Virus OlalaTheWorld or Dung Coi : ไวรัสดังค่อย

ช่วงบ่ายๆ ของวันนี้เป็นต้นมา ผมก็รับศึกหนักในบ้านอีกรอบ กับการมาเยือนของลูกค้าจากปัญหาเครื่องสตาร์ทไม่ติด และมีทีท่าจะแพ้ตกรอบรองชนะเลิศ แหะๆ คนละเรื่องเลย ง่า... ได้สอบถามในเบื้องต้นแล้ว สาเหตุคาดว่าน่าจะมาจากไวรัส

โดยมีอาการดังนี้

• เครื่องทำงานได้ช้ามาก บางครั้งก็น็อคไปดื้อๆ เซฟงานไม่ทันด้วยซ้ำ
• แอนตี้ไวรัสนิ่งเฉยทั้ง 2 ตัวที่ติดตั้งไว้ ได้แก่ McAfee VirusScan Enterprise 8.0.0 และร่มแดง AntiVir Personal Edition Classic
• เปิดวินโดว์ได้ แต่บางครั้งขณะรันวินโดว์ เครื่องแฮงค์ไป
  

หลังจากผ่านไปได้ 1 วัน เครื่องก็เปิดไม่ได้ซะแล้ว โดยแจ้งว่า

NTLDR is missing, Press any key to restart. Reboot and Select proper Boot device and press a key. (หรือจะเจอข้อความอีกแบบหนึ่ง เหมือนในรูปด้านซ้ายมือ)

เปิดเครื่องไม่ได้ แถมตอนยกมาถึงร้าน Power Supply ไฟไม่เข้าพัดลมไม่หมุน นับว่าโชคร้ายดีแท้ (ยังไม่หมดประกัน แต่มีงานด่วนต้องทำ) ยกแรกต้องแงะเครื่อง เปลี่ยน Power Supply (มือสอง) ให้ไปใช้งานก่อน




เริ่มยกที่สอง

ปัญหา NTLDR is missing นั้นแก้ไม่ยาก หากมีแผ่นกู้ NTLDR และยังหาไฟล์จำเป็นมายัดใส่ในไดรว์ C: ก็อาจช่วยได้ ได้แก่ boot.ini, ntldr.exe และ ntdetect.com (ใครมีแผ่นวินโดว์หาูในโฟลเดอร์ i386 ดูนะครับ)

หรือจะใช้แผ่นวินโดว์เข้าใช้ Recovery Console แล้วคัดลอกไฟล์ด้วยคำสั่งข้างล่าง

• copy d:\i386\ntldr c:\
  
• copy d:\i386\ntdetect.com c:\ และ
• copy d:\i386\boot.ini c:\

ปล. หากไดรว์ที่ท่านลงวินโดว์ไว้คือ C: และ ไดรว์ซีดีรอมคือ D: ถ้าไม่ใช่ก็เปลี่ยนชื่อไดรว์ให้ถูกต้องด้วยล่ะ

ก็จะสามารถแก้ไขและเปิดวินโดว์ได้แล้วคราวนี้ หากอ่านแล้วไม่เข้าใจ ลองค้นหาอ่านจากกูเกิลอีกทีนะครับ


ยกที่สาม

เมื่อเข้าสู่วินโดว์ได้แล้ว อาการแรกที่ผมเจอก็คือ ฮาร์ดดิสก์ทำงานตลอดเวลา เมาส์แสดงรูปนาฬิกาทรายเป็นระยะๆ นั่นหมายถึง กำลังมีอะไรบางอย่างกำลังทำงานอย่างขมีขมัน ไม่ต้องบอกก็รู้ว่าคือ "ไวรัส" นั่นเอง

"ไวรัส" ในที่นี้หมายถึง ไวรัสคอมพิวเตอร์ โดยรวมสิ่งแปลกปลอมที่อาจทำอันตรายต่อเครื่องคอมพิวเตอร์ทั้งหมดไว้ในคำนิยามนี้เลยนะครับ

