Achitasin vbs Browser Hijack
posted on 28 Feb 2007 21:23 by yium in Antivirus, Computer
ได้ข้อมูลดีๆมาจากการช่างสังเกตของเพื่อน และคำบอกเล่าจากหลายๆท่าน
ที่ใน IE บนหัวแทนที่จะขึ้นว่า Internet Explorer แต่กลับไปขึ้นเป็น Achi หรือ Hello world VB แทน
ต่อไปมาเข้าเรื่อง VB ที่กำลังระบาดอยู่ในขณะนี้ มาดูการทำงานของมันกัน
แล้วดังนั้น เปิดดู Hidden File ทั้งหมด โดยเปิดหน้าต่างขึ้นมา 1 หน้าต่าง
แล้วไปที่ Tool > Floder option > เลือก tab view
> Show hidden file and Folder > แล้วเอาเครื่องหมายถูกออกตามภาพครับ
นี่คือรูปที่จับมาได้ว่ามันก๊อบตัว VB ของมันลงที่ Handy Drive ของผม
ส่วนไฟล์ HTML คือไฟล์ที่เอาไว้แสดงผลว่า "อชิ(อะไรซักอย่าง)สุดหหล่อ"
Edit เพิ่มเติมนะครับ ได้ข้อมูลมาเพิ่ม
ก่อนทำการลบไฟล์ *.dll.vbs ใดๆ ให้ทำการ Kill Proccess
"Wscript.exe" ไปก่อน โดยการเข้าทีั่ Task Manager
(Ctrl+Alt+Del หรือ คลิ๊กขวาที่ Task Bar แล้วเลือกที่ Task Manager ครับ)
เมื่อ Kill หรือ End Process ชื่อ Wscript.exe นี้ไป
จะเป็นการหยุดการคัดลอกตัวไฟล์ไวรัสลง
ถ้าจะลบตัว VB ได้คือควรจะมีโปรแกรมชื่อUnlocker
เพื่อที่จะได้ว่า Kill Process "Wscript.exe" ของ VB ตัวนี้ได้
แต่ถ้าไม่มีแล้ว Kill Process ใน Task Manager ก็ได้เหมือนกันครับ
โค้ดการทำงานบางส่วนของมันจะเห็นว่าเป็นกาฝาก
วิธีเข้าไปแก้ Regitry โดย เข้าไปที่ Start > Run > พิมพ์ regedit เท่านี้ล่ะครับ
จากนั้นเราก็เข้าไปแก้ใช้ค่า Registry ดังนี้ครับ
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL
",xpway&"\achi.dll.vbs <<ไว้รันตัวมันเอง และแพร่กระจายไปเครื่องอื่น
อันนี้เจอแล้วลบไปเลยไม่ต้องแก้
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
","Achitasin&MindMap <<อันนี้คือที่มันไปเปลี่ยน Title ของ IE
อันนี้แก้จาก Achitasin&MindMap ->> Internet Explorer
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
","C:\achi.htm << ไว้รันหน้าที่ว่า "อชิตสิน สุดหล่อ" ประมาณนั้น
อันนี้แก้จาก C:\achi.htm ->> about:blank หรือ url Home Page ที่ต้องการ
Edit 23/03/2007
NOD32 Registry Recovery Tool
ไอ้ตัวนี้จะแก้ปัญหาที่ไวรัสไปแก้ค่าต่างๆไว้เกือบทั้งหมด (ที่ดังๆ) อย่างAuto Run หรือ Title Bar ของ IE ตัวนี้ก็จะเรียกค่ากลับคืนมาให้ทั้งหมดคับ แล้วก็มีอีกอัน คือ
