Tác hại & cách diệt Virus, Trojan, Spyware, Worm + Removal Tools

So_No_Mi · 16/6/08

Mã:

Máy không sửa , thay đổi được homepage trong IE ?
Máy khi vào regedit thì hiện ra thông báo :Registry editing has been disabled by your administrator ?
Máy không hiện được task manager ?
Máy khi vào Start không thấy Run ?
Folder Option (FO) mất 2 dòng Show/Do not show hidden files and folders
Không hiện được file/folder ẩn bằng FO ?
Máy bị mất FO do virus thì làm thế nào để nó hiện lại ?

Link :

Mã:

[url]http://forum.gamevn.com/showpost.php?p=8014931&postcount=2[/url]
[url]http://forum.gamevn.com/showpost.php?p=8805645&postcount=3[/url]

Note:
- Khi download tool về nên dùng quét qua trước khi sử dụng (Hơi thừa tí vì các file này đều lưu trên softpedia nên khả năng chứa virus là cực thấp, hầu như là không có, nhưng cần thận vẫn hơn)
- Khi máy bị nhiễm virus thì cần phải tìm thông tin trên google như các triệu chứng chung chung như máy chậm, cài phần mềm diệt virus không được (1 số virus nó không cho cài phần mềm diệt virus bằng cách gây lỗi file cài đặt), nếu biết được tên của con virus đó thì vào topic này, nhấn tổ hợp phím Ctrl + F trong trình duyệt để tìm kiếm nhanh trong topic.
- Được phép thảo luận ở topic này

4 fantastic · 18/6/08

Em làm 1 slot riêng nhé bác ( thấy ko tiện thì bác cứ merge lại )

-------------------------------------------------

Hỏi : Máy không sửa , thay đổi được homepage trong IE ?

Đáp : vào Run gõ gpedit.msc > computer configuration > administrative templates > window component > interner explorer > chọn disable changing home page setting > click đúp vào sửa lại thành disable sau đó vào lại IE > tools >option > default home page >rồi sau đó vào lại gpedit.msc > set lại thành enable

-------------------------------------------------

Hỏi : Máy khi vào regedit thì hiện ra thông báo :Registry editing has been disabled by your administrator ?

Đáp :
1. start > run > gpedit.msc > user Cofniguration > administrative template > system > click đúp vào prevent access to registry editing tools > nếu đang ở trạng thái not configured hoặc enabled thì chọn disabled > ok (nếu đang ở trạng thái là disable thì chọn thì bạn chọn là enabled, click vào ok, rồi chọn lại là disabled > ok)
2.Mở notepad copy & paste đoạn mã dưới vào sau đó lưu lại dưới dạng UnHookExec.inf

Mã:

[Version]
Signature="$Chicago$"
Provider=Symantec

[DefaultInstall]
AddReg=UnhookRegKey

[UnhookRegKey]
HKLM, Software\CLASSES\batfile\shell\open\command,,,"""% 1"" %*"
HKLM, Software\CLASSES\comfile\shell\open\command,,,"""% 1"" %*"
HKLM, Software\CLASSES\exefile\shell\open\command,,,"""% 1"" %*"
HKLM, Software\CLASSES\piffile\shell\open\command,,,"""% 1"" %*"
HKLM, Software\CLASSES\regfile\shell\open\command,,,"reg edit.exe ""%1"""
HKLM, Software\CLASSES\scrfile\shell\open\command,,,"""% 1"" %*"
HKCU, Software\Microsoft\Windows\CurrentVersion\Policies \
System,DisableRegistryTools,0x00000020,0

-------------------------------------------------

Hỏi : Máy không hiện được task manager ?
Đáp : Start > Run > gõ lệnh với nội dung : REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 0 /f
hoặc
Start > Run > gpedit.msc > Administrative Templates > System > Ctrl+Alt+Delete Options > Remove Task Manager
double click vào Remove Task Manager thiết lập là Not Configured

-------------------------------------------------

Hỏi : Máy khi vào Start không thấy Run ?
Đáp : Start > All Programs > Accessories > Command Prompt > gõ "Regedit.exe" vào dòng lệnh của Command Prompt > mở được Registry Editor> tìm đến khóa HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ Advanced > ở cửa sổ bên phải sẽ thấy một giá trị REG-DWORD với tên "StartMenuRun" > Sửa thành 0 nếu muốn tắt, 1 nếu muốn khóa hoặc là xóa nó đi > khởi động lại máy.End

