1. บูตเซกเตอร์ไวรัส (Boot Sector Viruses) หรือ Boot Infector Viruses คือไวรัส
ที่เก็บตัวเองอยู่ในบูตเซกเตอร์ของดิสก์ การใช้งานของบูตเซกเตอร์ คือเมื่อเครื่องคอมพิวเตอร์เริ่มทำงาน
ขึ้นมาครั้งแรก เครื่องจะเข้าไปอ่านบูตเซกเตอร์ โดยในบูตเซกเตอร์จะมีโปรแกรมเล็ก ๆ ไว้ใช้ในการเรียก
ระบบปฏิบัติการขึ้นมาทำงาน
การทำงานของบูตเซกเตอร์ไวรัสคือ จะเข้าไปแทนที่โปรแกรมที่อยู่ในบูตเซกเตอร์ โดยทั่วไปแล้วถ้าติดอยู่ในฮาร์ดดิสก์ จะเข้าไปอยู่บริเวณที่เรียกว่า Master Boot Sector หรือ Partition Table ของฮาร์ดดิสก์นั้น ถ้าบูตเซกเตอร์ของดิสก์ใดมีไวรัสประเภทนี้ติดอยู่ ทุก ๆ ครั้งที่บูตเครื่องขึ้นมา เมื่อมีการเรียนระบบปฏิบัติการ จากดิสก์นี้ โปรแกรมไวรัสจะทำงานก่อนและเข้าไปฝังตัวอยู่ในหน่วยค วามจำเพื่อเตรียมพร้อมที่จะทำงานตามที่ได้ถูกโปรแกรม มา ก่อนที่จะไปเรียนให้ระบบปฏิบัติการทำงานต่อไป ทำให้เหมือนไม่มีอะไรเกิดขึ้น
2. โปรแกรมไวรัส (Program Viruses) หรือ File Intector Viruses เป็นไวรัสอีกประเภทหนึ่ง
ที่จะติดอยู่กับโปรแกรม ซึ่งปกติจะเป็นไฟล์ที่มีนามสกุลเป็น COM หรือ EXE และบางไวรัสสามารถเข้าไปอยู่ใน
โปรแกรมที่มีนามสกุลเป็น SYS ได้ด้วยการทำงานของไวรัสประเภทนี้ คือ เมื่อมีการเรียกโปรแกรมที่ติดไวรัส ส่วนของไวรัสจะทำงานก่อนและจะถือโอกาสนี้ฝังตัวเข้าไ ปอยู่ในหน่วยความจำทันทีแล้วจึงค่อยให้โปรแกรมนั้นทำ งานตามปกติ เมื่อฝังตัวอยู่ในหน่วยความจำแล้วหลังจากนี้หากมีการ เรียกโปรแกรมอื่น ๆ ขึ้นมาทำงานต่อ ตัวไวรัสจะสำเนาตัวเองเข้าไปในโปรแกรมเหล่านี้ทันที เป็นการแพร่ระบาดต่อไป
นอกจากนี้ไวรัสนี้ยังมีวิธีการแพร่ระบาดอีกคือ เมื่อมีการเรียกโปรแกรมที่มีไวรัสติดอยู่ ตัวไวรัสจะเข้าไปหา โปรแกรมอื่น ๆ ที่อยู่ติดเพื่อทำสำเนาตัวเองลงไปทันที แล้วจึงค่อยให้โปรแกรมที่ถูกเรียกนั้นทำงานตามปกติต่ อไป
3. ม้าโทรจัน (Trojan Horse) เป็นโปรแกรมที่ถูกเขียนขึ้นมาให้ทำตัวเหมือนว่าเป็นโ ปรแกรมธรรมดา ทั่ว ๆ ไป เพื่อหลอกล่อผู้ใช้ให้ทำการเรียนขึ้นมาทำงาน แต่เมื่อถูกเรียกขึ้นมา ก็จะเริ่มทำลายตามที่โปรแกรมมาทันที ม้าโทรจันบางตัวถูกเขียนขึ้นมาใหม่ทั้งชุด โดยคนเขียนจะทำการตั้งชื่อโปรแกรมพร้อมชื่อรุ่นและคำ อธิบาย การใช้งาน ที่ดูสมจริง เพื่อหลอกให้คนที่จะเรียกใช้ตายใจ
จุดประสงค์ของคนเขียนม้าโทรจันคือเข้าไปทำอันตรายต่อ ข้อมูลที่มีอยู่ในเครื่อง หรืออาจมีจุดประสงค์เพื่อที่จะล้วง เอาความลับของระบบคอมพิวเตอร์ ม้าโทรจันถือว่าไม่ใช่ไวรัส เพราะเป็นโปรแกรมที่ถูกเขียนขึ้นมาโดด ๆ และจะไม่มีการ
