คำตอบที่ 31
       ลองที่นี่ครับพี่ free online scan

http://www.kaspersky.com/virusscanner

แสดงความคิดเห็นย่อย

คำตอบที่ 32
       อ.วอนครับ ลองโหลด CPE17 Autorun Killer ตามลิงค์ด้านล่างนะครับ จะอยู่ด้านล่างสุด ส่วนท่านอื่นที่ใช้ Handy drive น่าจะโหลดติดเครื่องไว้นะครับ กันไว้ก่อน
http://cpe17.com/cgi-bin/newboard/YaBB.pl?board=cpe17ak;action=display;num=1184749310

แสดงความคิดเห็นย่อย

คำตอบที่ 33
       ตามคต. 32 เลยครับสุดยอดมาก

แต่ผมเจอ Autorun รุ่นใหม่ลักษณะ *.bat.v , *.bat.vv ,*.bat.vvv หรือไม่ก็ *.inf.v , *.inf.vv ,*.inf.vvv โดยมันจะสร้างตัวมันแล้วใส่ V เพิ่มตามท้ายทุกครั้ง CPE17 จับไม่ได้ครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 34
       CPE17 Autorun Killer สุดยอดครับลองแล้วติดใจเลยครับ ผมลงไปครบทุกเครื่องแล้ว


ผมได้รับคำปรึกษาที่ดีจากคุณ ITTI ทุกวัน อย่างวันนี้ผมแอบจับได้ว่ามันไข่ทิ้งใน handy drive อีกแล้ว ผมเลยตอนไข่มันเหมือนตอนควายโดยลบ autorun ให้เหลือแต่ EXE แล้ว Zip มันส่งให้คุณ ITTI ดูว่ามันคืออะไร


ผลการใช้ nod32 ของคุณ ITTI มันคือ Wingon ไวรัสตัวโบราณตั้งปีที่แล้ว ผมเลยตามหาร่องรอยของมันที่ system32 และ register


ผลก็คือผมไม่เจอร่องรอยที่เป็นตัวนี้เลย เพราะที่HKEY_CURRENT_USER --> Software --> Microsoft --> Search Assistant --> ACMru --> 5603 ไม่มีอะไร

และที่ system32 ก็ไม่มี runtime.sys, 41002515.exse, win_181.dll, tmp_66.exe เลยไม่เข้าข่ายที่จะเป็นตัวที่ชื่อ wingon

แสดงความคิดเห็นย่อย

คำตอบที่ 35
       ผมเดาว่ามันน่าจะใช้ wingon เป็นฐานการผลิตตัวนี้เลยทำให้ nod32 เห็นว่ามันเป็นตัวนี้และที่ pointer มันกระพริบทุกสามวินาที ผมเลยขี่หลังมันไปดูว่ามันทำอะไรบ้าง


ผลที่ออกมาคือผมเจอว่า C:\WINDOWS\System32\Drivers\Ubh51.sys
มันเรียกใช้
HKLM\SYSTEM\CurrentControlSet\Services\Ubh51\"ImagePath"

และมีอีกจุดคือ

crypts.dll
มันเรียกใช้
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon\Notify\crypt

ผมลองตรวจดูเครื่องที่ติดโรคนี้อีกตัว ก็พบว่ามันตรงกันเลย แล้วลองดูว่ามันสร้างมาเมื่อไร ผลออกมาคือมันสร้างสดๆวันนี้ตอนเปิดเครื่องนี่เอง

ไวรัสชัวร์ป๊าบ เมื่อวานผมเข้าประตูหลังตัดแขนขามันได้แล้ว วันนี้เข้าไปดุพรอเซสแล้วตัดหัวมันเลย

พอจัดการลบทิ้งมันก็สู้กับผมโดยสร้างขึ้นมาใหม่สดๆอีกเหมือนทศกรรณ์ฆ่าไม่ตายเพราะกล่องดวงใจไม่โดนทำลายไปด้วย ผมเลยจัดการ rename process หลอกมันเลย คือไม่ฆ่าแต่เปลี่ยนบ้านเลขที่ให้มันส่งจดหมายผิดบ้าน

มันก็ไม่สร้างตัวใหม่มาสู้เพราะมันไม่ตาย แต่ทำอะไรไม่ได้เพราะจดหมายจาก .sys และ .dll ไปไม่ถึงมัน


คราวนี้สัญญาน pointer กระพริบหายไป และเครื่องทำงานเร็วขึ้นผิดหูผิดตา

เสียเวลาไปสองวันเต็มกับการที่โดยจิ้ม Handy drive จากคนแปลกหน้า ต้องยอมรับว่าไอ้ไวรัสตัวนี้มันฉกาจจริงๆ

