การเคลีร์ย Windows Genuine WGN

การเคลีร์ย Windows  Genuine WGN

- C:\Windows\System32\ลบไฟล์ "wgatray.exe"
- เข้า Regedit
   HKEY_LOCAL_MACHINE\SOFTWEAR\Microsoft\Windows NT\CurrentVision\Winlogon\ลบ Folder Notify ---> Restart

การ share

ขั้นแรกเราต้องเปลี่ยนโหมดการ share file ของ XP ให้เป็นแบบ windows 2000 หรือ 2003 ก่อน
1.เปิด explorer กดแทป tool เลือก folder option
2.ขึ้นหน้าต่าง folder options ให้เลือกแทป View
3.ขึ้นหน้าต่าง view ให้หามองหาคำสั่ง use simple file sharing
ก็จะเปลี่ยนการ share file เป็นแบบ 2000 ก่ะ 2003 ที่มีระบบ permission เพิ่มขึ้นมา
ทำให้เราสามารถกำหน้าได้ว่าให้ user ใหนเข้ามาใช้งานได้บ้าง

การสร้าง user และเซต password ดังนี้ครับ
คลิกขวา my computer เลือก manage
ให้ดูในส่วนการตั้งค่า user เราสามารถ คลิกขวา สร้าง user ได้เลย

ส่วนการเซตให้ share files ไม่ถาม password ให้ permission ใส่user Guest แต่ต้อง enable user guest ขึ้นมาใช้งานซะ
ก่อนเพราะโดยปรกติจะไม่ให้ใช้งานอยู่แล้ว

virus password

วิธีกำจัดไวรัสชื่อ Flashy (ไวรัส password) หรือ Backdoor.Glupzy
 Published on August 17th, 2006-3:31 pm. 27 Comments
รู้สึกว่าช่วงนี้จะโดนกันทั่วหน้านะเนี่ย แต่พอว่าเราไม่โดน  ค่อยยังชั่วหน่อย แต่เขียนไว้ก่อน print แปะข้างฝา ไว้อาจจะโดนเข้าสักวัน -_-’

ไวรัส ชนิดนี้ ชื่อ Flashy.exe หรือ Backdoor.Glupzy โดยมันเป็นโทรจันที่เข้าไปเปลี่ยนแปลงรหัสผ่านระดับ Administrator ของ Windows

พบเมื่อ July 21, 2006
ประเภท Trojan Horse
ขนาดไฟล์ 21.18 Kbytes
ระบบที่ได้รับผลกระทบ : Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

ถ้าโดนเข้าแล้วให้ใช้
User name : Administrator
Password : hacked
เพื่อเข้าระบบครับ