เข้าไปติดในโปรแกรมอื่นเพื่อสำเนาตัวเอง แต่จะใช้ความรู้เท่าไม่ถึงการณ์ของผู้ใช้ เป็นตัวแพร่ระบาดซอฟต์แวร์ที่มี ม้าโทรจันอยู่ในนั้นและนับว่าเป็นหนึ่งในประเภทของโป รแกรมที่มีความอันตรายสูง เพราะยากที่จะตรวจสอบและ สร้างขึ้นมาได้ง่าย ซึ่งอาจใช้แค่แบต์ไฟล์ก็สามารถโปรแกรมม้าโทรจันได้
4. โพลีมอร์ฟิกไวรัส (Polymorphic Viruses) เป็นชื่อที่ใช้เรียกไวรัสที่มีความสามารถในการแปรเปล ี่ยนตัวเอง ได้เมื่อมีการสร้างสำเนาตัวเองเกิดขึ้น ซึ่งอาจได้ถึงหลายร้อยรูปแบบ ผลก็คือ ทำให้ไวรัสเหล่านี้ยากต่อการถูกตรวจจัดโดยโปรแกรมตรว จหาไวรัสที่ใช้วิธีการสแกนอย่างเดียว ไวรัสใหม่ ๆ ในปัจจุบันที่มีความสามารถนี้เริ่มมีจำนวนเพิ่มมากขึ ้นเรื่อย ๆ
5. สทิลต์ไวรัส (Stealth Viruses) เป็นชื่อเรียกไวรัสที่มีความสามารถในการพรางตัวต่อกา รตรวจจับได้ เช่น ไฟล์อินเฟกเตอร์ ไวรัสประเภทที่ไปติดโปรแกรม ใดแล้วจะทำให้ขนาดของ โปรแกรมนั้นใหญ่ขึ้น ถ้าโปรแกรมไวรัสนั้นเป็นแบบสทิสต์ไวรัส จะไม่สามารถตรวจดูขนาดที่แท้จริงของโปรแกรมที่เพิ่มข ึ้นได้
เนื่องจากตัวไวรัสจะเข้าไปควบคุมดอส เมื่อมีการใช้คำสั่ง DIR หรือโปรแกรมใดก็ตามเพื่อตรวจดูขนาดของโปรแกรม ดอสก็จะแสดงขนาดเหมือนเดิม ทุกอย่างราวกับว่าไม่มีอะไรเกิดขึ้น
6. Macro viruses จะติดต่อกับไฟล์ซึ่งใช้เป็นต้นแบบ (template) ในการสร้างเอกสาร (documents หรือ spreadsheet) หลังจากที่ต้นแบบในการใช้สร้างเอกสาร ติดไวรัสแล้ว ทุก ๆ เอกสารที่เปิดขึ้นใช้ด้วยต้นแบบอันนั้นจะเกิดความเสี ยหายขึ้น
7.ไวรัส Brontok
ลักษณะอาการ
- Menu Folder Option จะหายไป
- จะเกิดไฟล์ .exe ชื่อเหมือน Folder ในทุก Folder ที่เปิดเข้าไปดู
-มีหน้าเวปขึ้นมาเขียนว่า Brontok
- ไม่สามารถเรียกใช้ Registry Editor และFolder Option ได้
วิธีแก้ไข
1. หากมีคอมพิวเตอร์หลายเครื่อง มีการแชร์ไดร์ฟ หรือแลนกันไว้ให้จัดการยกเลิกการแชร์ ตัดการติดต่อกันเสียก่อน
2. เข้า Safe Mode ( กด f8 รัวๆตอนรีบู๊ดเครื่อง)เลือกเข้าในฐานะของ Administrator
3. ไปที่ Run พิมพ์ msconfig กด OK เลือก Start upยกเลิกเครื่องหมายหน้ารายการเหล่านี้ออกไป norBtok , smss
4. Restart เครื่องใหม่
5. โหลด File UnHookExec.inf จาก
http://securityresponse.symantec.com...UnHookExec.inf
6. เมื่อโหลดเสร็จให้ คลิกขวาที่ไฟล์ แล้วเลือก install
7. ไปที่ Run พิมพ์ regedit ไปที่ HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVe rsionPoliciesExplorer ลบค่า "NoFolderOptions" = "1