-------------------------------------------------

Sau 1 thời gian thì nhận thấy lock theard này ko thỏa đáng lắm open cho mọi người vô post [Chú ý : Đóng góp nghiêm túc , ko spam , ko hỏi đáp trong theard này ]

HieuNM · 30/8/08

Thấy ngoài kia nhiều người hỏi quá nên làm 1 slot tại đây :'>
Hỏi : Folder Option (FO) mất 2 dòng Show/Do not show hidden files and folders

Đáp : Mở notepad copy & paste đoạn mã dưới vào sau đó lưu lại dưới dạng *.reg

Mã:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden]
"Text"="@shell32.dll,-30499"
"Type"="group"
"Bitmap"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\
  00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,\
  48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,34,00,00,\
  00
"HelpID"="shell.hlp#51131"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

Hỏi : Không hiện được file/folder ẩn bằng FO ?

Đáp : Lại notepad và *.reg như ở trên
Mở notepad copy & paste đoạn mã dưới vào sau đó lưu lại dưới dạng *.reg

Mã:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden]
"Text"="@shell32.dll,-30499"
"Type"="group"
"Bitmap"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\
00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,\
48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,34,00,00,\
00
"HelpID"="shell.hlp#51131"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

Còn lười thì down thằng này về rồi chạy

Hỏi : Máy bị mất FO do virus thì làm thế nào để nó hiện lại ?
Đáp : Vào Start ~~> Run ~~> gpedit.msc ~~> User Configuration ~~> Administrative Templates ~~> Windows Components ~~> Windows Explorer ~~> Double click vào Remove the Folder Options menu item from the Tools menu > nếu đang ở trạng thái Not configured hoặc Enabled thì chọn Disabled > ok (nếu đang ở trạng thái là Disable thì chọn thì bạn chọn là Enabled, click vào ok, rồi chọn lại là Disabled > ok)

So_No_Mi · 10/10/08

Cách diệt Virus KAVO :

Tác hại :

Tạo ra một mã độc và lây vào các tiến trình như Explorer.exe, Iexplorer.exe , nhằm mục đích phá hoại !

Ăn cắp mật khẩu của máy tính bị nhiễm có truy cập Internet !

Tự động tìm tất cả các ổ đĩa cứng trong máy , USB (nếu đang cắm sẵn trong máy) và tự sao chép chính nó vào các ổ đĩa đó thành file ntdelect.com , ghi thêm file "autorun.inf" để virus có thể lây lan dễ dàng !

Tự động tạo file Autorun

Cách khắc phục :

Download file Kill_Kavo_Variants.zip ở file gửi kèm , xả nén sẽ thấy 1 file tên là Kill_KavoVariants.bat , rồi chép nó vào ổ C hoặc để ở chỗ nào dễ kiếm như ổ D cũng được !

Sau đó khởi động vào Safe Mode ! (Nhấn phím F8 để vào Safe Mode ) , sau đó tắt Sytem Resore ! ( Click chuột phải vào My Computer > Properties > Sytem Restore )

Nhấp đúp vào file Kill_KavoVariants.bat để nó tiến hành diệt con "cá vồ" , sau đó khởi động lại máy , vào win bình thường xem có được không ! Sau đó nên tắt chế độ hiển thị file ẩn đi , ko lại xóa nhầm file thì mệt

So_No_Mi · 11/2/09

Cách diệt trojan W32.Heular

Quá trình hoạt động :

Khi nhiễm Trojan nó sẽ tạo ra một số hoạt động sau :

Mã:

%SystemDrive%\.exe
%SystemDrive%\Documents and Settings\All Users\Documents\Admin Files.exe
%SystemDrive%\Documents and Settings\All Users\Documents\MP3 Files.exe
%SystemDrive%\Documents and Settings\All Users\Documents\My Media Files.exe
%SystemDrive%\Documents and Settings\All Users\Templates\Excel templates.exe
%SystemDrive%\Documents and Settings\All Users\Templates\PowerPoint temlates.exe
%Userprofile%\Desktop\User.exe
%System%\Aquarium 200.scr
%System%\EraleuH.exe
%System%\filesrv32.exe

Bước kế tiếp của nó là xâm nhập vào regedit để khởi tạo các tập tin chạy cùng window lúc khởi động :

