Basic virus information with Handy Drive

Virus สายพันธ์ใหม่ มากับ Handy Drive
Virus แบบใหม่มากับ Hady drive หรือ Flash drive ยอดฮิตติดเกือบทุกเครื่องเป็นไวรัชแบบใหม่
อาศัย Autorun เป็นตัวทำงาน ที่มักเขียนด้วย Visual Basic Script มักมีชื่อเมื่อเป็น .vbs และจะติดทาง Handy Drive เป็นส่วนใหญ่ หรือแผ่น CD DVD ที่มีการใช้ AutoRun ถึงเราล้างเครื่องหรือ format ลง Windows ใหม่ ถ้าเอา Handy Drive มาใช้ก็ติดอีกเหมือนล้างออกยาก
การดูว่ามีการติด Virus ชนิดนี้หรือไม่
1. ดับเบิ๊ลคลิ๊กไดว์ C ไดว์ D ใน My Computer จะไม่ขึ้นแต่กับมีอะไรออกมาแปลกแทน
2. ถ้าคลิ๊กขาวที่ไดว์ C D จะมีเมนูขึ้นมาก เป็นเมนูแปลก เช่น มี Open หลายอัน หรือมี ให้เรียก
โปรแกรมแปลก
3. มี Floder ที่เหมือนกัน เติมออกมา และมี icon แปลก ๆ และ ลบออก ก็จะมีโผ่ลออกมาอีก
4. ถ้ากด Ctrl + Alt + Delแล้วเลือกTab Processes จะมีชื่อไฟล์ของไวรัชนั้นทำงานอยู่
5. เมื่อเปิด IE เล่นเน็ต ไม่ค่อยวิ่ง ที่ bar ด้านบนมักมีเขียน Hack by หรือ เป็นชื่อของไวรัช
6. เมื่อ Taskbar Manager ไม่ออก หรือ ถ้าเราเข้า Mycomputer เรียกเมนู tool
ออกมาจะมีเมนูหายไป มักเป็น เมนู floder Option..
รายชื่อและอาการ
jomke.dll.vbs
อาการ Internet Explorer หรือ IE มองแถบด้านบนสุดเหนือ เมนู จะมีคำงว่า Hacked by odzilla version 2.0 หรือ เข้า Websit ช้าลงมาก และ Web มักขึ้นhttp://student.srru.ac.th/~48122420102/jomke ไวรัสจ
คัดลอกตังเองลงในทุกๆไดร์ฟบนเครื่อง ชื่อ jomke.dll.vbs และแก้ไขค่าในรีจิสทรีเพื่อสร้างค่าขยะไวรัส พยายามแพร่กระจายตัวผ่านทางแฮนดี้ไดร์ฟและการแชร์ไดร ์ฟในเครือข่าย พยายามจะทำให้เครื่องปิดลงทุกครั้งหลังจากที่เปิดใช้ งานโดยหน่วงเวลาไว้ที่ 50 วินาที
achi.dll.vbs
อาการ จะสร้างไฟล์ achi.htm หน้าแรกของ Internet Explorer จะเข้าแต่ achi.htm ไม่ยอมเข้า web ที่เราจะเข้าและ แสดงข้อความใน Web achi.htm
happy.vbs
อาการ สร้างไฟล์ autorun จะคัดลอกไฟล์ happy.vbs ไปด้วย จะเรียกใช้ Regedit.exe ไม่ได้ Icon My Computer หายไป เข้า Floder ที่แชร์ใช้ใน Lan ไม่ได้ ไตเติลบาร์ของ Internet Explorer เป็น ORIGINAL SILLE.B run On GAME ONLINE ตั้งค่าหน้าแรก IE เป็น http://www.sille.net/gamesonline.htm และแสดงกล่องข้อความ
"VIRUS SILLE RUN ON GAMES ONLINE"
killVBS.vbs
อาการ จะ Copy file killVBS.vbs ตัวนี้ไม่กระจายในระบบ Lan ไวรัสจะแก้ไขไตเติลบาร์ของ Internet Explorer
และหน้าแรก เป็นหน้าเปล่า เข้าเว็ปช้ามาก
HELLO WORLD i am VB
อาการ สร้างไฟล์ ชื่อ RUNDLL64.dll.vbs เอาไว้ ไตเติลบาร์ของ Internet Explorer เป็น HELLOWORLD i amVB
จะซ่อนแทบ All Programs ใน Start Menu รวมไปถึงเรียก Windows Task Manager ไม่ได้ กล่าวคือถ้ากด
Ctrl + Alt + Del ถ้าไม่ขึ้นหน้าต่าง Windows Task Manager แสดงว่าติดแล้ว
^_^Anti AntiVirus^_^ (Win32/Wenna.E worm)
อาการ ตัวนี้ใช้ Borland Delphi เขียน ไวรัสจะทำการแก้ไข Windows Title ให้เป็น ^_^Anti AntiVirus^_^ ตลอดเวลา กล่าวคือ เมื่อเข้า My Computer หรือ เข้าอื่น ด้านบนจะเขียน ^_^Anti AntiVirus^_^ และไวรัสจะแก้ไขค่าในรีจิสทรีที่เกี่ยวกับไฟล์นามสกุ ล exe ให้ ทำให้เรียก ไฟล์ .exe ไม่ได้ นอกจากนี้จะยกเลิกฟังก์ชั่นที่เกี่ยวกับการแก้ไขปรับ แต่งระบบปฏิบัติการ เช่นการปรับแต่ง สี ขนาดหน้าจอไม่ได้ เช่น Click ขาวกลางจอ เลือก Properti
