2. ไวรัส flashy.exe / วิธีกำจัด
อาการเบื้องต้นของเครื่องที่ติดไวรัส flashy.exe
· ไม่สามารถเรียกใช้ Task Manager, Registry Editor และFolder Option ได้ ไม่ว่าจะเรียกด้วยวิธีใด
· เครื่อง· คอมพิวเตอร์จะถูกกำหนดให้มีการตั้ง· รหัสผ่านสำหรับ Admin ทันที ทำให้เราเข้าเครื่อง· ฯไม่ได้ เพราะไม่ทราบรหัสผ่าน
· Flashy.exe จะทำการแก้รหัสของ· เราใหม่ ทำให้ไม่สามารถ Login เข้าเครื่อง· ของ· เราได้อีกเลย
· เมื่อมีการ plug in Flash Drive หรือ Memory Card เข้าไปใน Card Reader แล้ว หากว่า ใน Memory Card นั้นมี Folder อยู่ Folder เหล่านั้นจะถูกเปลี่ยนให้ไปอยู่ใน สถานะ Hidden ทำให้เราไม่สามารถมอง· เห็น Folder เหล่านั้นได้
· ฯลฯ
วิธีกำจัดไวรัส flashy.exe
ขั้นตอนต่างๆ ต้องทำ ใน Safe mode ครับ ถึงจะได้ผล
1. ถ้าเครื่องที่มีอาการหนักจะถูกตั้งรหัสผ่าน Administrator เอาไว้ ให้ทำการแก้ไขโดยพิมพ์ คำว่า hacked เป็นรหัสผ่าน ซึ่งหากไม่รู้วิธีแก้ปัญหาโดยการติดตั้ง Windows ใหม่อย่างเดียว
2. เมื่อเราเข้าวินโดว์ได้แล้วให้เราหยุดการทำงานของมันก่อน โดยกด Ctrl+Alt+Delete จะเข้าสู่ Windows task Manager แล้วเลือกคลิก Flashy.exe แล้วคลิก End Process ตรงมุมขวาด้านล่าง
3. กรณีถ้าเข้า Windows Task Manager ไม่ได้ (ถ้าเข้าได้ให้ข้ามไปข้อ 6) ให้เราเข้าไปแก้ใน registy แต่ไวรัสยังปิดการเข้าใช้งาน Registry เอาไว้อีก ให้ใช้ตัว Unhookexec.inf ปลดล็อคก่อน
โดยดาวน์โหลดได้จากหน้าเว็บ http://www.kku.ac.th/data/services/it/UnHookExec.inf เมื่อโหลดมาแล้วก็คลิกขวา แล้วเลือก Install แต่ถ้าเครื่องไหนที่ติดไวรัส หน้าจอภาษาจีนด้วยต้อง ฆ่าก่อนนะครับไม่อย่างนั้น จะใช้ UnHookExec.inf ไม่ได้ผล
4. จากนั้นก็จะเข้าใช้งานส่วน Registry ได้ครับ เมื่อเข้าได้แล้วก็ไปทำการ แก้ไข Registry ให้เครื่องใช้งาน Task Manager ได้ครับ โดย ไปที่ Start--->Run พิมพ์ regedit กด OK แล้วเข้าไปลบคีย์ตามนี้ครับ
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system แล้วก็ลบ DisableRedistryTools และ DisableTaskMgr ออกครับ
5. เมื่อลบออกได้แล้วก็ไปทำตาม ข้อ 2 ครับ
6. แล้วตอนนี้มันก็หยุดการทำงานแล้วครับ ต่อไปเราต้องเข้า regedit แล้ว ไปที่ Start--->Run พิมพ์ regedit แล้วเข้าไปลบคีย์ตามนี้ครับ