NOD32 VBS Autorun[Small.K] Fix + NOD32_Godzilla+Moozilla[Butsur.A,B]-Fix + NOD32 VBS[Butsur.D]-Fix
หวังว่าคงจะเป็นประโยชน์ให้กับหลายๆท่าน แล้วถ้าใครติดไวรัสอะไรอื่นๆอีก
ลองเข้าไปดูรายละเอียดที่เว็บของ NOD32 ได้นะครับ ^^
อ่านเพิ่มเติมจาก เว็บ Thaicert แล้วไปที่หัวข้อVBS.Solow
(Rundll64.dll.vbs หรือ Hello World I am VB) เป็นไฟล์ PDF นะครับ
รายละเอียดอ่านข้างในแล้วจะเข้าใจเลย แต่ถ้าขี้เกียจอ่านผมก็จะก๊อบมาให้ครับ
1. ดาวโหลดโปรแกรมกำจัดไวรัสของ ThaiCERT แล้วติดตั้งให้เรียบร้อย
2. ดาวโหลดแพทอัพเดทของโปรแกรม แล้วติดตั้ง
3. กดสแกน แล้วลบทิ้งออกไปทั้งหมด
4. หลังจากนั้นต้องซ่อมแซมค่า รีจิสทรี ที่เสียหาย อันนี้ก็มีให้โหลดเช่นกันครับ
ของแถมที่เพิ่งไปเจอมา
![]()
![]()
![]()
![]()
![]()
![]()
![]()
![]()
![]()
ที่ใน IE บนหัวแทนที่จะขึ้นว่า Internet Explorer แต่กลับไปขึ้นเป็น Achi หรือ Hello world VB แทน
ถ้าเครื่องนั้นๆติดไวรัส Godzilla+Moozilla[Butsur.A,B] อยู่อาการของไวรัสคือ
จะต้องคลิ๊กขวาเพื่อเปิดไดร์ฟ ซึ่งไวรัสใช้ Handdy Drive ในการแพร่กระจายไวรัส
ถ้าไม่ใช่ตัวนี้ก็จะเป็นชื่อ Rundll64.dll.vbs ครับ คือ2ตัวนี้เป็นญาติกันอ่ะครับ
จะต้องคลิ๊กขวาเพื่อเปิดไดร์ฟ ซึ่งไวรัสใช้ Handdy Drive ในการแพร่กระจายไวรัส
ถ้าไม่ใช่ตัวนี้ก็จะเป็นชื่อ Rundll64.dll.vbs ครับ คือ2ตัวนี้เป็นญาติกันอ่ะครับ
ต่อไปมาเข้าเรื่อง VB ที่กำลังระบาดอยู่ในขณะนี้ มาดูการทำงานของมันกัน
1. วิธีการแก้ไขด้วยตนเอง
แล้วดังนั้น เปิดดู Hidden File ทั้งหมด โดยเปิดหน้าต่างขึ้นมา 1 หน้าต่าง
แล้วไปที่ Tool > Floder option > เลือก tab view
> Show hidden file and Folder > แล้วเอาเครื่องหมายถูกออกตามภาพครับ
พยายามลบมันออกไปอย่างเร่งด่วน
มันจะมีทั้งไฟล์ achi.dll.vbs หรือ "computername".dll.vbs
computername ที่มหาลัย ชื่อ 901_XX อ่ะนะ
มันจะมีทั้งไฟล์ achi.dll.vbs หรือ "computername".dll.vbs
computername ที่มหาลัย ชื่อ 901_XX อ่ะนะ
นี่คือรูปที่จับมาได้ว่ามันก๊อบตัว VB ของมันลงที่ Handy Drive ของผม
ส่วนไฟล์ HTML คือไฟล์ที่เอาไว้แสดงผลว่า "อชิ(อะไรซักอย่าง)สุดหหล่อ"
Edit เพิ่มเติมนะครับ ได้ข้อมูลมาเพิ่ม
ก่อนทำการลบไฟล์ *.dll.vbs ใดๆ ให้ทำการ Kill Proccess
"Wscript.exe" ไปก่อน โดยการเข้าทีั่ Task Manager
(Ctrl+Alt+Del หรือ คลิ๊กขวาที่ Task Bar แล้วเลือกที่ Task Manager ครับ)