8. ไปที่ %UserProfile%Local SettingsApplication Data ลบ File csrss.exe , inetinfo.exe , lsass.exe , services.exe , smss.exe , winlogon.exe ออกให้หมด
9. ไปที่ %UserProfile%Start MenuProgramsStartup
ลบFile Empty.pif
10.ไปที่ %UserProfile%Templates ลบFile A.kotnorB.com
11.ไปที่ %Windir%inf ลบfile norBtok.exe
12. ไปที่%System% ลบfile 3D Animation.scr
8.ไวรัสคลิปVDO.EXE
เป็นไวรัสที่ไม่ได้สร้างความเสียหายร้ายแรงแก่ระบบเท ่าใดแต่สร้างความรำคาญให้แก่ผู้ใช้ที่ติดไวรัสชนิดนี ้มา โดยไวรัสชนิดนี้จะมีรูปร่างเหมือนFolderที่อยู่ในWin dows ทั่วๆไป แต่จะมีนามสกุลเป็น.exeทำให้เมื่อคลิกมัน ก็จะทำการฝังตัวไว้ใน C:WINDOWSsystem32 โดยจะทำการรันตัวมันเองขึ้นมาเรื่อยๆและสร้างไฟล์ คลิปVDO.exe ขึ้นมาใหม่เรื่อยๆ แม้ว่าจะทำการลบไฟล์ คลิปVDO.exe แล้วก็ตาม
วิธีแก้ไขไวรัส คลิปVDO.exe
1.เข้า windows task manager โดยกด Ctrl+Alt+Del ไปที่แทบ processes หาไฟล์ที่ชื่อ soundmsg.exe จากนั้นก็จัดการ end progress โดยการคลิ้กขวาเลือก end process หรือ กด delete แล้วตอบ yesไป
2. ลบไฟล์ คลิปVDO.exe
3. ไปที่ C:windowssystem32 แล้วหาไฟล์ soundmsg.exe หรือsearch หาไฟล์ soundmsg.exe
4.ไปที่Start menu->Run พิมพ์เข้า RegEdit เลือกที่HK_Local_MachineSoftwareMicrosoftWindowsCu rrentVersionRun ลบค่า Registry ที่ชื่อVirus test
5.ถ้าไวรัสติดที่Handy drive ให้เข้าSave Mode ของWindows แล้วเข้าไปลบไฟล์คลิปVDO.exe
9.Flashy.exe
ลักษณะอาการ
- ไม่สามารถเรียกใช้ Task Manager, Registry Editor และFolder Option ได้
-หากพยายามแก้ไขด้วยวิธีการทำ System Restore ถ้าเครื่องของเราได้ทำการตั้งรหัสเอาไว้ Flashy.exe จะทำการแก้รหัสของเราใหม่ ทำให้ไม่สามารถ Login เข้าเครื่องของเราได้อีกเลย
- Error นี้จะแสดงขึ้นมาทันทีเมื่อ ตรวจพบการใช้งาน Controller ของ Removeble Media ต่างๆ
-อยู่เฉยๆอาจจะปกติไม่มีอะไร แต่เมื่อเสียบ Card Reader เข้าไปก็จะโชว์ Error นี้ทันที
- เมื่อเสียบFlash Driveเข้าไปหรือเสียบ Memory Card เข้าไปใน Card Reader แล้ว
- หากว่าใน Memory Card หรือ Flash Drive ของเรามี Aplication อยู่ (นามสกุล .exe ) Flashy.exe จะทำการปลอมชื่อตัวเองไปเป็นชื่อเดียวกัน Aplication นั้นๆ ทำให้เข้าใจว่าAplication ของเรากำลังเรียกใช้งานอยู่ตามปกติ
จะมีการเขียนค่าลงใน Memory Card ที่เราไส่ลงไป และทำให้ตัวเองมีหน้าตาเหมือน Folder และเมื่อเราเอาไปใช้ที่ใหม่ เครื่องอื่นจะมองเห็นเป็น Folder ทำให้ User ไม่ทันระวังตัว พอดับเบิ้ลคลิกไปก็เท่ากับเป็นการรัน Virus เข้าเครื่องในทันที
