LinkBack URL
About LinkBacks
Tay không tiêu diệt virus máy tính (phần 2)
Với mong muốn tiêu diệt tận gốc virus, đã có nhiều phần mềm diệt virus mới ra đời, nhưng với những con virus "cứng đầu" thì những phần mềm đó đã tỏ ra vô dụng.
Ví dụ như phimnguoilon.exe, tự tạo tập tin cùng tên khi một thư mục mới được tạo thành. Nó còn thay thế tập tin userinit.exe làm cho máy tính của bạn không thể khởi động khi nó bị tiêu diệt.
Hơn nữa, nó tự chạy lại khi bị tắt một cách đơn giản bằng Task Manager. Một loại virus nữa cũng khá nguy hiểm: Làm ẩn mọi thư mục trong máy tính và copy chính nó với tên thư mục, nó cũng kill luôn file userinit.exe , cao thủ hơn là cài code, khi cứ khởi đọng explore.exe là nó chạy. Nó vừa phá hoại, vừa "đẻ" thêm nếu nó bị diệt. Một con khác còn hung hãn hơn: thông báo rằng: "You're being attacked" (Bạn đang bị tấn công). Và chạy khắp nơi làm tiêu tốn tài nguyên, đồng thời k cho chạy bất cứ chương trình nào khác, tự nhân bản thành hàng trăm con, Safe Mode cũng die. Những con virus này không thể tiêu diệt bằng các thế võ công sơ đẳng. Sau đây là một vài kinh nghiệm để đối phó.
1. Công cụ cần thiết và nên có:
- Cần thiết:
+ Một Registry Editor thay thế như Tuneup Regitry Editor
+ Task Manager thay thế: Process Explore
Có thể trong Windows đã có nhưng để có thể bị phá huỷ mất
- Nên có:
Hệ điều hành thứ 2, đĩa cài hệ điều hành, Linux, các công cụ Tweak, unblock,.v..v...
2. Nguyên tắc chung:
- Không xoá virus dù đã xác định đúng mà nên để các AV diệ, chỉ thay bằng tập tin gốc của hệ điều hành, hoặc bằng tập tin gốc của hệ điều hành để tránh sự cố.
- Ngắt kết nối Internet (hoặc có mạng LAN thì cũng rút dây) nêu có.
- Chỉnh lại các khoá regedit bị virus thay đổi.
- Ẩn các phân vùng không cần thiết.
3. Khảo sát tình hình:
- Kiểm tra các file autorun.inf và autorun.ini tìm thấy trong các ổ đĩa. Nếu tìm thấy file *.com thì xoá luôn. Nếu là file *.exe thì ghi lại tên, dung lượng, ngày tạo và copy làm mẫu.
- Mở sẵn trình task manager thay thế lên, chú ý quan sát: mọi tiến trình đều có thể là virus. Bạn hãy ghi lại tên đường dẫn đến chúng, trong Process Explore, xem tiến trình nào có biểu tượng thư mục thì đều là virus. Bạn hãy ghi lại tên đường dẫn đến chúng, trong process explore, xem các tiến trình nào đứng đầu các cây thư mục, ghi lại PID. Mở Properties của chúng lên, xem prameter, file nào khởi động chúng và chúng chạy với tài khoản nào (nếu là system thì là service). Tiếp tục lấy mẫu và copy virus vào nơi cách ly.
Dùng CurrProcess để tìm module không đáng tin cậy của tiến trình virus.
- Thử tấn công 1 vài rồi toàn bộ virus bằng cách tắt chúng đi, mở các phần mềm exe cho đến khi chúng chạy lại.
- Ghi lại toàn bộ kết quả khảo sát.
4. Tiêu diệt bằng tay:
- Nếu trên hệ điều hành khác ̣̣̣(Linux)
+ Khởi động lại máy, vào hệ điều hành và chạy trình quản lý file. Tìm kiếm các file trùng tên và có dung lượng trùng với virus, và các module đáng ngờ.
+ Trong Hacao Office Linux. Bấm Alt + F7 để tìm kiếm, chọn ổ hệ thống trong mục Search in, chuyển qua Thẻ Advances, đánh dấu trước ô File size, chọn bằng =, nhập dung lượng của Virus vào (VD: 328 KB) rồi bấm Search. Chú ý: Cũng có thể file hệ thống cũng có cùng dung lượng virus.
+ Xoá các file *.pif, *.com, *.bat và file autorun.inf, hay file có phần mở rộng đáng ngờ.
+ Kiểm tra version, icon, phần mô tả file nếu có version 1.0.0.0 hay 0.0, icon thư mục và có dung lượng bằng virus thì đã tóm được 1 chú. Dùng 1 file an toàn để overwrite nó, như Rundll32.exe, file dll của hệ thống chẳng hạn. Nếu chỉ dùng mẫu duy nhất cho 1 một file, bạn có thể thay nó bằng file hệ thống gốc.
+ Sao lưu lại file virus
+ Copy lại các bản gốc cho các file: Userinit.exe, regedit32.exe, regsvr32.exe, rundll32.exe... để đảm bảo hoạt động sau khi virus bị diệt.
+ Nếu có đĩa cài đặt Windows thì rất đơn giản, bạn giải nén file có tên giống, có phần mở rộng tương tự nhưng có dấu Shift - là xong. Đây là file cài đặt gốc của chúng. Có thể cài ở chế độ nâng cấp để phục hồi file hệ thống. Nên làm trong linux để tránh lan rộng và đễ hơn khi làm trong DOS
+ Sau khi hoàn tất, khởi động lại máy để test.
- Ngay trên hệ điều hành hiện tại:
+ Nếu virus tự chạy thêm khi diệt, đừng trực tiếp tắt nó, nếu không muốn reset máy.
+ Nếu Virus không cho khởi động phần mềm lạ (virus có biển hiệu). Khởi động lại máy, bấm F8 để lựa chọn khởi động máy với Safe mode with command Prompt hoặc môi trường khác rồi copy Process Explore vào Start up hay overwrite Explore.exe trong thư mục windows.
- Dùng chức năng Suspend của Process Manager và lần diệt chúng.
- Tìm kiếm và thay thế như trên
- Khởi động lại máy.
5. Chỉnh lại hệ điều hành:
- Dùng công cụ tweak và unblock để mở các công cụ cần dùng, xoá đường dẫn khởi động của virus, phục hồi safe boot....
- Disable service virus nếu có.
- Dùng Tuneup Registry Editor, tìm từ khoá với tên con virus, xoá đường dẫn đến chúng nếu đó là một phần của parameter. Chú ý những virus cùng tên file hệ thống.
- Chạy lệnh Regsvr32 -u <Đường dẫn đến file dll của virus>. Nếu có thông báo chưa gỡ được thì bạn cứ xoá luôn. Nếu thông báo gỡ thành công thì chạy tiếp lệnh sau: regsver32 -i <Đường dẫn đến file dll của virus>. Mục đích để gỡ triệt để virus.
- Để hiện file ẩn. Start > Run > Gõ cmd. Gõ tiếp cd\ vào dấu nhắc..(Nếu muốn chuyển sang phân vùng khác thì nhấn tên phân vùng kèm dấu 2 chấm (: ) gõ tiếp attrib * /s /d -s -h -r -a. Tất cả các file ẩn sẽ hiện lên.
6. Sau khi hoàn tất:
- Tạo bản sao cho hệ điều hành (VD: sử dụng Norton Ghost...)
- Nếu muốn luyện công thì cấy thêm virus vào phân vùng nào đó và "làm việc" từng con 1.
Trả lời với trích dẫn