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ ลบ NoFolderOptions

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ลบ HideFileExt

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ ลบ Start

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ ลบ Flashy.exe

จากนั้นคลิก Start\Programs\Startup\ ลบ SystemID.pif
จากนั้นคลิก Start--->Run พิมพ์ msconfig ไปที่แถบ startup ยกเลิกติ๊กถูกหน้า systemID
รีสตาร์ทเครื่องใหม่
แล้วลองกด Ctrl+Alt+Delete ดูว่า Flashy.exe ยังมีการทำงานอีกหรือไม่ ถ้าไม่มีแสดงว่าเรียบร้อยแล้ว
ต่อไปการแก้ไขส่วนที่ไวรัสสร้าง ให้เราต้องใส่รหัสทุกครั้ง เวลาจะเปิดเครื่อง

คลิก Start\Control panel\User accounts
เลือก User แรก (Administrator) จะสังเกตุเห็นว่ามีข้อความแสดงว่า มีการใช้รหัสผ่านป้องกันอยู่
ให้คลิกที่ User แรก (Administrator) แล้วเลือก หัวข้อ Change a password
พิมพ์รหัสผ่าน Hacked ในช่องแรก ( ช่องรหัสผ่านเดิม) ช่องที่เหลือเว้นว่างไว้
ยืนยันการเปลี่ยนรหัสผ่าน แล้วลองรีสตาร์ทเครื่องใหม่
หรือ
เข้า Run พิมพ์ regedit แล้วไปตามนี้
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
แก้สตริงคีย์ตามนี้ครับหากไม่มีก็คลิกขาวเลือก New-->String value
ตามนี้ครับ
"AutoAdminLogon"="1"
"DefaultUserName"=" ชื่อผู้ใช้"
"DefaultPassword"hacked"


** หลังจากทำตามขั้นตอนเสร็จหมดแล้วให้ไปลบตัวไวรัสชื่อ Flashy.exe ใน C:\WINDOWS\system32
ต้องเปิด Show hidden File ก่อนถึงจะเห็น**

อาการของเครื่องที่ติด Flashy.exe

- ไม่สามารถเรียกใช้ Task Manager, Registry Editor และFolder Option ได้ ไม่ว่าจะเรียกด้วยวิธีใด

- หากพยายามแก้ไขด้วยวิธีการทำ System Restore ถ้าเครื่องของเราได้ทำการตั้งรหัสเอาไว้

Flashy.exe จะทำการแก้รหัสของเราใหม่ ทำให้ไม่สามารถ Login เข้าเครื่องของเราได้อีกเลย

- Error นี้จะแสดงขึ้นมาทันทีเมื่อ ตรวจพบการใช้งาน Controller ของ Removeble Media ต่างๆ

อยู่เฉยๆอาจจะปกติไม่มีอะไร แต่เมื่อเสียบ Card Reader เข้าไปก็จะโชว์ Error นี้ทันที

- เมื่อเสียบ Flash Drive เข้าไป หรือเสียบ Memory Card เข้าไปใน Card Reader แล้ว

หากว่า ใน Memory Card นั้นมี Folder อยู่ Folder เหล่านั้นจะถูกเปลี่ยนให้ไปอยู่ใน สถานะ Hidden
ทำให้เราไม่สามารถมองเห็น Folder ของเราในนั้นได้

- หากว่าใน Memory Card หรือ Flash Drive ของเรามี Aplication อยู่ ( ที่มีนามสกุลว่า .exe ) Flashy.exe
จะทำการปลอมชื่อตัวเองไปเป็นชื่อเดียวกัน Aplication นั้นๆ ทำให้เราเข้าใจว่าAplication
ของเรากำลังเรียกใช้งานอยู่ตามปกติ

- จะมีการเขียนค่าลงใน Memory Card ที่เราไส่ลงไป และทำให้ตัวเองมีหน้าตาเหมือน Folder ( คล้ายๆเจ้า
Brontok ) และเมื่อเราเอาไปใช้ที่ใหม่ เครื่องอื่นจะมองเห็นเป็น Folder ทำให้ User ไม่ทันระวังตัว
พอดับเบิ้ลคลิกไปก็เท่ากับเป็นการรัน Virus เข้าเครื่องในทันที