แสดงความคิดเห็นย่อย

คำตอบที่ 36
       แต่ผลการที่มันเข้ามาสร้างความเสียหายที่ผมตามแก้อยู่คือตอนนี้ system restore ยังโดยมันแก้ให้เปิดไม่ได้แม้มันจะตายไปแล้วแต่ผลงานของมันยังอยู่

ใครช่วยผมคิดหน่อยเถอะ ว่าจะทำอย่างไรกับมันดี เพราะเข้าหลังบ้านข้างบ้านแล้วก็ยังใบ้อยู่ดีไม่รู้ว่ามันไปแอบซ่อนไข่เน่าไว้ที่ไหน

แสดงความคิดเห็นย่อย

คำตอบที่ 37
       ยินดีด้วยครับ ลองแก้โดยวิธีนี้ดูครับ



System Restore หายไปจากเครื่อง วิธีเอากลับมา


Start --> RUN --> %SystemRoot%\system32\restore\rstrui.exe --> OK

น่าจะได้ผล

ส่วนที่เหลือขอเก็บเป็นการบ้านก่อนนะครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 38
       ถ้าไม่ได้ลองอีกวิธ๊นะครับ

ลองไปดูที่ service ครับว่า service ของ system restore มันทำงานอยู่ไหม

ไปที่ Run แล้วพิมพ์ข้อมความนี้ลงไป

services.msc แล้วกด enter

แล้วหา service ที่ชื่อ ว่า System Restore service

จากนั้นให้ดับเบิ้ลคลิ๊กครับ แล้ว เลือกในช่อง start up type เป็น Automatic

จากนั้นให้คุณคลิก Start ครับ

แล้ว OK


แล้วรีเครื่องครับ

ถ้าไม่มาให้ทำอีกครั้ง นะครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 39
       ไม่สำเร็จครับ ผมลองทั้งสองอย่างตั้งแต่กระทู้23แล้ว

แบบเอา setup CD ใส่แก้ config เป็นค่าเริ่มต้นทั้งหมดก็ไม่เอาเพราะแก้ตัวเดียวแต่เล่นหมดแผงนี่มันเกินการไปหน่อยครับ

ใครมีวิธีเด็ดๆช่วยมาขยายความหน่อยครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 40
       คอมผมพอบูทขึ้นมาเสร็จ จะมีช่วงหน่วงเวลาก่อนไวรัสจะเล่นงานประมาณ 30 วินาที ผมเข้าไปใน Task Manager สั่งปิดโปรแกรมทุกตัวที่ดูแล้วแปลกปลอม หรือแม้แต่ไฟล์ที่โหลดซ้ำซ้อนกัน เข้าไปใน Startup Manager(โปรแกรมเสริม) สั่งปิดทุกโปรแกรม จากนั้นค่อยสั่ง Clean ปกติ เจอทุกตัวครับ หากช้ากว่านั้น เสร็จมันทุกที

แสดงความคิดเห็นย่อย

คำตอบที่ 41
       อ.วอน ครับ

ทำตามกระทู้ 37

Start --> RUN --> %SystemRoot%\system32\restore\rstrui.exe --> OK

แล้ว Windows มันแสดงผลอะไรบ้างครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 42
       ไม่แสดงผลอะไรเลยครับ

แต่ถ้าเรียกจาก services.msc มันทำงานให้แล้วโดนถีบออกมา

แล้วมันบอกว่า restore service start and then stop. some service stop automaticaly

แสดงความคิดเห็นย่อย

คำตอบที่ 43
       อ.วอนครับ

จาก คำตอบที่ 42 แสดงว่า file : rstrui

ที่ C:\WINDOWS\system32\Restore

น่าจะมีอยู่แต่ไม่สมบูรณ์ คาดว่า น่าจะถูกแก้คำสั้งภายใน (เดาเอา )

จะลองใช้วิชามาร มั๊ยครับ

โดย Copy rstrui.EXE เครื่องอื่น มาวางแทน ตำแหน่งเดิม (อย่าลืม RENAME ตัวเก่า ก่อนนะครับ)
แล้วลองใช้คำสั่ง Start --> RUN --> %SystemRoot%\system32\restore\rstrui.exe --> OK

ยังมีอีก 2 วิธ๊ แต่ขอ ทดลองดูก่อนนะครับ

ปล. วันนี้เพือน เอา handy drive มาเสียบ NOD เจอ 3 ตัว

เป็น worm autoit.ba,BronTok.a, Brontok.AB

แสดงความคิดเห็นย่อย

คำตอบที่ 44
       เดือดร้อนซะแล้วครับ

เพื่อนบ้านโดนเล่นงานโดยมี Background เป็นแบบรูปครับ

Regedit , msconfig ,Task manager , Properties desktop background และ screen saver, folder option , Local Drive ที่ไม่ใช่ C:\ ,Icon drive ของ flash drive ถูกล็อคหมด