Hacked by 8BITS (VBS/Butsur.C worm)
อาการ สร้างไฟล์ kernel32.dll.vbs ไวรัสจะแก้ไขไตเติลบาร์ของ IE เป็น Hacked by 8BITS และยังสามารถ ปิด WinXP เองได้ หรือ อยู่เข้า Windows XP และปิดเองเลย
Data.exe (Win32.Worm.Tellsky)
อาการ จะแก้ไขค่าในรีจีสทรีของ WinXP เมื่อเรารัน MSN Messenger ทำงานในตอนเปิดเครื่องไวรัสจะทำงานทุกครั้งเครื่องจะ พยายามเข้าเว็ปไซต์ www.Atom-Soft.com ไวรัชจะทำการ สร้างโฟลเดอร์ ที่เหมือนกันออกมา 2 อันที่คล้ายกันเป็นไฟล์นามสกุล exe มีขนาด 213 KB,221KB และ 224 KB ยกเว้นโฟลเดอร์ program files และ desktop ไวรัสจะไม่ติดเชื้อ ไวรัสอาจ overwrite ไฟล์ exe บนเครื่องได้ เมื่อชื่อโฟลเดอร์ที่เก็บไฟล์จะ เป็นชื่อเดียว กับไฟล์ ซึ่งจะทำให้ข้อมูลใน Floder นั้นถูกลบทิ้งไปนอกจากนี้ไวรัสตัวนี้มีฟังก์ชั่นในกา รทำลายข้อมูลบนฮาร์ดดิสด้วย น่ากล้วมาก ถ้ามีข้อมุลคำสัญ
MS32DLL.dll.vbs (VBS/Pica.NAA virus)
อาการ ดับเบิ้ลคิ๊กได้ C D เข้าไม่ได้ มีหน้าต่างๆแสดง ชื่อไฟล์เป็น .MS32DLL.dll.vbs และจะไปปรับแต่งรีจิสทรีและการเปลี่ยนสกุลไฟล์ไวรัส เป็น boot.ini เพื่อหลบซ่อนในระบบ
Toy.exe (Win32/Agent.WJ trojan)
อาการ ตัวนี้เคยระบาดมีชื่อเสียงมานานแล้ว ตัวแก้นี้จะทำการแก้ไขไวรัสแบบสมบูรณ์ ไวรัสตัวนี้ไม่ได้ทำลายข้อมูล แต่ทำให้ใช้งาน WinXP ไม่ได้เมื่อเข้า WindowXP ที่ ส่วนของ Wallpaper จะมีภาษาจีนออกพูดถึงการรสร้างโลกของพระเจ้า
music.exe (Win32/VB.NIV worm)
อาการ ตัวนี้ร้ายมากจะทำการลบไฟล์เพลงออกหมด เช่น *.mp3 *.dat *.wav other และจะสร้าง
Floder ที่มีอยู่แล้วออกมาเพิ่มอีก ลบFloder เหล่านี้ก็ไม่ได้ ที่พบ Floder นั้นจะมีนามสกุลเป็น *.exe เครื่องจะทำงานช้าลงทันตา ถ้ามี Floder เหล่านี้มากจะยิ่งช้า
iexp1ore.exe (Win32/Agent.P worm)
อาการ ถ้าไป ดับเบิ้ลคลิ๊ก Handy drive ที่มีจะทำงาน โดยจะคัดลอกตัวเองไปในโฟลเดอร์โปรแกรม Internet Explorerโดยพยายามทำตัวเองเป็นเสมือนโปรแกรม Internet Explorer ส่วน
ใหญ่ทำให้ใช้ ie ไม่ได้ แต่ถ้าเรากด แก้ไขทางลัดทุกทางที่จะเรียกใช้โปรแกรมให้ชี้ไปที่ไว รัสแทน โปรเซสของไวรัสมีชื่อว่า iexp1ore.exe โดยไวรัสจะไม่สร้างความ ผิดปกติใดๆบนเครื่องที่ติดเชื้อทำให้ผู้ใช้ที่ไม่สัง เกต ไม่สามารถตรวจพบได้ ดาวน์โหลดตัวแก้ คลิก ที่นี่ครับ
sxs.exe (Win32/PSW.QQRob trojan)
อาการ จะดับเบิ๊กคลิ๊กเข้าไดว์ต่างๆไม่ได้ ถ้ากด Ctrl + Alt + Del จะมี
net.exe sc.exe
Monaliza
อาการ มักมากับโปรแกรมยอดอิตของวัยรุ่น MSN กับแฮนดี้ไดร์ฟ
คลิปVDO.exe (Win32/Agent.NAG worm)
อาการ ตัวนี้จะติดที่ Clip VDO และจะสร้างไฟล์ คลิปVDO.exe ลงบนทุกๆไดร์ฟโดยทำไอคอนของมันเป็นแบบ Folder
Hacked By Godzilla (VBS/Butsur.B worm)
อาการ ไตเติลบาร์ของ IE มีคำว่า Hacked By Godzilla ทำให้การใช้ Internet ช้ามี
ปัญหาการใช้งาน ถ้าติดนานจะเข้าเน็คช้ามากขึ้นเรื่อย
AdobeR.exe (Win32/RJump.B worm)
อาการ ทำให้ WinXP ทำงานมีข้อผิดผลาดหรือ Erorr ปล่อย ทำให้รันโปรแกรมผิดผลาดปล่อยๆ
Flashy.exe (Win32/Disabler.I trojan)
อาการ จะเปิดบริการ telnet ทำให้คนที่ไม่หวังดีเข้ามาเครื่องเราได้ ทาง Internet มาควบ
คุมเครื่องเราได้ และทำให้ administrator ให้ว่างเปล่า ทำให้ Handy Drive อ่านได้
บางไม่ได้บาง หรือ หาไม่เจอบางเป็นบางครั้ง
ที่กล่าวทางด้านบนเป็น รายชื่อไวรัชที่ ติดกันมาก แต่หลังวันที่ 23-7-2550
อาจมีใหม่มาอีก