เมื่อ Kill หรือ End Process ชื่อ Wscript.exe นี้ไป
จะเป็นการหยุดการคัดลอกตัวไฟล์ไวรัสลง
ถ้าจะลบตัว VB ได้คือควรจะมีโปรแกรมชื่อUnlocker
เพื่อที่จะได้ว่า Kill Process "Wscript.exe" ของ VB ตัวนี้ได้
แต่ถ้าไม่มีแล้ว Kill Process ใน Task Manager ก็ได้เหมือนกันครับ
โค้ดการทำงานบางส่วนของมันจะเห็นว่าเป็นกาฝาก
วิธีเข้าไปแก้ Regitry โดย เข้าไปที่ Start > Run > พิมพ์ regedit เท่านี้ล่ะครับ
จากนั้นเราก็เข้าไปแก้ใช้ค่า Registry ดังนี้ครับ
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL
",xpway&"\achi.dll.vbs <<ไว้รันตัวมันเอง และแพร่กระจายไปเครื่องอื่น
อันนี้เจอแล้วลบไปเลยไม่ต้องแก้
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title
","Achitasin&MindMap <<อันนี้คือที่มันไปเปลี่ยน Title ของ IE
อันนี้แก้จาก Achitasin&MindMap ->> Internet Explorer
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
","C:\achi.htm << ไว้รันหน้าที่ว่า "อชิตสิน สุดหล่อ" ประมาณนั้น
อันนี้แก้จาก C:\achi.htm ->> about:blank หรือ url Home Page ที่ต้องการ
สรุปแล้วคือ ต้องลบไฟล์ของตัวมันให้หมด แล้วเข้าไปแก้ REG ให้เป็นปรกติแล้วรีเครื่องใหม่
Edit 23/03/2007
2.แก้ไขโดยใช้ Tool ของ NOD32
เพิ่งสังเกตว่า Nod32 Cleaner Tool มีหลายอัน เลยแนะนำอันนี้ NOD32 Registry Recovery Tool
ไอ้ตัวนี้จะแก้ปัญหาที่ไวรัสไปแก้ค่าต่างๆไว้เกือบทั้งหมด (ที่ดังๆ) อย่างAuto Run หรือ Title Bar ของ IE ตัวนี้ก็จะเรียกค่ากลับคืนมาให้ทั้งหมดคับ แล้วก็มีอีกอัน คือ
NOD32 VBS Autorun[Small.K] Fix + NOD32_Godzilla+Moozilla[Butsur.A,B]-Fix + NOD32 VBS[Butsur.D]-Fix
หวังว่าคงจะเป็นประโยชน์ให้กับหลายๆท่าน แล้วถ้าใครติดไวรัสอะไรอื่นๆอีก
ลองเข้าไปดูรายละเอียดที่เว็บของ NOD32 ได้นะครับ ^^
3.วิธีแก้ไข จาก ThaiCERT
รายละเอียดอ่านข้างในแล้วจะเข้าใจเลย แต่ถ้าขี้เกียจอ่านผมก็จะก๊อบมาให้ครับ
1. ดาวโหลดโปรแกรมกำจัดไวรัสของ ThaiCERT แล้วติดตั้งให้เรียบร้อย
2. ดาวโหลดแพทอัพเดทของโปรแกรม แล้วติดตั้ง
3. กดสแกน แล้วลบทิ้งออกไปทั้งหมด
4. หลังจากนั้นต้องซ่อมแซมค่า รีจิสทรี ที่เสียหาย อันนี้ก็มีให้โหลดเช่นกันครับ
4.แก้ไขด้วยโปรแกรมของไทย ไทยทำ
CPE17 Autorun Killer (AntiAutorun) ทั้งแก้และป้องกันปัญหาในอนาคต
สามารถดาว์โหลดได้จาก Thaiware.com