ลองใช้ Fix แล้ว เช่น
NOD32 Autorun-Fix ,
NOD32 Bad1,2,3[Autoit[1].AC]-Fix ,
NOD32 Endless-Fix ,
NOD32 Flashy-Fix-V1[1].1 ,
NOD32 Godzilla[Butsur[1].A]-Fix ,
NOD32 Hakaglan-Fix , NOD32 MyGril-Fix ,
NOD32 Registry Recovery-V1[1].1 ,
NOD32 RJump[1].A-Fix ,
NOD32 Stration-Fix ,
NOD32 Toy-Fix ,
NOD32 VBS[Butsur[1].A,B]-Fix ,
NOD32 VBS[Butsur[1].D]-Fix ,
NOD32 VBS[Small[1].K]-Fix ,
NOD32 VirusMSN-IRCBOT-Fix
ไม่ได้ผลเลยครับ

การทำงาน
-ถ้าเข้า windows ปกติจะไม่มีการเตือนอะไรแต่จอจะแฮงก์เป็นสีฟ้าแล้วก็กลับมาปกติเหมือนเดิม
-ถ้าเข้า safe mode จะไม่แฮงก์
-เข้า gpedit ปลด task manager ได้ แต่ปลดไม่ได้
-มันสร้าง Autorun.inf ทุกครั้งที่ลบหรือ scan
-Antivirus ที่มีล่มไปแล้ว
-Nod32 2.7 Scan ไม่เจอแต่ Submit ไปแล้วครับ

ขอความช่วยเหลือด้วยครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 45
       ถ้าเป็น node32 ver 3.0.669.0 น่าจะเช็คได้ระเอียดกว่าครับ เพราะผมเคยลอง ver 2.xx ไปไม่รอด

แสดงความคิดเห็นย่อย

คำตอบที่ 46
       ขั้นแรกเอาตัวนี้ก่อน Malwarebytes' Anti-Malware ลองใช้ดู

ถ้ายังไม่พบและ Task manager , Regedit ล็อกอยู่แสดงว่าไอ้ตัวร้ายตัวนี้เป็นตัวเขียนใหม่ๆ


ให้ไปดาว์นโลด ProcessExplorer และ hijackthis มาใช้แทน Task manager , Regedit เพื่อเข้าไปในใส้ใน windows เพื่อจะได้แก้ Registry รับมือกับมัน

ทำแบบนี้ก่อนแล้วผมจะนำทางให้เป็นระยะๆไป

แสดงความคิดเห็นย่อย

คำตอบที่ 47
       ลองดาวน์โหลด Anti-Trojan Elite V4.1.5 กำลังออกมา วันที่ 7 กย. นี้

มาใช้ดูก่อนนะครับ เป็นโปรแกรมป้องกัน Malware | Trojan | Spyware | Keylogger

ส่วน Patch ของโปรแกรมคงต้องส่งทาง Email ถ้า k.Degsure ต้องการก็ลง Email ไว้นะครับ ผมจะส่งไปให้

http://www.remove-trojan.com/download.php

แสดงความคิดเห็นย่อย

คำตอบที่ 48
       คงลองพรุ่งนี้ครับเครื่องอยู่ที่ทำงานครับ

Email : degsure@hotmail.com

รบกวนด้วยครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 49
       หนักกว่าเดิมครับ

อาการใหม่คือเข้า Safe mode ไม่ได้เลยต้องเข้าปกติเท่านั้น

Malwarebytes' Anti-Malware ทำงานได้ครั้งแรกเท่านั้นครับ แต่ scan ไม่พบอะไร ขณะ scan มีแฮงก์ที่ไฟล์ 6 ไฟล์คือ parport.sys, raspppoe.sys, kbdclass.sys, fastfat.sys, ndiswan.sys และ imapi.sys เปิดเครื่องใหม่ Driver จอหายต้องใช้ mode 4 สีและรันไม่ได้โดนล็อคไปแล้ว

ProcessExplorer และ hijackthis รันไม่ได้ครับ

รีจิสเตอร์ที่ Scan เจอคือ Autostart Cpl32ver.exe ลบแล้วสร้างใหม่ทุกๆ 3 วินาที และเจอไฟล์ตระกูล svc... .exe ใน \system32\ แต่ลบไม่ได้เลย