Mã:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Microsoft File Server Manager 2.36" = "C:\WINDOWS\system32\filesrv32.exe" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Heiku - Munist" = "C:\WINDOWS\system32\EraleuH.exe"

Việc tiếp theo là nó sẽ làm ẩn đi tính năng registry tools and the folder options trong Window Explorer :

Mã:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"NoFolderOptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableRegistryTools" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\Defa ultIcon\"(default)" = "C:\WINDOWS\system32\filesrv32.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"IeakHelpString" = "I will always be with you, Huelar!"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\"EnableHeikus" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\"InstallDate" = "1/15/2008"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Freak-X Browser"

Tự động thêm vào regedit những khóa sau :

Mã:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Local Page" = "[http://]www.hentaisailormoon.com[REMOVED]"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "[http://]www.hentaisailormoon.com[REMOVED]"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"
Khởi tạo thêm nhưng file sau vào tất cả các ổ đĩa
%DriveLetter%\[Folder Name].exe
Saved Documents.exe
My Videos.exe
My Music.exe
Important Documents.exe
Gerger_files.exe
drvspace.com

Cách diệt:

1. Tắt System Restore
2. Cài 1 chương trình diệt virus mạnh như Kaspersky , Bitdefende , Nod32 , Avast ... nhớ cập nhật cơ sở dữ liệu mới nhất !
3. Quét toàn bộ hệ thống gồm ổ đĩa hệ thống và các ổ đĩa dữ liệu khác
4. Mở Regedit (vào Start > Run > gõ regedit)Tìm kiếm đến khóa sau và xóa đi :

Mã:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Microsoft File Server Manager 2.36" = "C:\WINDOWS\system32\filesrv32.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\"Heiku - Munist" = "C:\WINDOWS\system32\EraleuH.exe"

5. Đưa về mặc định :

Mã:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\"NoFolderOptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\System\"DisableRegistryTools" = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\Defa ultIcon\"(default)" = "C:\WINDOWS\system32\filesrv32.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\"IeakHelpString" = "I will always be with you, Huelar!"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\"EnableHeikus" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\"InstallDate" = "1/15/2008"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Window Title" = "Freak-X Browser"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Local Page" = "[http://]www.hentaisailormoon.com[REMOVED]"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\"Start Page" = "[http://]www.hentaisailormoon.com[REMOVED]"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"Hidden" = "0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\Advanced\"HideFileExt" = "1"

6. Thoát khỏi regedit và khởi dộng lại máy

So_No_Mi · 14/2/09

Cách diệt Trojan-Downloader.Win32.Delf.cfo

Quá trình hoạt động :

Khi con trojan này xâm nhập vào máy tính , nó sẽ tiến hành download các chương trình mã độc khác thông qua đường truyền Internet và chạy âm thầm trên máy của nạn nhân mà nạn nhân không hề biết . Con trojan này có dạng là 1 file EXE và có dung lượng 133120 byte

Khi hoạt động con Trojan này sẽ copy file thực thi (*.exe) của nó vào thư mục gốc của Windows , chi tiết bên dưới :

Mã:

%WinDir%\iexplorer.exe

Phòng trường hợp người sử dụng dùng các chương trình quản lý khởi động để ngăn ko cho nó khởi động cùng window thì nó sẽ thêm một đường dẫn để file thực thi trong registry hệ thống :

Mã:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IE" = "%WinDir%\iexplorer.exe"

Con trojan này còn có thêm một trò là vào Windows Firewall để hợp pháp hóa bất kỳ hoạt động bất hợp pháp nào đối với mạng của nó ! vL

Sau khi xâm nhập vào máy tính và khi nạn nhân kết nối vào Internet nó sẽ download các file từ những URL mà người viết con trojan này đã định như sau :

Mã:

http://www.site*****.com/top7_1.gif
http://www.site*****.com/top7_2.gif
http://www.sugo*****.kr/bbs/icon/pri...ame/top7_1.gif
http://www.sugo*****.kr/bbs/icon/pri...ame/top7_2.gif

Hiện tại những link này không còn hoạt động nữa

Các file sau khi download về sẽ được lưu tại các vị trí sau :

Mã:

C:\Documents and Settings\All Users\winsql.dat
C:\Documents and Settings\All Users\DirectX.aud
C:\Documents and Settings\All Users\services.exe
C:\Documents and Settings\All Users\comctl64.dll

Khi nó đã download thành công các file cần thiết thì các file này sẽ bắt đầu hoạt động ...