ก่อนอื่นว่าเข้ากับอาการของเครื่องที่ติด Flashy.exe หรือเปล่า

- ไม่สามารถเรียกใช้ Task Manager, Registry Editor และFolder Option ได้ ไม่ว่าจะเรียกด้วยวิธีใด
- หากพยายามแก้ไขด้วยวิธีการทำ System Restore ถ้าเครื่องของเราได้ทำการตั้งรหัสเอาไว้ Flashy.exe จะทำการแก้รหัสของเราใหม่ ทำให้ไม่สามารถ Login เข้าเครื่องของเราได้อีกเลย
- Error นี้จะแสดงขึ้นมาทันทีเมื่อ ตรวจพบการใช้งาน Controller ของ Removeble Media ต่างๆ อยู่เฉยๆอาจจะปกติไม่มีอะไร แต่เมื่อเสียบ Card Reader เข้าไปก็จะโชว์ Error นี้ทันที
- เมื่อเสียบ Flash Drive เข้าไป หรือเสียบ Memory Card เข้าไปใน Card Reader แล้วหากว่า ใน Memory Card นั้นมี Folder อยู่ Folder เหล่านั้นจะถูกเปลี่ยนให้ไปอยู่ใน สถานะ Hidden ทำให้เราไม่สามารถมองเห็น Folder ของเราในนั้นได้
- หากว่าใน Memory Card หรือ Flash Drive ของเรามี Aplication อยู่ ( ที่มีนามสกุลว่า .exe ) Flashy.exe จะทำการปลอมชื่อตัวเองไปเป็นชื่อเดียวกัน Aplication นั้นๆ ทำให้เราเข้าใจว่าAplication ของเรากำลังเรียกใช้งานอยู่ตามปกติ
- จะมีการเขียนค่าลงใน Memory Card ที่เราไส่ลงไป และทำให้ตัวเองมีหน้าตาเหมือน Folder ( คล้ายๆเจ้า Brontok ) และเมื่อเราเอาไปใช้ที่ใหม่ เครื่องอื่นจะมองเห็นเป็น Folder ทำให้ User ไม่ทันระวังตัว พอดับเบิ้ลคลิกไปก็เท่ากับเป็นการรัน Virus เข้าเครื่องในทันที
- Virus ตัวนี้ไม่แพร่กระจายในเครือข่าย (คือไม่ใช่ อยู่ๆก็ไปเขียนค่าหรือ ติดตั้งตัวเองในเครื่องอื่นๆในวง Lan ของเรา มันจะอยู่แต่เครื่องที่มันอยู่เท่านั้น แต่ใช้ Flash Drive เป็นพาหะแทน)
- อาการจะแสดงผลในทันที ไม่รีรอค่อยๆ เป็นค่อยๆ ไป อย่าง Brontok ..

ขั้นตอนการกำจัดไวรัส Flashy.exe

เปิด Safe Mode

### ขั้นตอนการกำจัดไวรัสชื่อ Flashy.exe ทั้งหมด (1.-6.) ทำใน Safe Mode เท่านั้น

1. เราต้องทำให้เครื่องเราที่ ติด password อยู่ boot ให้ได้ก่อน ทำได้โดย
หาแผ่น Hirens BootCD 8.1 เข้าหัวข้อ pass…. เลือกข้อ 1. Act…
- โปรแกรม จะถามว่า patition เราอันไหน เราก็เลือกไป
- โปรแกรม จะถามว่า Account ที่จะล้าง pass อันไหน เราก็เลือกไป
- เสร็จแล้ว ออกจากโปรแกรม เราก็ reboot กด f8 เพื่อเข้า Safe Mode

2. เมื่อเข้า Safe Mode มาแล้ว
- คลิกขวาที่ My Computer > Properties > แท็บ System Restore > เลือก Turn off System Restore on all drives > OK

3. คลิกขวาที่ Task Bar > Task Manager (หรือ Ctrl+Alt+Del) > แท็บ Processes
- หาตัวที่ชื่อ Flashy.exe และ systemID.pif > End Process (กรณีถ้าตรวจพบ..)

4. เปิด Notepad แล้วก็อบปี้ข้อความด้านล่างไปวาง เซฟชื่อ killfrashy.bat
เมื่อเซฟเสร็จแล้ว ให้ดับเบิ้ลคลิกที่ไฟล์ killfrashy.bat เพื่อเรียกให้ไฟล์ดังกล่าวทำงาน

อ้างถึง
@ECHO OFF

REG delete HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /f
REG delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Flashy Bot /f
REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v Hidden /t REG_DWORD /d 2
REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /v HideFileExt /t REG_DWORD /d 0
REG add HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess /v Start /t REG_DWORD /d 2

5. ไปที่ Start Menu\ All Programs\Startup หา systemID.pif แล้วลบทิ้ง (คลิกขวา > Delete)
ไปที่ C:\WINDOWS\system หา Flashy.exe แล้วลบทิ้ง

6. จบขั้นตอนการกำจัด Flashy.exe > Restart เครื่อง

ต้องเข้าไปแก้ค่าใน regedit ด้วย

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\"NoFolderOptions" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"HideFileExt" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"Hidden" = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\"Start" = "4"

แหล่งข้อมูลอ้างอิง
- http://www.symantec.com/
- http://www.bbznet.com/