ใน Autorun.inf ที่สร้างใหม่ทันทีที่ลบมันจะเรียกไฟล์สองไฟล์นี้ครับ Autorun.inf ตัวนี้มันแปลกตรงที่ CPE17 Autorun Killer จับไม่ได้ครับ

H:\RECYCLER\S-1-6-21-1254946310-2159485961-600003330-2501\shellopen.exe ตัวนี้ไม่มีใน Signatures

H:\RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exe ตัวนี้ Delete ได้

สรุปว่า ระบบ Driver ล่มไปแล้วภาพหน้าจอมองไม่เห็นเลยครับ ตัดสินใจ Format แล้วครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 50
      

แสดงความคิดเห็นย่อย

คำตอบที่ 51
       เสียใจด้วยครับ

น่าจะเป็น ไวรัส RECYCLER เวอร์ชั่น shellopen ตามลิงค์

http://www.webphand.com/RECYCLER/shellopen/index.php

หรือไม่ก็ ไวรัส MSN ลักษณะการทำงาน คล้ายกันครับ ตามลิงค์

http://hi.baidu.com/usbcleaner/blog/item/f9e4d77b0a2b18f20ad187f8.html


ผมขอแนะนำ เวป แบไต๋ ไฮเทค มีวิธีแก้ไวรัส ใหม่ๆค่อนข้างจะเร็ว ตามลิงค์ด้านล่าง


http://www.beartai.com/webboard/index.php?board=22.0

แสดงความคิดเห็นย่อย

คำตอบที่ 52
       อ่าน ไปอ่านมา ผมงงครับ...เลิกอ่าน ส่วนมาก ผมแก้โดน ดึง my document มาทั้งยวง แล้ว format เครื่องทิ้งครับ ไม่เสียเวลาในการแก้ หลายวัน
หลังจากนั้น my document ผมจะมีข้อมูลเหมือนกันหมด 4 เครื่อง ถ้าไวรัสกินเครื่องไหน scan แล้ว ไม่ได้ ...format drive c ทิ้งอย่างเดียวครับ เสียเวลา 1 วัน ในการตั้งเครื่องใหม่ ครับ

แสดงความคิดเห็นย่อย

คำตอบที่ 53
      

ผมพบเท็กนิกของคนเขียนไวรัสที่ใช้ในการการปิด system restore แล้วครับ


เขาจะให้มันดูขนาดของ Free space ของ C: แล้วตั้งให้ system restore ใช้พื้นที่เกินเอาไว้ พอสั่งให้ทำงานเลยทำงานไม่ได้เพราะพื้นที่ไม่พอ เป็นเท็กนิกง่ายดีแต่ได้ผลทุกเครื่อง และยังแถมตอนที่ยังไม่ฆ่าทิ้งมันจะทำให้เครื่องทำงานช้าลงด้วยเพราะพื้นที่โดยจองให้ system restore จนหมด drive C:





เพิ่งพบและแก้เสร็จเมื่อสักครู่นี้เอง

แสดงความคิดเห็นย่อย

คำตอบที่ 54
       มันร้ายจริง ๆ



ผมก็เพิ่งกู้เครื่องกลับคืนมาได้ หลังจากไม่ได้ใช้มาเกือบเดือน โชคดีข้อมูลอยู่ครบไม่สูญหาย

แสดงความคิดเห็นย่อย

คำตอบที่ 55
       เล่นง่ายจัง

ล่าสุดครับเมื่อสองวันก่อนโดน 5 ตัวในเครื่องเดียวกันครับ

Flashy
Brontok.A
Brontok.CH
Win32/Hakaglan.H
Win32/Disabler.L

ตอนใช้งานจะเห็น Logo ของ Brontok.A แว๊บๆ แต่ใช้งานปกติ เลยลอง Scan ดู เท่านั้นแหละครับเป็นเรื่อง

ไม่สามารถ Setup อะไรได้เลยมันจะ Restart เองอย่างเร็วมากก่อน Setup เสร็จ เข้า msconfig ได้แต่ Disabled ไม่ทัน ถ้าเสียบ Flash drive ไว้จะ Restart เองทันที

พอจะเข้า Saft mode มันจะสร้าง password ที่ Adminstartor ต้อง Hack ด้วย Hiren ก่อน แต่ก็ทำไรไม่ได้มัน Restart เองทันทีอีก

เลยแก้ด้วยการลง windows อีก Drive แล้วใช้ Eset Smart security scan แล้วมาบูตด้วย windows ตัวเดิม Scan registry ด้วย Trojan remover ครับ

ใช้งานปกติแล้วครับ

แสดงความคิดเห็นย่อย