วิธีป้องกัน เป็นการป้องกันในระดับหนึ่ง กล่าวคือ เมื่อเราใช้ Handy Drive ห้ามดับเบิ๊กคลิ๊กที่ไดว์ ให้คลิ๊กขาวแล้วใช้คำสั่ง Open และถ้าใน Handy Drive มี File Autorun ให้พยายามลบออกให้หมด

Thanks : teabmongkon49

ฺBasic Firewall on iptables

เมื่อเรากำลัง ตรวจดู port ที่เปิดอยู่ของเครื่องของเราด้วย nmap localhost

ผลที่ได้ก็ประมาณนี้

*************************************************************
Starting Nmap 5.00 ( http://nmap.org ) at 2009-10-09 16:22 ICT
Warning: Hostname localhost resolves to 2 IPs. Using 127.0.0.1.
Interesting ports on localhost.localdomain (127.0.0.1):
Not shown: 981 closed ports
PORT STATE SERVICE
22/tcp open ssh
25/tcp open smtp
80/tcp open http
110/tcp open pop3
111/tcp open rpcbind
143/tcp open imap
443/tcp open https
465/tcp open smtps
587/tcp open submission
631/tcp open ipp
993/tcp open imaps
995/tcp open pop3s
5222/tcp open unknown
5269/tcp open unknown
5900/tcp open vnc
7025/tcp open unknown
7777/tcp open unknown
10024/tcp open unknown
10025/tcp open unknown

Nmap done: 1 IP address (1 host up) scanned in 0.33 seconds

*************************************************************


แล้วเราจะป้องกันเครื่องของเราได้อย่างไรหล่ะที่นี้ ลองมาดูกันนะ

1. ไปที่ iptables ซึ่งเป็น firewall ของเครื่องกันเลย

# vim /etc/sysconfig/iptables


-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 143 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited



หรือ ไม่ก็ลองดูว่า port นี้ process ตัวไหน เป็นคนทำงานอยู่ ก็ปิดมันซะ

# netstat -tanp

หรือ จะดูข้อมูลอย่างละเีอียด

# nmap -A -T4 localhost


ผลที่ได้ก็ประมาณนี้

****************************************************************
Starting Nmap 5.00 ( http://nmap.org ) at 2009-10-09 16:17 ICT
Warning: Hostname localhost resolves to 2 IPs. Using 127.0.0.1.
Stats: 0:01:59 elapsed; 0 hosts completed (1 up), 1 undergoing Script Scan
NSE Timing: About 92.31% done; ETC: 16:19 (0:00:02 remaining)
Interesting ports on localhost.localdomain (127.0.0.1):
Not shown: 981 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 5.2 (protocol 2.0)
| ssh-hostkey: 1024 a6:1c:7d:c7:44:bf:fc:9e:29:a0:6b:a5:ae:ea:b5:d4 (DSA)
|_ 2048 4f:ee:5e:2e:e3:40:45:ef:ed:57:90:a5:b4:52:da:29 (RSA)
25/tcp open smtp Postfix smtpd
|_ smtp-commands: EHLO zimbra.agss.com, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN
80/tcp open http?
|_ html-title: Did not follow redirect to https://localhost/zimbra/?zinitmode=http and no page was returned.
110/tcp open pop3 Zimbra pop3d
|_ pop3-capabilities: USER STLS EXPIRE(31 USER) UIDL IMPLEMENTATION(ZimbraInc) XOIP TOP SASL
111/tcp open rpcbind
| rpcinfo:
| 100000 2,3,4 111/udp rpcbind
| 100024 1 42604/udp status
| 100000 2,3,4 111/tcp rpcbind
|_ 100024 1 58036/tcp status
143/tcp open imap Zimbra imapd
|_ imap-capabilities: CONDSTORE THREAD=ORDEREDSUBJECT ESEARCH STARTTLS BINARY UNSELECT LOGINDISABLED UIDPLUS SORT SEARCHRES ID SASL-IR WITHIN AUTH=X-ZIMBRA LIST-EXTENDED QUOTA QRESYNC CHILDREN ENABLE LOGIN-REFERRALS I18NLEVEL=1 RIGHTS=ektx ACL IDLE CATENATE IMAP4rev1 LITERAL+ ESORT NAMESPACE MULTIAPPEND
443/tcp open ssl/http Zimbra http config
|_ html-title: Zimbra Collaboration Suite Log In
465/tcp open ssl/smtp Postfix smtpd
|_ smtp-commands: EHLO zimbra.agss.com, PIPELINING, SIZE 10240000, VRFY, ETRN, AUTH PLAIN LOGIN, AUTH=PLAIN LOGIN, ENHANCEDSTATUSCODES, 8BITMIME, DSN
587/tcp open smtp Postfix smtpd
|_ smtp-commands: EHLO zimbra.agss.com, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN
631/tcp open ipp CUPS 1.4
993/tcp open ssl/imap Zimbra imapd
|_ imap-capabilities: CONDSTORE THREAD=ORDEREDSUBJECT ESEARCH AUTH=PLAIN SASL-IR IMAP4rev1 UNSELECT UIDPLUS SORT ID SEARCHRES WITHIN AUTH=X-ZIMBRA LIST-EXTENDED BINARY QUOTA QRESYNC CATENATE CHILDREN LOGIN-REFERRALS RIGHTS=ektx ACL I18NLEVEL=1 ENABLE IDLE LITERAL+ ESORT NAMESPACE MULTIAPPEND
995/tcp open ssl/pop3 Zimbra pop3d
|_ pop3-capabilities: USER EXPIRE(31 USER) UIDL IMPLEMENTATION(ZimbraInc) XOIP TOP SASL(PLAIN X-ZIMBRA)
5222/tcp open unknown
5269/tcp open unknown
5900/tcp open vnc VNC (protocol 3.7)
7025/tcp open lmtp Zimbra lmtpd
7777/tcp open socks5 (No authentication; connection not allowed by ruleset)
10024/tcp open smtp amavisd smtpd
| smtp-commands: EHLO [127.0.0.1], VRFY, PIPELINING, SIZE, ENHANCEDSTATUSCODES, 8BITMIME, DSN, XFORWARD NAME ADDR PORT PROTO HELO SOURCE
|_ HELP 2.0.0 See amavisd-new home page at: 2.0.0 http://www.ijs.si/software/amavisd/
10025/tcp open smtp Postfix smtpd