Khôn ngoan hơn , con Trojan này cũng mở một đường link mà người dùng không hề biết hay đồng ý :

Mã:

http://pag*****.terra.com.br/arte/so.../cartao059.htm

Cách diệt :

Diệt bằng tay :

1. Dùng Task Manager để dừng ( End Process ) quá trình hoạt động của chương trình mã độc hoặc các chương trình lạ (Nhấn tổ hợp phím CtrL + ALt + Delete để mở Task Manager)

2. Tiến hành xóa file backdoor gốc ( vị trí file phụ thuộc vào cách nó chui vào máy tính nạn nhân lúc đầu ) , có thể dùng chức năng Search để tìm và diệt !

3. Xóa các khóa registry mà nó đã khởi tạo :

Mã:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IE" = "%WinDir%\iexplorer.exe"

4. Tiếp theo là xóa các file sau :

Mã:

%WinDir%\iexplorer.exe
C:\Documents and Settings\All Users\winsql.dat
C:\Documents and Settings\All Users\DirectX.aud
C:\Documents and Settings\All Users\services.exe
C:\Documents and Settings\All Users\comctl64.dll

5. Tải 1 chương trình diệt virus mạnh như Bitdefende , Kaspersky , NOD32 , Avast ... (nhớ update cơ sở dữ liệu) rồi cho quét toàn bộ hệ thống , sau đó khởi động lại máy !

So_No_Mi · 15/2/09

Nói thêm , nếu bị dính con Trojan nào mà không thể diệt được bằng các chương trình diệt virus thông thường thì có thể ghi lại tên của nó và vào trang web www.symantec.com/avcenter để download tool về mà diệt , đó là những công cụ được viết ra nhằm mục đích tiêu diệt gọn 1 con virus , trojan ... nào đó , rất hiệu quả !

So_No_Mi · 25/5/09

Cách diệt Trojan Vundo

Quá trình hoạt động :

Khi đã chui vào được máy tính của nạn nhân , nó bắt đầu tạo 1 tập tin thực thi exe với một trong những tên sau :

Mã:

abr,av,anti,ac,acc,ad,ap,as,bin,bas,bak,cab,cat,cmd,com,cr,c,drv,db,disk,dll,dns,dos,doc,dvd,eula,exp,fax,font,ftp,hard,iis,img,inet,info,ip,java,kb,key,lib,log,main,ms,mc,mfc,mp3,msvc,net,nut,odbc,ole,pc,ps,play,ras,reg,run,sys,srv,svr,svc,s,tapi,tcp,task,un,url,util,vb,vga,vss,xml,wave,web,w,win,wms

Tiếp theo , nó sẽ lưu lại và bắt đầu tiến hành kích hoạt các file trên trong các thư mục như :

Mã:

%Windir%\addins
%Windir%\AppPatch
%Windir%\assembly
%Windir%\Config
%Windir%\Cursors
%Windir%\Driver Cache
%Windir%\Drivers
%Windir%\Fonts
%Windir%\Help
%Windir%\inf
%Windir%\java
%Windir%\Microsoft.NET
%Windir%\msagent
%Windir%\Registration
%Windir%\repair
%Windir%\security
%Windir%\ServicePackFiles
%Windir%\Speech
%Windir%\system
%Windir%\system32
%Windir%\Tasks
%Windir%\Web
%Windir%\Windows Update Setup Files
%Windir%\Microsoft\

Kế tiếp nó bắt đầu thay đổi các giá trị trong Registry như sau :

*** Xóa các giá trị :

Mã:

"*MS Setup"

Từ các khóa registry :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

*** Thêm các giá trị :

Mã:

"*WinLogon" = "[Trojan full path file name] ren time:[random number]"

đến các khóa sau :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

*** Tạo mới các khóa :

Mã:

Tạo các khóa registry sau:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Active State

Nó sẽ xâm nhập để tải về và kích hoạt 1 tập tin có sẵn từ địa chỉ IP : 62.4.84.41.

Tập tin mà nó tải về là 1 adware module với 1 thành phần dll.

