[Hướng dẫn] Diệt virus nhiễm vào worm

Thứ Sáu, 15 tháng 5, 2009

[Hướng dẫn] Diệt virus nhiễm vào worm

---

Lời dẫn :
Gần đây, khi nhận được một số mẫu worm, thì ngay mẫu đó Mình cũng thường thấy được sự xuất hiện của 1 con virus file đang ký sinh vào file đó.

Tuy nhiên chỉ sau bảng thống kể an ninh mạng Tháng 7 của Bkis thì Minh mới nhận ra sự nguy hiểm của vấn đề này.
Trên bảng xếp hạng tháng 7, chúng ta dễ dàng nhận ra sự trở lại của một số loại virus file, đây là điều bất thường. Nếu bạn chú ý thì vài năm gần đây, các virus file dần tàn lụi, chỉ nổi lên với virus Ukuran với khả năng nhiễm vào và giả dạng file Word và Excel.
Vậy tại sao các virus file trở lại lay nhiễm với tốc độ nhanh đến vậy ?
Lý do là do các virus này ko hiểu vô tình hay hữu ý đã nhiễm vào các worm, sau đó các worm này lại tiếp tục tự lây lan. Và điều này đồng nghĩa worm đi tới đâu đã dắt theo virus file đi tới đó.

Vấn đề cụ thể và làm DC phải viết bài này khẩn cấp klà DC đã nhận được tin nhắn của một người bạn trong nội thành và nói về một loại worm cũ (Là w32.Boom.worm) nhưng nhiễm trên nó con virus Sality. Loại này đã làm một “trận dịch” các máy tính mà anh ấy phải cứu hộ. Giải pháp hiện nay được đưa ra là cài lại máy.
Rõ ràng chẳng vui lắm.

Ghi chú :
DC phải hoàn thành bài viết này gấp, đang rất buồn ngủ vì gần 2h sáng rồi, nên bài viết sẽ rất ngắn và vắt tắt.

Bài viết :

Công cụ cần có :
Bạn tải và lưu các công cụ này vào USB của bạn ở một máy “sạch”.

Nếu bạn diệt theo thích diệt dựa vào 1 bài viết thì bạn theo dõi và tải các công cụ theo đó mà diệt. Link sau : …..
Lần này Mình sẽ sử dụng công cụ thuộc VirusVN’s Project để tiến hành diệt.

1. Công cụ cần :- Phần mềm QuickVK, bạn xem thảo luận và QuickVK tại đây : http://virusvn.com/forum/showthread.php?t=330
Nếu bạn chưa làm thành viên diễn đàn thì bạn tải qua link sau : .....
- Total Commander : .....
2. Phần mềm Kaspersky hay bất cứ phần mềm chống virus nào khác đã cập nhật virus Sality này.
Bạn cần lưu ý là cần bản cập nhật dữ liệu mới nhất.

Bạn tải Portabe Kaspersky tại đây : ....
Còn đây là nơi bạn tải bảng mã nhận dạng mới cho Kav : ....
Sai khi tải về, bạn giải nén bảng nhận dạng virus và copy đè chúng vào thư mục \AVP7\Bases trong thư mục bạn giải nén Kav.

Hoặc bạn tải bộ của mình đã tạo sẵn (Mã nhận dạng cập nhật đến ngày 19/8/2008) (Khoảng 59mb) : http://www.mediafire.com/?3cfbasg4v2m

Sau khi tạo xong, bạn nén thư mục chứa nó thành một tập tin .zip và đặt trong USB.

Thao tác :
Cách lẹ nhất là dùng quách Kav quét luôn, nhưng theo Minh nhận thấy ở máy mình khi nhiễm virus là Kav không thể chạy.
Vậy ta có các cách sau :
1.
Khởi động bằng đĩa CD cứu hộ (Minh dùng đĩa XPE).
Do cả worm và virus này đều diệt được được KAV nhận dạng nên có thể dễ dàng diệt.
Tuy nhiên sau đó phải phục hồi một số key trong registry :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit với giá trị : c:\windows\system32\userinit.exeHKEY_CLASSES_ROOT\exefile\shell\open\command với giá trị : "%1" %*

Cách này rất gọn và tiện. Tuy nhiên nếu bạn chưa hoàn toàn chắc chắn đĩa cứu hộ của bạn có công cụ sửa chữa registry ở cho hệ thống bạn thì bạn ko nên mạo hiểm. Chúng ta sẽ thực hiện cách 2.
(Lưu ý, thao tác khởi động KAV khi trong XPE sẽ đê cập trong cách 2 này).

2.
Bước 1 :
- Bạn khởi động QuickVK và thực hiện thao tác chọn tiến trình có tên Global.exe và bấm Ok


- Bạn tiếp tục chọn nút Scan
- Bạn chịu khó chờ một chút, sẽ xuất hiện ra một bạn kết quả.

- Sau khi quét xong, bạn ấn nút Kill
- Sẽ hiển thị một hộp thoại thông báo đã diệt xong.


Bước 2 :
- Khởi động Total Commander
- Thiết lập xem file ơ thuộc tính ẩn.
…. (Bạn có thể xem ở các bài viết trước)
- Tìm và xoá 2 tập tin Autoruns.inf và MS-DOS.com trên tất cảc các đĩa trên máy bạn.

- Tìm và xoá tập tin có đường dẫn sau : C:\WINDOWS\Cursors\Boom.vbs

Tới bước này, nếu bạn khởi động và chạy được KAV thì bạn tiến hành Scan cả máy nữa là xong. Tuy nhiên trên máy DC lại xuất hiện hộp thoại sau, làm cho quá trình làm việc của KAV ko diễn ra nên DC buộc phải dùng tới đĩa cứu hộ.



Bước 3 :
Khởi động đĩa cứu hộ sử dụng nền WindowsXP (Mục đích là có thể nhận ra đĩa USB và khởi động KAV). Minh dùng XPE.
Đây là màn hình khởi động của XPE :

- Sau khi khởi động xong. Bạn đưa USB vào và máy sẽ nhận ra.

- Lúc này bạn tiến hành giải nén file KAV bạn đã tạo trong USB. Chý ý bạn phải giải nén ngay trên USB và chạy các thao tác trên đó.

Lý do :
Đề phòng khi có dữ liệu bị mất thì còn biết đường mà phục hồi.
- Sau đó chạy tập tin PKAV7.exe
- Bạn tiếp tục thao tác để quét.
- Bạn chỉ cần chọn ổ đĩa là đĩa cứng trên máy tính bạn thôi để quá trình quét nhanh hơn.

- Sau đó bạn tiến hành quét.


- Khi có thông báo, bạn hãy đánh dấu chọn Aplply to all và chọn Disinfect, nếu có thông báo có nút chọn Delete thì nên thận trọng hơn một chút, đừng xoá quá lung tung.


Okie. Sau khi quét xong thì khởi động lại máy và ngắm kiểm tra kết quả.

Bài viết tạm thời chỉ viết vậy. Muỗi đốt + Buồn ngủ kinh quá.
Bey, đi ngủ đây.

Sorry lần 2 vì bài viết quá ẩu , mấy link mình sẽ tiế