- Virus ตัวนี้ไม่แพร่กระจายในเครือข่าย (คือไม่ใช่ อยู่ๆก็ไปเขียนค่าหรือ ติดตั้งตัวเองในเครื่องอื่นๆในวง Lan ของเรา มันจะอยู่แต่เครื่องที่มันอยู่เท่านั้น แต่ใช้ Flash Drive เป็นพาหะแทน)
- อาการจะแสดงผลในทันที ไม่รีรอค่อยๆ เป็นค่อยๆ ไป
วิธีแก้ไข
1. ให้ใส่รหัสผ่าน คือ hacked
2. เข้าไปที่Task Manager เลือก Processes หาชื่อ Flashy.exe และ systemID.pif เลือกEnd Process
3. เนื่องจาก ไม่สามารถเข้าไปแก้ไขค่า Registry ในRun> regedit ได้ จึงต้องสร้างไฟล์เพื่อปลดล็อค regedit โดยการสร้าง Notepadแล้วพิมพ์ ดังนี้ โดย File สามารถใช้ปลดล็อค ได้กับทุกกรณีที่มีการล็อค regedit ที่เกิดจากไวรัสตัวอื่นๆ
เมื่อพิมพ์เสร็จก็ให้ save เป็นนามสกุล .inf หรือสามารถ Download โดยคลิ๊กที่ Link
http://securityresponse.symantec.com...UnHookExec.inf
เมื่อสร้าง หรือ Download เสร็จ ให้คลิกขวาแล้วเลือก install
4. ไปที่ Run พิมพ์ regedit แล้วให้ลบไฟล์ใน regedit ดังนี้
-HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVe rsion PoliciesExplorer ลบ "NoFolderOptions" = "1“
-HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVe rsion ExplorerAdvanced ลบ "HideFileExt" = "1"
-HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVe rsion ExplorerAdvanced ลบ "Hidden" = "2"
-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices SharedAccess ลบ "Start" = "4"
-HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentV ersion Run ลบ Flashy.exe
5. ไปที่Start MenuProgramsStartup ลบ systemID.pif
6. ไปที่ Run พิมพ์ msconfig เลือก start up เอาเช็คถูกหน้า systemIDออก
7. ไปที่ Run พิมพ์ regedit แล้วไปที่HKEY_LOCAL_MACHINE SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
โดยแก้ค่าRegistryดังนี้ (ถ้าไม่มีก็คลิกขาวเลือกNewเลือกString value)
"AutoAdminLogon"="1" "DefaultUserName"=“ชื่อผู้ใช้"
"DefaultPassword"hacked"
8. เปิด Show hidden File แล้วไปที่ C:WINDOWSsystem32 ลบ File ชื่อ Flashy.exe
9. หาแผ่น Hirens BootCD 8.1 โดยการโหลดจากhttp://files.9down.com:8080/HBCD81%5...own.com%5D.rar
Writeลงแผ่นCD แล้วทำการ Boot เครื่องด้วย CD ให้เลือกหัวข้อ Password ข้อ 1. แล้วเลือก patition เลือก Account ที่จะล้าง Password และ ออกจากโปรแกรม
10.Toy.exe