Tiếp theo . nó sẽ lưu trữ danh sách các liên kết (URL) và xâm nhập để gửi yêu cầu http cho 1 trong các địa chỉ IP :

62.4.84.53
62.4.84.56

Nó sẽ nhúng vào các dll : %Temp%\[reversed Trojan file name].dat.

Tiến hành lây nhiễm các tập tin dll của nhiều chương trình đang thực thi , mỗi chương trình được kích hoạt sau khi "threat" bắt đầu chạy

Việc tiếp theo của nó cũng không kém phần quan trọng là tạo các file tạm nguy hiểm :

Mã:

[reversed Trojan file name].bak1
[reversed Trojan file name].bak2
[reversed Trojan file name].ini

Tiếp tục thêm các giá trị vào registry :

Mã:

"*[Trojan file name]" = "[Trojan full path file name] rerun"

Đến khóa registry:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

Lại thêm tiếp :

Mã:

"[Default value]" = "{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}"

Đến các khóa registry :

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLEvents.ATLEvents\CLSID
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLEvents.ATLEvents.1\CLSID

Tạo một loạt các khóa Registry :

Mã:

Tạo các khóa registry:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2353FCBC-012D-487B-8BF3-865C0929FBEB} HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLDistrib.ATLDistrib\CLSID\
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLDistrib.ATLDistrib.1\CLSID\
HKEY_USERS\S-1-5-21-2068663838-1736639611-1443527720-500\Software\Microsoft\Windows
\CurrentVersion\Ext\Stats\{2353FCBC-012D-487B-8BF3-865C0929FBEB}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22E85F2A-4A67-4835-B2C3-C575FE4EC322}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ADOUsefulNet.ADOUsefulNet
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ADOUsefulNet.ADOUsefulNet.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{22E85F2A-4A67-4835-B2C3-C575FE4EC322}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60}
HKEY_CLASSES_ROOT\CLSID\{DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DPCUpdater.DPCUpdater
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DPCUpdater.DPCUpdater.1

Sau khi làm xong các việc trên , nó lại bắt đầu hiện các thông tin quảng cáo ở máy bị lây nhiễm ...

Kích hoạt lại các thành phần adware nếu các adware đó đã ngưng hoạt động

Tiếp theo con trojan này sẽ kích hoạt "rerun" sau khi khởi động lại máy , khi kích hoạt rerun , các giá trị sau được nó nhét thêm vào :

Mã:

"*[Trojan file name]" = "[Trojan full path file name]"

Đến khóa registry :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Việc này có thể chiếm nhiều bộ nhớ ảo của máy tính , nên máy tính của nạn nhân chạy rất chậm vì tốn quá nhiều bộ nhớ !

Cách diệt :

Để diệt nó 1 cách hiệu quả thì đầu tiên phải tắt System Restore đi , tải 1 tool của Symantec là FixVundo , download : http://www.symantec.com/content/en/us/global/removal_tool/threat_writeups/FixVundo.exe

Vào Safe Mode để bắt đầu diệt ! Vào Start > Run > gõ vào regedit để bắt đầu chỉnh sửa registry !

Vô hiệu các khóa sau ( cho giá trị của nó bằng 0 ) :

Mã:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLEvents.ATLEvents\CLSID
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLEvents.ATLEvents.1\CLSID

Xóa khóa :

Mã:

"[Default value]" = "{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}"

Vô hiệu khóa sau :

Mã:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce

Hoặc xóa các giá trị ở bên phải khóa sau:

Mã:

"*WinLogon = "[Trojan full path file name] ren time:[random number]"

Vô hiệu khóa sau :

Mã:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Xóa khóa :

Mã:

"*[Trojan file name]" = "[Trojan full path file name] rerun"

Vô hiệu khóa sau (gán giá trị bằng 0) :

Mã:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\

Xóa khóa :

Mã:

"*[Trojan file name]" = "[Trojan full path file name]"

Vô hiệu các khóa sau :

Mã:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\ActiveState
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2353FCBC-012D-487B-8BF3-865C0929FBEB} HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLDistrib.ATLDistrib\CLSID\
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLDistrib.ATLDistrib.1\CLSID\
HKEY_USERS\S-1-5-21-2068663838-1736639611-1443527720-500\Software\Microsoft\Windows
\CurrentVersion\Ext\Stats\{2353FCBC-012D-487B-8BF3-865C0929FBEB}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22E85F2A-4A67-4835-B2C3-C575FE4EC322}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ADOUsefulNet.ADOUsefulNet
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ADOUsefulNet.ADOUsefulNet.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{22E85F2A-4A67-4835-B2C3-C575FE4EC322}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60}
HKEY_CLASSES_ROOT\CLSID\{DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DPCUpdater.DPCUpdater
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DPCUpdater.DPCUpdater.1

Sau đó thoát khỏi regedit ! Nếu bị nó vô hiệu hóa cái regedit thì vào bằng cmd cũng ok ! Phải truy nhập vào máy tính bằng quyền Admin để có quyền chỉnh sửa , xóa ...

