โดย: Yai , วันที่: วันพฤหัสบดีที่ 26 กรกฎาคม พ.ศ. 2550 เวลา 22:38:27 นาฬิกา , ip: 127.0.0.1
วันนี้ขณะที่นั่งอู้งานเล่น MSN (Windows Live Messenger หรือชื่ออื่นๆตามจะเรียก) อย่างสบายใจนั้น ก็มีเพื่อนคนนึงชื่อไอ้คุณพลูได้ทักมาด้วยข้อความนึงโอ้ "
Should I put this on facebook/myspace?" งืมๆ แปลกๆวุ้ย ปกติมันไม่ทักด้วยข้อความแบบนี้นี่หว่าสักพักตามด้วยการส่งไฟล์ที่ชื่อ
images.zip มา เฮ้ย!!! อาไรฟ่ะ มะกี้ตอนที่ออนเอมน้องสาว(เค้าฝากออนงะ) ก็มีคนทักมาด้วยข้อความแบบนี้นี่หว่าพร้อมด้วยการส่งไฟล์ชื่อ
images.zip มาด้วยแต่เราไม่สนใจง่ะแล้วก็ไม่ได้รับนึกว่าเค้าตั้งใจส่งให้น้องเค้า ไม่ใช่แค่รอบเดียวนะรอบ 2 ส่งข้อความมา "
LOL, you look so ugly in this picture, no joke..." ผมกะเลยรับไฟล์ของไอ้พลูมาดูด้วยความอยากรู้อยากเห็นง่ะ ทั้งๆที่พอจะเดาออกแล้วล่ะมันคืออะไรแล้วก็ถามมันไปแล้วด้วยว่าโดนไวรัสช่ายมะ มันบอกว่าใช่แล้วมันก็โทรมาบ่นเลยครับ พอรับไฟล์มาเท่านั้นแหละ ไอ้เจ้า
kaspersky ที่ผมใช้อยู่ร้องจ๊ากก!!!! เลย ใครใช้อยู่จะรู้ว่าไอ้แอนตี้ไวรัสตัวนี้มันเจอไวรัสแล้วร้องได้อารมย์แค่ไหน *0* มาต่อๆนอกเรื่องแล้ว ด้วยความขี้เกียจผมก็เลยส่งไอ้เจอ
kaspersky ให้ไอ้พลูมานแต่ด้วยเน็ตความเร็วเต่าที่ผมใช้อยู่ทำให้นานมากส่งไม่เสร็จซักที(เรื่องของเรื่องเปิดบิตอยู่) ไอ้พลูมันกะเลยโทรมาบ่นหาวิธีแก้แบบแมนนวลได้มะ ก็ได้ฟ่ะหาก็หา เข้าไปดูในเว็ปของ
kaspersky มันกะยังไม่มีข้อมูล(แต่มันสะแกนเจอนะ) จากนั้นก็พระเจ้า google ช่วยด้วย พระเจ้าเป็นใจครับแต่ โอ้วววว^&*?-+ มันกลายเป็นบล๊อกของคนจีนไปเสียนี่ใครอยากดู
จิ้มตรงนี้ อ่านออกจังนะตรูแต่ก็ยังดีครับเค้าบอกถึงอาการของไวรัสตัวนี้ แต่ไม่บอกวิธีแก้โอ้วอารายว้าบอกก็บอกไม่หมด งืมๆแก้เองกะได้ฟ่ะ
ร่ายซะยาวเลยมาดูอาการมันก่อน มันจะแสดงข้อความแบบนี้จากคนที่เราคุยด้วย
- Should I put this on facebook/myspace?
- LOL, you look so ugly in this picture, no joke...
- มีอีกป่าวมะรุ้ม่ายเจอ
ตามด้วยส่งไฟล์ชื่อ images.zip มาซักพักเอมจากค้างไปเลย
สิ่งที่มันทำกับคอมเรา
[Added process]
C:\WINDOWS\winlog32.exe
[Deleted process]
C:\WINDOWS\system32\wscntfy.exe
[Modified service]
NAME: wscsvc
DISPLAY: Security Center
STATUS: SERVICE_STOPPED
FILE: C:\WINDOWS\System32\svchost.exe-1 -k netsvcs
[Added file]
C:\WINDOWS\images.zip
- image.zip MD5 -> 1f3809384c5ec47892b2a61de4f587c3,
- image.zip-1/IMG34814.pif MD5 -> fc5415dc9054ee0934e3ff3e587de444
C:\WINDOWS\winlog32.exe
[Added registry]
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Value=MSN
Data=winlog32.exe
วิธีแก้ใข (เอาเท่าที่ผมทำได้)
1. หยุดการทำงารมันก่อนด้วยการกดปุ่ม Ctrl + Alt + Delete (หรือจะใช้วิธีคลิกขวาที่ Task Bar > Task Manager ก็ไม่ว่ากัน) แล้วไปที่แทป Process มองหา winlog32.exe แล้วจิ้ม End Process ซะ
2. ลบไฟล์มันงับโดยไปที่ C:\Windows ครับถ้าใครใช้ Root อื่นก็ไปตามที่ท่านใช้นั่นแหละครับ มองหาไฟล์ winlog32.exe กับ images.zip แล้วลบมันโลดไม่ต้องเก็บไว้ทำพันธุ์หรอก แนะนำกด Shift + Delete ไปเลย (ถ้าหาไม่เจอหาเปิด hidden ไฟล์ดูครับ)
3. หลังจากนั้น ไปที่ Start > Run แล้วพิมพ์ regedit กด OK ไป จะขึ้นหน้าต่าง Regedit Editor ขึ้นมา แล้วเปิดไปที่HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ตามลำดับครับ ในรายการด้านขวามองหา คีย์ที่ชื่อว่า MSN แล้วมีข้อมูลเป็น winlog32.exe ลบมันทิ้งไปเลยครับไม่ต้องเสียดาย
4. ปิด System Restore ไว้ก่อนกันเหนียว โดยการไปที่Contorl Panel>System>System Restore ไปติกตรง Turn off System Retore on all drives แล้วกด OK ไปครับ
5. Restart คอมซักรอบเป็นอันจบพิธีครับ
อ้างอิง
winlog32.exe:
[ Microsoft ], "Backdoor:Win32/Sdbot.gen!A"
[ Kaspersky ], "IM-Worm.Win32.Agent.f"
[ HBEDV ], "HEUR/Malware"
[ Ewido ], "Backdoor.Bifrose.agk"
images.zip-1/IMG34814.pif:
[ Microsoft ], "Backdoor:Win32/Sdbot.gen!A"
[ Kaspersky ], "IM-Worm.Win32.Agent.f"
[ HBEDV ], "HEUR/Malware"
[ Ewido ], "Backdoor.Bifrose.agk"