How to remove DNS-Changer

DNS-Changer

[Technical Zone] : 12 กันยายน 2555

ชื่อ: DNS-Changer
ประเภท: Trojan ,Rootkit
ชนิด: Malware

ไวรัส  DNS-Changer
FBI เตรียมปิดเซิร์ฟเวอร์ของมัลแวร์ DNSChanger แล้วหลังจากปล่อยให้ผู้ใช้ได้ทำการตรวจสอบและกำจัดมัลแวร์ 3 เดือน ซึ่งการปิดเซิร์ฟเวอร์ในครั้งนี้จะส่งผลให้เครื่องที่ติดมัลแวร์ไม่สามารถ เข้าใช้งานอินเทอร์เน็ตได้ตามปกติ
คอมพิวเตอร์ในอินเทอร์เน็ตมีที่อยู่ของตัวเองหรือเรียกว่า ที่อยู่ของ IP มีสองประเภทคือ:

• IPv4 ซึ่งเป็นที่อยู่แบบ 32 บิตเช่น 195.122.169.23
• IPv6 ซึ่งเป็นที่อยู่แบบ 128-bit เช่น 2001: db8: 85a3: 8d3: a2e 1319:8: 370:7347

คุณเห็นชัดเจนว่าที่อยู่เหล่านี้ไม่ได้เพื่อให้ง่ายต่อการจำเมื่อเทียบกับ เช่น "kaspersky.com" ดังนั้น "ชื่อ Domain Name System" ถูกสร้างขึ้นซึ่งแปลชื่อโดเมนเป็น "kaspersky.com" เพื่อที่อยู่ IP ของตนในการเชื่อมต่อไปยังเซิร์ฟเวอร์มัลแวร์ DNS-Changer แทนที่เซิร์ฟเวอร์ DNS-ในระบบที่ติดเชื้อด้วยตนเอง เอฟบีไอแถลงข่าวเหตุผลที่พวกเขาทำเช่นนี้เป็นเพราะ "Click Hijacking" นี้เป็นเทคนิคที่ผู้ใช้ที่ติดเชื้อจะถูกเปลี่ยนเส้นทางไปยังเว็บไซต์โฆษณา จากอาชญากรและ "เปลี่ยนโฆษณา" ที่ถูกต้องตามกฎหมายเกี่ยวกับเว็บไซต์การโฆษณามีการแลกเปลี่ยนกับหนึ่งจาก อาชญากร

โชคดีที่เอฟบีไอจับอาชญากรและติดตั้ง DNS Servers ชั่วคราวเพื่อหลีกเลี่ยง "Black Out" สำหรับคอมพิวเตอร์ที่ติดเชื้อนี้วิธีการแก้ปัญหาชั่วคราวเมื่อเซิร์ฟเวอร์มี การปิดตัวลง เมื่อเกิดเหตุการณ์นี้เครื่องที่ติดเชื้อจะไม่สามารถแก้ไขชื่อโดเมนเพื่อที่ จะเชื่อมต่อกับเว็บไซต์เช่น

ถ้าคุณทราบที่อยู่ของเซิร์ฟเวอร์ที่คุณยังคงสามารถใช้มันแทนเช่นชื่อ 195.122.169.23 ก็คือ "securelist.com" แต่นี่ไม่ใช่วิธีการแก้ปัญหาที่ดี

ตัวอย่างเช่นแผนที่ของสัปดาห์ที่ผ่านมานี้ แสดงให้เห็นว่าปริมาณของความพยายามในการติดเชื้อ / การตรวจจับลดลง แน่นอนเครื่องคอมพิวเตอร์ที่มีการป้องกันหรือไม่มียังคงอันตรายจากการติด เชื้อได้ เนื่องจากการติดเชื้อ DNSChanger จำนวนมากพร้อมด้วย TDSS, Rootkit คุณยังสามารถโหลดเครื่องมือของเรา "Kaspersky TDSSKiller" ที่ http://support.kaspersky.com/faq/?qid=208283363 เพื่อตรวจสอบและลบการติดเชื้อ