ลักษณะอาการ
1.เมื่อเปิดเครื่องขึ้นมาหน้า Desktop จะมีภาษาจีนและ ภาษาอังกฤษขึ้นมา
2.ไม่สามารถ เข้า Local Disk ต่างๆได้ตามปกติรวมถึงFlash Drive ด้วยโดยจะดับเบิ้ลคลิ๊กเข้าDrive ต่างๆโดยตรงไม่ได้ ต้องคลิ๊กขวาแล้ว Open หรือ Explore เท่านั้น
วิธีแก้ไข
1.เข้าไปที่
C:Document and Setting ชื่อ User Start Menu Program Startup
และ C:WINDOWSSYSTEM32
ลบFile ที่ชื่อ mslogon
2.ทำการ Restart เครื่อง
Windows Genuine
เนื่องจากคอมพิวเตอร์ที่ใช้ระบบปฏิบัติการ Windows XP PRo ผิดลิขสิทธิ์ทั่วโลกกว่าครึ่งกำลังถูก Microsoft ตรวจสอบลิขสิทธิ์ทำให้ต้อง Format Harddisk ใหม่ทั้งหมด ผ่านทาง Windows Update ปัญหานี้เกิดจากตัวอัพเดตที่มีรหัส KB890859 โดยจะทำให้ user mode ของWindowsเกิดปัญหา จะเริ่มจาก Microsoft จะเข้ามาเตือนว่า Update พร้อมสำหรับ โหลดแล้ว (สำหรับผู้ที่ตั้งเป็น Notify me but don't download) เมื่อการอัพเดตเสร็จสมบูรณ์ Product Key จะถูกส่งไปยัง Microsoft Server เพื่อดูว่าผิดลิขสิทธิ์หรือไม่ หากผิด เมื่อเครื่องคุณ Restart แล้วก็จะไม่สามารถLogonได้ เครื่องจะมีหน้าจอสีฟ้า เกิดจากการแก้ไขไฟล์ในระดับ kernel ทำให้เกิด c000021a fatal error
วิธีแก้ไข
วิธีที่ 1 เข้า recovery console ของวินโดว์
1.Set Biosให้เครื่องบูตจากซีดีรอม โดยใส่แผ่น setup ของวินโดว์ xp เอาไว้
2.เมื่อเครื่องบูตเข้าตัวเซ็ตอัพวินโดว์จนถึงหน้าที่ ให้เลือกเซ็ตอัพให้กด r เพื่อเข้าสู่ recovery console
3.เมื่อเข้าสู่ recovery console จะเป็นจอสีดำคล้าย DOS แล้วจะถามว่าต้องการทำงานกับไดรฟ์ไหน โดยจะมีรายการขึ้นมาให้กดตัวเลขเลือก เช่น [1]C:WINDOWS ถ้าจะทำงานกับไดรฟ์นี้ก็กด 1 แล้วกด enter
4.ให้ใส่Passwordลงไป ถ้าไม่มีก็กด enter ผ่านไปเลย แล้วก็จะขึ้น C:WINDOWS>
5. ให้เข้าไปในโฟลเดอร์ชื่อ $NtUninstallKB890859$ โดยพิมพ์ cd$NtUninstallKB890859$ แล้วกด enter ที่หน้าจอจะขึ้นC:WINDOWS$NtUninstallKB890859$>
6. พิมพ์ dir แล้วกด enter จะมีรายชื่อไฟล์ขึ้นมาให้ดู ให้ copy ไฟล์ authz.dll, user32.dll, winsrv.dll, ntkrnlpa.exe, ntoskrnl.exe และ win32k.sys ไปไว้ที่ C:WINDOWSSYSTEM32
7.พิมพ์ copy authz.dll c:windowssystem32 แล้วกด enter จะถามว่าจะให้ overwrite ทับไฟล์ที่มีอยู่แล้วหรือไม่ ให้ตอบ yes โดยกด y ทำแบบนี้จนครบทุกไฟล์ คือ พิมพ์ copy ชื่อไฟล์ c:windowssystem32
เมื่อทำครบหมดทุกไฟล์แล้วให้พิมพ์ exit แล้วกดenterเครื่องจะรีสตาร์ตเอง
ไม่มีความคิดเห็น:
แสดงความคิดเห็น