ไม่ว่าจะเป็น โทรจัน หนอน สปายแวร์ มัลแวร์ และสิ่งที่เป็นอันตรายต่อเครื่อง ล้วนจะถูกผู้ใช้่งานทั่วไปส่วนใหญ เรียกเหมารวมว่า "ไวรัส"

ปล. ผมว่าส่วนใหญ่จะเรียกเหมารวมว่าไวรัสกันแบบนี้มาตั้งนานเป็นสิบปีแล้วนะ

แม้ว่าจะใช้ทั้งแมคอาฟีและร่มแดง หากไม่ระมัดระวัง ไม่ใส่ใจอัพเดท และมีผู้ใช้หลายมือ อาจทำให้เกิดเรื่องทำนองนี้ได้ครับ (แต่ผู้ใช้งานส่วนใหญ่ ก็จะใช้งานกันแบบง่ายๆ จะโทษเค้าฝ่ายเดียวก็ไม่ถูก อาจรับเชื้อมาจากคนอื่นที่ใช้งานร่วมเครื่องเดียวกันก็ได้)


จากการตรวจสอบเบื้องต้น ผมเจอ process ที่อยู่ในระดับอันตราย (high risk) หลายตัวด้วยกัน อาทิเช่น winsys.exe (หรือเรียกกันทั่วไปว่า WinSpy) , explorcr.exe (ช่วงนี้มาแรงกับไวรัสที่ชื่อว่า Happy Birthday), OlalaTheWorld (หนอนจากตระกูล Dung Coi ที่ผมแอบตั้งชื่อว่า ดังค่อย อิอิ) และอีกตัวนึงที่ไม่คาดว่าจะเจอก็คือ keeper.exe ซึ่งอาจมาจากโปรแกรมล้วงข้อมูลชื่อดัง Keylogger



ต่อกันเลยครับ

ตัวอื่นๆ จัดการไม่ยาก แค่ ปิดระบบ System Restore ของวินโดว์เอาไว้ก่อนในลำดับแรก แล้วไปหยุด process ของมัน และตามไปล้างบางอีกทีนึง ก็จบ แต่เจ้า "ดังค่อย" ไม่เป็นเช่นนั้น


เจ้า OlalaTheWorld ณ ดังค่อย เราต้องไปจัดการกับมัน ณ ตำแหน่งนี้ครับ

• C:\WINDOWS\inf\Other.exe
• C:\WINDOWS\system\Fun.exe
• C:\WINDOWS\system32\config\Win.exe
• C:\WINDOWS\system32\WinSit.exe
• C:\WINDOWS\dc.exe
• C:\WINDOWS\SVIQ.EXE
• C:\WINDOWS\System32\NWB.dat
• C:\PNga.txt

ปล. เข้าไปศึกษา้วิธีของช่างป่าน คนหล่อเมืองตากอีกคน (อ่านที่นี่) สุดยอดทางด้านคอมพิวเตอร์อีกคนหนึ่ง ก็ยังไม่ได้

อิอิ.... ส่วนหล่ออีกคนก็แถวๆ นี้อ่ะครับ

เมื่อยังฆ่าเจ้า "ดังค่อย" ไม่ได้ ก็ต้องเริ่มต้นใหม่

ตั้งแต่ การสั่งปิด System Restore, ต่อด้วยการปิด Process ที่มันทำงาน, ตามไปจัดการกับแหล่งกบดานทั้งที่ registry และฮาร์ดดิสก์ ปิดท้ายด้วยการใช้ nod32 สแกนฆ่ามันอีกรอบ และพบว่ามันซ่อนตัวอยู่ใน temp file อีกเพียบ

กำ.... ว่าจะไม่พิมพ์แบบยาวเหยียดแล้วนะเนี่ย เอาเป็นว่าผมจบตรงนี้ก็แล้วกันเนาะ และขออภัยสำหรับความยาว (ของบทความ) นี้ด้วย หากมีคำแนะนำใดๆ เกี่ยวกับเจ้า "ดังค่อย" โพสต์มากันได้ครับ ขอบคุณล่วงหน้าครับ

Reference and Thanks : ช่างป่าน ณ www.webphand.com และอีกหลายๆ เว็บที่ผมลืมจดเอาไว้