- Virus ตัวนี้ไม่แพร่กระจายในเครือข่าย (คือไม่ใช่ อยู่ๆก็ไปเขียนค่าหรือ
ติดตั้งตัวเองในเครื่องอื่นๆในวง Lan ของเรา มันจะอยู่แต่เครื่องที่มันอยู่เท่านั้น แต่ใช้ Flash Drive
เป็นพาหะแทน)

- อาการจะแสดงผลในทันที ไม่รีรอค่อยๆ เป็นค่อยๆ ไป อย่าง Brontok
วิธีแก้เครื่อง ติด ไวรัส Flashy.exe
Brontok ยังแก้กันยังไม่หมดเลยตัวใหม่มาอีกแล้ว
ไวรัสตัวนี้ร้ายที่สุดทำงานเร็วที่สุดเท่าที่กระผมเคยเจอมาครับ
ที่สำคัญติดง่ายมากแค่เสียบแฮนดี้ไดว์ก็ติดแล้ว
ร้ายกว่าไอ้เขียวอีก(Brontok)อีกเมื่อเราติดไวรัสตัวนี้แล้ว จะทำให้เข้าวินโดว์ไม่ได้ครับ
เพราะมันจะถามรหัสผ่าน ทั้งที่เราไม่ได้ตั้งเลย แล้วรหัสผ่านที่ว่ารหัสคือ hacked
เมื่อเราเข้าวินโดว์ได้แล้วเราก็มาฆ่าไวรัสกันครับตอนนี้ผมใช้ โปรแกรม Bitdefender
โปรแกรมนี้กันได้ครับ เพียงแต่ต้องอัฟเดทมันให้ใหม่ อีกโปรแกรมหนึ่ง nod32
ครับ อัปเดทhttp://www.4shared.com/dir/694953/c1a5190c/sharing.html
รอเลือกเอาเลยครับว่าจะเอาอะไร เมื่อคลิ๊กแล้วรอ10วินะครับตรงข้างล่างจะมีคำว่าdownload ครับ เมื่อลงเสร็จแล้วก็แสกนแล้วฆ่าเลยครับ
แล้วเราค่อยมาแก้รีจิสทรีที่มันปิดไว้ก็ไป run พิมพ์ regedit แต่ยังเข้าไม่ได้เพราะไวรัสมันปิดไว้เราก็ต้องใช้ตัUnhookexec.inf
เนี่ยแหละครับ ปลดล็อคมันก่อน โหลดได้จากลิ้งนี้ครับ http://securityresponse.symantec.com/avcenter/UnHookExec.inf
เมื่อโหลดมาแล้วก็คลิกขวา แล้วเลือก Installครับ
แล้ว ไปที่ Start--->Run พิมพ์ regeditแล้วเข้าไปลบคีย์ตามนี้ครับ

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\
ด้านขวามือ --------> NoFolderOptions
ลบNoFolderOptions ออกเลยครับ ไวรัสมันสร้างขึ้นมาครับ

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\
ด้านขวามือ --------> HideFileExt
ลบ HideFileExt

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess ด้านขวามือ
-------->Start
ลบ Start

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run ด้านขวามือ
--------> Flashy.exe
ลบ Flashy.exe ออกครับ

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
ลบ DisableRegistryTools
DisableCMD
DisableTaskMgr

แล้วไปลบ systemID.pif ที่Start Menu\Programs\Startup\ systemID.pif
ลบ systemID.pif ออกเลยครับ
ไปที่ Start--->Run พิมพ์ msconfig ไปที่แถบ startup เลือกติ๊กถูกหน้าsystemID ออกครับ

แล้วรีสตาร์ทเครื่องแล้วลองกด Ctrl+Alt+Delete ดูครับว่าFlashy.exeยังมีอยู่ในนั้นไหม ไม่มีก็เสร็จครับ

