefile.pif rồi restart lại máy --> tìm đến các ổ xóa autorun.inf, pagefile.pif, và startup xóa ~.exe. --> quay lại bước 1.2

Đơn giản thế thôi . chán, chả có ai chơi trò này cùng mình thiệt là mất hứng.

Cách dùng Local Security Policy để vô hiệu và diệt con này:
1. Lấy mẫu virus:
1.1: Start --> Run
1.2: Gõ vào Run đoạn lệnh sau: attrib -s -h C:\pagefile.pif (nếu máy bạn Có ổ C )
1.3: Enter
1.4: Thử vào ổ C xem có cái file pagefile.pif hiện ra kô? nếu kô có thì làm lại ở ổ khác hoặc down luôn cái file pagefile.pif ở bài đầu tiên của topic này

2. dùng Local Security Policy để vô hiệu sự hoạt động cua nó: Muốn hiểu rõ hơn thì vào đọc: /hvaonline/posts/list/5867.html
2.1: vào Local Security Policy: Start -->Control Panel --> Administrative Tools --> Local Security Policy.

2.2: Nếu đây là lần đầu tiên bạn thao tác trên policy này thì bạn cần khởi tạo nó bằng cách: tìm đến mục Software Restriction Policies, chọn menu Action --> New Software Restriction Policies (hoặc Create New Policies).

2.2: Thiết lập Security Level cho các malwares đã được xác định:
- Chọn vào mục Additional Rules của Software Restriction Policies, chọn menu Action --> New Hash Rule. Một dialog sẽ hiện lên.
- Tiếp tục nhấn vào Browse và tìm đến ổ C rồi chọn file pagefile.pif đã được làm hiện ra ở bước 1
- Tiếp tục chọn Security Level = Disallowed để vô hiệu hoá khả năng thực thi của malware. (nếu thấy nó là Disallowed rồi thì kô cần chọn lại nữa )
- Nhấn OK.
- Restart lại máy. (Xong)