วิธีการฆ่าเชื้อระบบที่ถูกบุกรุก
• ดาวน์โหลด TDSSKiller.exe ไฟล์ บนเครื่องคอมพิวเตอร์ (หรือที่ติดเชื้ออาจจะ) ที่ติดเชื้อ
• เรียก TDSSKiller.exeไฟล์
• รอจนกว่าการสแกนและฆ่าเชื้อเสร็จสมบูรณ์ รีบูตจำเป็นต้องทำหลังจากที่การฆ่าเชื้อเสร็จเรียบร้อยแล้ว

www.icom.co.th

Virus Win32.Sality

Virus.Win32.Sality

[Technical Zone] : 12 กันยายน 2555

ชื่อ: Virus.Win32.Sality
ประเภท: Virus
ชนิด: Malware
แพลตฟอร์ม: W32  Windows
ชื่อทีโปรแกรมป้องกันไวรัสตรวจพบ: Win32/Sality.aa …..xx

 การทำงานของไวรัส
*มันจะ้เข้าไปทำให้ Firewall เราไม่ทำงาน
*ไวรัสตัวนี้จะจำลองตัวเอง โดยการค้นหา drives ทุกๆ drive  หรือใน เน็ตเวิร์ค มันจะเข้าไปแตกไฟล์ .exe และแฝงตัวโดยเพิ่มบางส่วนเข้าไปในไฟล์ .exe นั้น เมื่อเรามีการ run ไฟล์ .exe ขึ้นมาตามปกติ เจ้าไวรัสตัวนี้มันก็จะถูกเปิดขึ้นมาด้วย เพราะระบบจะบอกเป็นโปรแกรมพื้นฐานที่เราต้องเปิด
* ไวรัสมันจะมาแก้ไข registry ลองสำรวจดู ว่าใน run มีอะไรแปลกปลอมหรือเปล่า
*ฉะนั้นจากข้างต้น ไวรัสจะถูกเข้าถึงทุึกครั้งที่เครื่องเรา start ขึ้นมา
* และมันจะแพร่กระจายไปตาม Flash Drive, Thumb Drive แล้วแต่จะเรียก มันจะเข้าไปแล้ว copy ตัวเองแฝงไว้ที่ directory แรก นั่นคือเปิดไปก็เจอเลย โดยมันจะ "สุ่ม ชื่อ" (หาใน google ยังไงก็ไม่เจอ) ที่มีนามสกุล ดังนี้ .exe.pif.cmd
* จากนั้นก็ทำการฝัง autorun.inf เข้าไปด้วย
* เมื่อเอา flash drive ไปเสียบ ที่ไหน ไวรัสมันก็จะ run ทันที
* มันจะลบไฟล์พวก *.vdb*.avc*drw*.key
* และมันยังไปสั่งไม่ให้โปรแกรมพวกanti virus ทำงานครับ

อาการหลักๆเมื่อติดไวรัส
1. task manager เปิดไม่ได้ หรือหายไป



2. ติดตั้งโปรแกรม antivirus  ไม่ได้  รันโปรแกรมเพื่อติดตั้ง แล้วหายไป 
3. รันโปรแกรมอะไรก็ตามเปิดมาจะโดนปิดอัตโนมัติ
4. เครื่องช้าผิดปรกติ

การแก้ไข
1.โหลดไฟล์ช่วยหยุดไวรัสมาก่อน SALITY KILLER.ZIP
  http://support.kaspersky.com/viruses/disinfection/1874#block2

ข้อควรจำนะครับหลังจากโหลดไฟล์เสร็จแล้วไม่ต้อง คลายออกมาจาก Zip คลายออกปุ๊บโดนมันเกาะปั๊บแน่ๆให้เปิดไฟล์ salitykiller ในไฟล์ zip แล้วโปรแกรม salitykiller จะทำการสแกนและหยุดไวรัส Sality ครับ รอจนเสร็จ ด้านล่างคือตัวอย่างการรันโปรแกรม

สแกนจอเสร็จจะขึ้น press any key to continue กดปุ่มใดๆเพื่อปิดโปรแกรม แล้วรีบูตเครื่องเพื่อติดตั้งโปรแกรม  antivirus  ต่อไป และถ้าติดตั้งโปรแกรมเรียบร้อยแล้วให้สแกนด้วยโปรแกรม antivirus ที update เป็นปัจจุบันแล้ว อีกที

www.icom.co.th (Kaspersky)