ต่อไปเราก็ต้องแก้ที่ไวรัสมันสร้างรหัสให้เราทำให้เวลาจะเปิดเครื่องต้องใส่รหัสทุกครั้ง
ผมลองเข้าไปดูใน User accounts แล้วไม่เห็นมีให้เรารีมูฟรหัสผ่านเลยตอนนี้ผมยังแก้เอารหัสออกไม่ได้ครับ
แต่ก็แก้ให้ไม่ต้องใส่รหัสทุกครั้งได้ครับ โดยการ
เข้า Run พิมพ์ regedit แล้วไปตามนี้ครับ
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
แก้สตริงคีย์ตามนี้ครับหากไม่มีก็คลิกขาวเลือก New-->String value
ตามนี้ครับ
"AutoAdminLogon"="1"
"DefaultUserName"="ชื่อผู้ใช้อะครับ"
"DefaultPassword"hacked"
สำหรับไวรัสที่อยู่ในแฮนดี้ไดว์นะครับ
มันจะไม่ให้ลบเพราะว่าเวลาไวรัสมันเข้าไปอยู่แล้วมันจะเขียนไฟล์ออโต้รันขึ้นมาซึ่งผมก็ยังไม่เคยเห็นนะครับ แต่ก็เดาออกครับว่าจะทำยังไงไม่ให้ลบได้ เราต้องไปลบไฟล์ออโต้รันมันก่อนครับ เข้าMy computer
ไปที่Tools---Folder option หากไม่มีก้อย้อนขึ้นไปอ่านข้างบนนะครับ แล้วไปView ติ๊กจุดตรง Show Hiden
file And Folder
แล้วติ๊กถูกออกตรง Hide extenstions กับ Hide protected
แล้วก็OK แล้วเข้าแฮนดี้ไดฟ์ที่ติดไวรัสครับ เข้าไปลบไฟล์
autorun.infเลยครับลบออกก่อนแล้วรีสตาร์ทแล้วก็เข้าแฮนดี้ไดฟ์ใหม่แล้วค่อยไปลบตัวไวรัสครับ
หรือใช้ โปรแกรมBitDefender 9 Professional Plusฆ่าได้ก็คงต้อง ใช้ซอฟแวย์ช่วยฟอแมทละครับ
หากไม่ได้ ใช้โปรแกรมตามลิ้งข้างล่างฟอแมทเลยครับ
ลิ้งโหลดตัวช่วยformat flashdriveนะครับ
www.unlimitpc.com/article/flashdrive/SP27213.exe
โปรแกรมเช็คคอมครับ
ว่ามีโปรแกรมอะไรเปิดอยู่บ้างกับโปรแกรมเช็คเครื่องดูว่าตอนเปิดเครื่องขึ้นมามีโปรแกรมอะไรรันขึ้นมาบ้าง
http://www.4shared.com/dir/694953/c1a5190c/sharing.html

Hacked By Godzilla
เป็นไวรัส ตัวใหม่ที่กำลังระบาดอยู่ จัดเป็น spyware ที่ก่อกวนการทำงานมากกว่าจะทำลายข้อมูล โดยจะเป็นการติดผ่าน Handy Drive และ Floppy Disk เท่านั้น

ลักษณะอาการ

นำมาจาก http://www.pantip.com/tech/article/article.php?id=170
1.เครื่องจะไม่สามารถ Double Click เปิดไดร์ฟต่างๆได้ แต่จะคลิกเมาส์ขวาเพื่อเปิดไดร์ฟโดยเลือกเมนู Open หรือExplore
2.มีข้อความปรากฏบน Title Bar ของ Internet Explorer ว่า Hacked By Godzilla

วิธีการแก้ไขเมื่อติดไวรัส Godzilla
1.Double Click ไอคอน My Computer ที่ Desktop เลือกเมนู Tools --> Folder Options

2.ปรากฏไดอะล็อก Folder Options คลิกแท็บ View
1)คลิกเลือก Show Hidden files and folders
2)เอาเครื่องหมาย / ในช่องสี่เหลี่ยมหน้า Hide extention และ Hide protected operating system file ออก
3)คลิก OK