So_No_Mi · 26/1/10

Cách diệt virus Win32.Virut.CE:

Tác hại:
Khi con Win32.Virut.CE nó chui vào một máy tính của nạn nhân, nó sẽ làm cho máy tính đó chậm hẳn, làm người dùng rất khó chịu -> Lý do để người dùng nghi máy bị nhiễm virus.

Khi người dùng cắm USB vào thì liên tục xuất hiện các tập tin autorun.inf

Sau khi được kích hoạt, nó sẽ khởi động một số hàm sau: ZwDeviceIoControlFile, ZwCreateFile, ZwOpenFile, ZwCreateProcess, ZwCreateProcessEx, ZwQueryInformationProcess. Nó gọi các hàm trên để làm gì? Chính xác là khi một tiến trình nào đó đang chạy, nó sẽ gọi 1 hàm là CreateFile( tạo tập tin) để mở các tập tin có phần mở rộng là EXE( tập tin thực thi), SCR( Screen Saver) nên khi các tập tin này mở thì nó sẽ lây nhiễm vào toàn bộ máy tính.

Ngoài ra, con này cũng sẽ tiến hành kiểm tra các tập tin, nếu tên của tập tin mà bắt đầu bằng WINC, WCUN, WC32, PSTO thì sẽ bỏ qua và không lây nhiễm vào các tập tin đó.

Khi đã lây nhiễm vào các tiến trình trong hệ thống, nó sẽ inject một remote thread vào tiến trình winlogon.exe. Thread này sẽ tiến hành kết nối vào các trang web được định sẵn của tác giả phát tán virus và bắt đầu tải các phần mềm độc hại khác về máy và thực thi, tiếp tục cày xới, bới móc ở máy nạn nhân

Đặc biệt, ngoài các file có khả năng thực thi thông thường như EXE và SCR thì em nó (Win32.Virut.Ce) cũng "chịu khó" tìm các tập tin có phần mở rộng là PHP, ASP, HTM để chèn vào các iframe có chứa đường link dẫn đến các trang web độc hại có chứa những đoạn mã nguy hiểm( Việc này còn gọi nôm na là "mở cửa sau" để rước các phần tử phá hoại khác tiếp tục chui vào máy tính nạn nhân). Không dừng ở đó, virus còn tìm các ổ cứng di động như USB, điện thoại di động đang kết nối với máy tính bị nhiễm và tạo các file autorun vào các thiết bị đó, để khi đem cắm vào máy khác thì nó tiếp tục lây nhiễm

Cách diệt:

Download 1 công cụ nhỏ được viết riêng để diệt con này là Win32 Virut Gen Removal:

Mã:

http://support.cmclab.net/vn/flash/Win32.Virut.Gen.Removal.v0.2.zip

Nhớ tắt System Restore trước khi tiến hành quét, kết hợp thêm phần mềm chống Rootkit như CMC Code Walker để hiện các tiến trình ẩn đang chạy.

So_No_Mi · 29/7/13

Virus làm ẩn file trong USB:

Dạo này xuất hiện 1 loại virus chuyên làm ẩn dữ liệu trong USB, ổ cứng di động, nhiều người tưởng dữ liệu bị mất nhưng thật ra nó chỉ bị ẩn đi chứ chưa bị mất, cách khắc phục khá đơn giản là cắm Usb vào máy tính, dùng 1 phần mềm diệt virus để quét và diệt con virus đó đi, sau đó dùng phần mềm FixAttrb để bắt đầu hiện lại dữ liệu, mở FixAttrb lên, sau đó nhấn nút "Chọn thư mục" thì chọn cái Usb, sau đó nhấn nút "Hiện các file ẩn" là xong.