อ่ายรายละเอียดโปรแกรมได้จากเว็บไซต์ผู้พัฒนาโปรแกรม
สามารถดาว์โหลดได้จาก Thaiware.com
อ่ายรายละเอียดโปรแกรมได้จากเว็บไซต์ผู้พัฒนาโปรแกรม
5. วิธีแก้ไขโดยใช้ Tool จาก Trend Micro
โปรแกรมตัวนี้ไม่ได้แค่ฆ่าตัวนี้เท่านั้นน่ะ
แต่กำจัดทุกตัวที่ฐานข้อมูลมันมีเลยแหละ
ถ้าโหลดฐานข้อมูลล่าสุดมันมา ก็จะได้อันใหม่สุดแล้วล่ะ
1. Download ตัวเรียกโปรแกรม ของ Trend Micro
2. Download ตัวฐานข้อมูลไวรัส (lptxxx.zip)
3. ถ้าคิดว่าไหนๆก็สแกนแล้วก็หา Spyware ไปในตัวก็อันนี้ด้วย(Optional)(ssapiptnxxx.zip)
เมื่อโหลดทั้ง 3 (หรือ2) มาแล้วก็แตกไฟล์ lptxxx ออกมาจาก zip ไฟล์
แล้วสร้าง โฟลเดอร์หนึ่งขึ้นมา นำไฟล์ทั้ง 3 (หรือ2) มารวมไว้ด้วยกัน
เสดแล้วหน้าตาจะประมาณนี้อ่ะ ดูคู่มือฉบับเต็มได้ที่นี่ครับ
จากนั้น รีสตาร์ทเครื่อง กด F8 ก่อนจะขึ้นจอบูตวินโดว์
(กดยิกๆนั้นแหละ)
แล้วเลือกแบบ Safe Mode พอเข้าไปแล้วขึ้นหน้าต่างถามมาให้กด Yes
แล้วเริ่มใช้งานในระบบ Safe Mode ได้
จากนั้นไปยังโฟลเดอร์ที่เรานำไลฟ์มารวมเอาไว้
แล้วเรียกใช้โปรแกรมผ่าน sysclean.com
แล้วจะมีหน้าจอดอสขึ้นมา เราก็รอมันแตกๆไฟล์ แล้วก็มาดูเป็นระยะๆ
เพราะโปรแกรมนี้ถ้าเจอไวรัสแล้วมันจะเด้งหน้าต่างให้เรากด OK
(เวอร์ชันแรกๆไม่มีอ่ะนะ)
พอสแกนเสดก็ รีสตาร์ทเครื่อง เราสู่ระบบปรกติ
ส่วนในกรณีที่มันเปลี่ยนชื่อ หัวของ Browser ไปด้วย
ให้ขึ้นไปแก้ไขตามขั้นตอนด้านบนคร้าบบ
6. Tool จาก McAfee ชื่อ Stinger
เข้าไปโหลดจากหน้านี้เอาแล้วเลือก Stinger ที่ใหม่ที่สุดมาใช้
ตัวนี้ก็จะคล้ายๆของ TrendMicro แต่ไม่เป็น DOS แล้ว
ก็เรียกว่าน่าใช้กว่าล่ะมั้ง?
แต่ๆ ฐานข้อมูลไม่ค่อยได้อัพเดทเท่าไหร่
ไม่ก็อัพเดทช้า เรียกได้ว่าใส่แต่ข้อมูลไวรัสดังๆเท่านั้นเอง
พล่ามมานานไม่ได้ให้ลิงค์ซักที Stinger Releases
ของแถมที่เพิ่งไปเจอมา
ถ้ารู้ว่า ไวรัสมันทำงานอยู่ที่ Process ไหนแล้วล่ะก็
กด Kill Process ด้วยตัวเองเลยนะ
เข้าไปโหลดได้เลยของ Microsoft Process Explorerแต่ไม่เสียกะตังนะ
จริงๆแล้วตอนนี้ถ้าอัพเดทแอนตี้ไวรัสอย่างต่อเนื่อง ตัวโปรแกรมจะจับได้แล้วครับ
Loading image
Click anywhere to cancel
Image unavailable
Loading image
Click anywhere to cancel
Image unavailable
Loading image
Click anywhere to cancel
Image unavailable
แหม ตั้งชื่อ อชิตสิน สุดหล่อ ด้วยนะเนี่ย
#1 By 丽丽 ~ ชิงช้าโบราณ on 2007-02-28 22:00