3.กดปุ่ม Ctrl+Alt+Delete ที่คีย์บอร์ด

4.ปรากฏไดอะล็อกบ็อก Windows Task Manager คลิกเลือกแท็บ Processes
1)คลิกเลือกเมนู Image Name (เพื่อ sort File)
2)คลิกเลือกไฟล์ wscript.exe ( ทีละตัว )
3)คลิกปุ่ม End Process

5.เปิด ไดร์ฟ ( โดยคลิกเม้าส์ขวาเลือก Explore ห้าม Double Click ไดร์ฟ ) ทำการลบไฟล์ autorun.inf และ MS32DLL.dll.vbs ออก (โดยกด Shift+Delete ) ทุกไดร์ฟที่มีอยู่ในเครื่องคอมพิวเตอร์ซึ่งรวมทั้ง Handy Drive และ Floppy disk ด้วย

6.เปิดโฟลเดอร์ C:WINDOWS เพื่อลบไฟล์ MS32DLL.dll.vbs ออก (โดยกด Shift+Delete )

7.ไปที่ปุ่ม Start-->Run ปรากฏไดอะล็อกบ็อก Run พิมพ์คำสั่ง regedit กดปุ่ม OK
ปรากฏไดอะล็อกบ็อก Registry Edit

8.คลิกเลือก HKEY_LOCAL_MACHINE --> Software --> Current Version --> Run เพื่อลบไฟล์ MS32DLL (โดยการกดปุ่ม Delete ที่คีย์บอร์ด )

9. คลิกเลือก HKEY_CURRENT_USER --> Software --> Microsoft --> Internet Explorer --> Main เพื่อลบไฟล์ที่ Window Title Hacked by Godzilla ออก (โดยการกดปุ่ม Delete ที่คีย์บอร์ด )

10.คลิกปุ่ม Start --> Run ปรากฏไดอะล็อกบ็อก Run พิมพ์คำสั่ง gpedit.msc กดปุ่ม OK
ปรากฏไดอะล็อกบ็อก Group Policy

11.คลิกเลือก User Configuration --> Administrative Templates --> System --> Double Click ไฟล์ Turn Off Autoplay ปรากกฎไดอะล็อกบ็อก Turn Off Autoplay Properties
1)คลิกเลือก Enabled
2)คลิกเลือก All drives
3)คลิก OK

เพื่อ ป้องกันการเปิดไดร์ฟอัตโนมัติในกรณีที่นำแผ่นซีดี หรือ Handy Drive มาใช้งานซึ่งเป็นช่องทางที่จะทำให้เกิดการติดไวรัสได ้ง่ายขึ้น

12.คลิกปุ่ม Start --> Run ปรากฏไดอะล็อกบ็อก Run พิมพ์คำสั่ง msconfig กดปุ่ม OK
ปรากฏไดอะล็อกบ็อก System Configuration Utility คลิกแท็บ Startup
1)เอาเครื่องหมาย / ในช่องสี่เหลี่ยมหน้าไฟล์ MS32DLL ออก
2)คลิกปุ่ม Apply
3)คลิกปุ่ม OK (หรือ Close)
จะปรากฏไดอะล็อกบ็อก System Configuration เลือก Exit Without Restart

13.Double Click ไอคอน Mycomputer ที่ Desktop เลือกเมนู Tools --> Folder Options

14.ปรากฏไดอะล็อก Folder Options คลิกแท็บ View
1)คลิก / ในช่องสี่เหลี่ยมหน้า Hide extention และ Hide protected operating system file
2)คลิก OK

15. Click เม้าส์ขวาที่ไอคอน Recycle bin เพื่อเรียก Shortcut Menu เลือกคำสั่ง Empty Recycle bin เพื่อยืนยันการลบไฟล์ไวรัสออกจากเครื่องคอมพิวเตอร์อ ีกครั้ง