Download: FixAttrb

So_No_Mi · 9/8/13

Cách loại bỏ Delta Search:

Tác hại:
Nó sẽ tự chui vào trình duyệt web hiện có trên máy tính, làm tiêu tốn tài nguyên (RAM), có khi dùng Chrome mở có 2 tab mà CPU lên đến 100%, máy chậm không thể tả, làm vài thao tác thôi mà phải chờ rất lâu, dùng thử Opera thì quất 1 quả màn hình xanh

Cái này nó rất khó chịu và khó xóa, vì nó có mặt rất nhiều nơi trong máy bị nhiễm.

Cách diệt:
Chỉ cần download cái AdwCleanner về,

Nhấn vào nút Search, nó sẽ tắt trình duyệt web nếu ta đang mở, sau đó nó sẽ tự tìm kiếm tất cả những gì liên quan đến Delta Search, sau khi quá trình tìm kiếm xong, nhấn nút Delete để nó bắt đầu xóa, nó sẽ xóa sạch sẽ, sau khi xóa xong khởi động lại máy tính là được.

Hoặc dùng 1 công cụ nhỏ sau: http://malware.fm/url/5srdnb

So_No_Mi · 9/8/13

Cách diệt virus làm ẩn file trên USB:

Tác hại:
Khi máy tính bị nhiễm, lúc cắm USB vào chỉ thấy mỗi cái shorcut trong đó mà không thấy dữ liệu đâu, người dùng băn khoăn không biết dữ liệu đi đâu hết? Thật ra nó vẫn còn trong usb, đối với những ai cần tài liệu trong usb cho công việc quan trọng thì gặp cái vấn đề này thì khá là mệt và mất thời gian. Tóm lại là rất phiền phức với loại virus này.

Cách diệt:
Tải file BAT này về và chạy là được, nó sẽ diệt con virus này nhanh chóng và hiệu quả. Đã test trên 3 máy.

Sau khi diệt xong thì dùng phần mềm USB Show để hiện lại dữ liệu trong usb là xong.

So_No_Mi · 22/8/13

Update một số Removal tool để diệt từng con theo tên.

buiducnhat1991 · 13/3/16

Theo mình cứ dùng KIS cho tiện

So_No_Mi · 1/2/18

HFV (Hidden Folder Virus) Cleaner Pro

Virus Shorcut khi lây nhiễm nó sẽ tạo ra Shorcut rỗng không, không thấy dữ liệu của mình trên USB và máy tính, con virus đó tên Win32: Atraps-PZ [Trojan], khi lây nhiễm, nó sẽ ẩn file và các thư mục đi, chỉ còn trụi lủi mỗi cái shorcut không thôi làm 1 số người hoang mang vì tưởng dữ liệu bị mất, nhưng thực chất dữ liệu vẫn còn.

Phần mềm này có chức năng diệt virus Win32: Atraps-PZ [Trojan] và hiện lại file bị ẩn lại. Download ở cuối bài, xả nén và click chuột phải chọn Run as administrator, lần đầu khởi chạy bạn cần tạo mật khẩu mới (phải nhớ mật khẩu này nhé, nếu quên là mệt đấy, dù nó là portable, chạy trực tiếp không cần cài đặt nhưng khi ta xóa file cũ đi, tải file mới và mở lên nó vẫn hỏi mật khẩu cũ =))

)

Nhấn vào nút Browe để đưa đường dẫn đến ổ đĩa/USB/thư mục cần quét, nút Add dùng để chọn thêm 1 ổ đĩa nữa, nhớ nhấn chọn vào Folder and Subfolders, sau đó nhấn nút Delete Virus để nó tự tìm và diệt con Win32: Atraps-PZ [Trojan], khi phần mềm đã chạy xong, ta nhấn vào nút Unhide Files để hiện lại file, thư mục bị virus nó ẩn đi. Nếu muốn HFV quét tự động thì mở phần mềm HFV lên rồi mới cắm USB vào.

Download:

Mã:

https://sourceforge.net/projects/hfv/

Tác hại & cách diệt Virus, Trojan, Spyware, Worm + Removal Tools

So_No_Mi

Follow_Your_Heart

4 fantastic

Persian Prince

HieuNM

Mayor of SimCity

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

So_No_Mi

Follow_Your_Heart

buiducnhat1991

Youtube Master Race

So_No_Mi

Follow_Your_Heart