|_ smtp-commands: EHLO zimbra.agss.com, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN
3 services unrecognized despite returning data. If you know the service/version, please submit the following fingerprints at http://www.insecure.org/cgi-bin/servicefp-submit.cgi :
==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)==============
SF-Port80-TCP:V=5.00%I=7%D=10/9%Time=4ACEFFAF%P=i386-redhat-linux-gnu%r(Ge
SF:tRequest,117,"HTTP/1\.1\x20302\x20Found\r\nExpires:\x20Tue,\x2024\x20Ja
SF:n\x202000\x2020:46:50\x20GMT\r\nCache-Control:\x20no-store,\x20no-cache
SF:,\x20must-revalidate,\x20max-age=0\r\nPragma:\x20no-cache\r\nContent-Ty
SF:pe:\x20text/html;\x20charset=utf-8\r\nContent-Language:\x20en-US\r\nLoc
SF:ation:\x20https://127\.0\.0\.1/zimbra/\?zinitmode=http\r\nContent-Lengt
SF:h:\x200\r\n\r\n")%r(HTTPOptions,C7,"HTTP/1\.1\x20200\x20OK\r\nExpires:\
SF:x20Tue,\x2024\x20Jan\x202000\x2020:46:50\x20GMT\r\nCache-Control:\x20no
SF:-store,\x20no-cache,\x20must-revalidate,\x20max-age=0\r\nPragma:\x20no-
SF:cache\r\nAllow:\x20GET,\x20HEAD,\x20POST,\x20TRACE,\x20OPTIONS\r\nConte
SF:nt-Length:\x200\r\n\r\n")%r(RTSPRequest,2F,"HTTP/1\.1\x20400\x20Bad\x20
SF:Request\r\nConnection:\x20close\r\n\r\n")%r(X11Probe,2F,"HTTP/1\.1\x204
SF:00\x20Bad\x20Request\r\nConnection:\x20close\r\n\r\n")%r(FourOhFourRequ
SF:est,5BD,"HTTP/1\.1\x20404\x20Not\x20Found\r\nContent-Type:\x20text/html
SF:;\x20charset=utf-8\r\nContent-Language:\x20en-US\r\nContent-Length:\x20
SF:1356\r\n\r\n\n\n\n\n\n\n\n\n\nSF:ML\x20PUBLIC\x20\"-//W3C//DTD\x20HTML\x204\.01\x20Transitional//EN\">\n
SF:\n\n\n\n\n\n\n\n\n\n\n\x20\x20\x20\x20SF:"Content-Type\"\x20content=\"text/html;charset=utf-8\">\n\x20\x20\x20\x
SF:20\n\x20\x20\x20\x20SF:e=\"viewport\"\x20content=\"width=320;\x20initial-scale=1\.0;\x20maximu
SF:m-scale=8\.0;\x20user-scalable=1;\">\n\x20\x20\x20\x20SF:escription\"\x20content=\"Zimbra\x20provides\x20open\x20source\x20serve
SF:r\x20and\x20client\x20software\x20for\x20messaging\x20and\x20collaborat
SF:ion\.\x20To\x20find\x20out\x20more\x20visit\x20http://www\.zimbra\.com\
SF:.\">\n\x20\x20\x20\x20SF:s\"\x20href=\"/zimbra/css/common,login,zhtml,skin\.css\?skin=&v=0909111
SF:85028\">\n\t\n\t\n\t\x20\x20\x20\x20\n\t\n\x20\x20\x20\x20SF:\"SHORTCUT\x20ICON\"\x20href=\"/zimbra/img/logo/favicon\.ico\">\nSF:>\n\n\n

\n<
SF:tr>\n==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)==============
SF-Port5222-TCP:V=5.00%I=7%D=10/9%Time=4ACEFFD2%P=i386-redhat-linux-gnu%r(
SF:Help,10,"")%r(X11Probe,10,"")%r(LPDStri
SF:ng,10,"")%r(TerminalServer,10,"");
==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)==============
SF-Port5269-TCP:V=5.00%I=7%D=10/9%Time=4ACEFFD2%P=i386-redhat-linux-gnu%r(
SF:Help,10,"")%r(X11Probe,10,"")%r(LPDStri
SF:ng,10,"")%r(TerminalServer,10,"");
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.15 - 2.6.27
Network Distance: 0 hops
Service Info: Hosts: zimbra.agss.com, 127.0.0.1

OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 127.55 seconds

*******************************************************************

Thanks : thaiadmin.org