ถามเรื่องคอมพ์ครับ

[เอก@ดอยฯ]

พอดีเครื่อง Notebook ของผมอยู่ดีๆก็ค้างทำอะไรไม่ได้ พอกด Task Maneger ก็บอกว่าไม่สามารถเปิดได้ จาก Admininstrator แล้วก็มาเปลี่ยน name User Acount และ Password  พอรีสตาร์ททำให้ไม่สามารถเปิด Windows ได้ แต่พอใส่ Password ว่า hacked จะสามารถเข้าได้แต่ยังคงใช้ Task Maneger ไม่ได้ ไม่ทราบว่าโดนอะไรครับ ไวรัส หรือ Spyware แล้วต้องทำอย่างไรดีครับ 

[jakrit97 - รักในหลวง -]

เขาว่าไวรัส แต่ผมว่าหนอน ... จากเวปไหน จำไม่ได้แล้วครับ

2. ไวรัส flashy.exe / วิธีกำจัด
อาการเบื้องต้นของเครื่องที่ติดไวรัส flashy.exe
ไม่สามารถเรียกใช้ Task Manager, Registry Editor และFolder Option ได้ ไม่ว่าจะเรียกด้วยวิธีใด
เครื่องคอมพิวเตอร์จะถูกกำหนดให้มีการตั้งรหัสผ่านสำหรับ Admin ทันที ทำให้เราเข้าเครื่องฯไม่ได้ เพราะไม่ทราบรหัสผ่าน
Flashy.exe จะทำการแก้รหัสของเราใหม่ ทำให้ไม่สามารถ Login เข้าเครื่องของเราได้อีกเลย
เมื่อมีการ plug in Flash Drive หรือ Memory Card เข้าไปใน Card Reader แล้ว หากว่า ใน Memory Card นั้นมี Folder อยู่ Folder เหล่านั้นจะถูกเปลี่ยนให้ไปอยู่ใน สถานะ Hidden ทำให้เราไม่สามารถมองเห็น Folder เหล่านั้นได้
ฯลฯ
วิธีกำจัดไวรัส flashy.exe
ขั้นตอนต่างๆ ต้องทำ ใน Safe mode ครับ ถึงจะได้ผล

               1. ถ้าเครื่องที่มีอาการหนักจะถูกตั้งรหัสผ่าน Administrator เอาไว้ ให้ทำการแก้ไขโดยพิมพ์ คำว่า hacked เป็นรหัสผ่าน ซึ่งหากไม่รู้วิธีแก้ปัญหาโดยการติดตั้ง Windows ใหม่อย่างเดียว

               2. เมื่อเราเข้าวินโดว์ได้แล้วให้เราหยุดการทำงานของมันก่อน โดยกด Ctrl+Alt+Delete จะเข้าสู่ Windows task Manager แล้วเลือกคลิก Flashy.exe แล้วคลิก End Process ตรงมุมขวาด้านล่าง

               3. กรณีถ้าเข้า Windows Task Manager ไม่ได้ (ถ้าเข้าได้ให้ข้ามไปข้อ 6) ให้เราเข้าไปแก้ใน registy แต่ไวรัสยังปิดการเข้าใช้งาน Registry เอาไว้อีก ให้ใช้ตัว Unhookexec.inf ปลดล็อคก่อน
โดยดาวน์โหลดได้จากหน้าเว็บ http://www.kku.ac.th/data/services/it/UnHookExec.inf เมื่อโหลดมาแล้วก็คลิกขวา แล้วเลือก Install แต่ถ้าเครื่องไหนที่ติดไวรัส หน้าจอภาษาจีนด้วยต้อง ฆ่าก่อนนะครับไม่อย่างนั้น จะใช้ UnHookExec.inf ไม่ได้ผล

               4. จากนั้นก็จะเข้าใช้งานส่วน Registry ได้ครับ เมื่อเข้าได้แล้วก็ไปทำการ แก้ไข Registry ให้เครื่องใช้งาน Task Manager ได้ครับ โดย ไปที่ Start--->Run   พิมพ์ regedit กด OK แล้วเข้าไปลบคีย์ตามนี้ครับ
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system แล้วก็ลบ DisableRedistryTools และ DisableTaskMgr ออกครับ

               5. เมื่อลบออกได้แล้วก็ไปทำตาม ข้อ 2 ครับ
               6. แล้วตอนนี้มันก็หยุดการทำงานแล้วครับ ต่อไปเราต้องเข้า regedit แล้ว ไปที่ Start--->Run   พิมพ์ regedit แล้วเข้าไปลบคีย์ตามนี้ครับ
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ ลบ NoFolderOptions
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ลบ  HideFileExt
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ ลบ Start
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ ลบ Flashy.exe
จากนั้นคลิก Start\Programs\Startup\ ลบ SystemID.pif
จากนั้นคลิก Start--->Run พิมพ์ msconfig ไปที่แถบ startup ยกเลิกติ๊กถูกหน้า systemID
รีสตาร์ทเครื่องใหม่
แล้วลองกด Ctrl+Alt+Delete ดูว่า Flashy.exe ยังมีการทำงานอีกหรือไม่ ถ้าไม่มีแสดงว่าเรียบร้อยแล้ว

ต่อไปการแก้ไขส่วนที่ไวรัสสร้าง ให้เราต้องใส่รหัสทุกครั้ง เวลาจะเปิดเครื่อง

คลิก Start\Control panel\User accounts
เลือก User แรก (Administrator) จะสังเกตุเห็นว่ามีข้อความแสดงว่า มีการใช้รหัสผ่านป้องกันอยู่
ให้คลิกที่ User แรก (Administrator) แล้วเลือก หัวข้อ Change a password
พิมพ์รหัสผ่าน Hacked ในช่องแรก ( ช่องรหัสผ่านเดิม) ช่องที่เหลือเว้นว่างไว้
ยืนยันการเปลี่ยนรหัสผ่าน แล้วลองรีสตาร์ทเครื่องใหม่ 

หรือ เข้า Run พิมพ์ regedit แล้วไปตามนี้
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
แก้สตริงคีย์ตามนี้ครับหากไม่มีก็คลิกขาวเลือก New-->String value
ตามนี้ครับ
"AutoAdminLogon"="1"
"DefaultUserName"=" ชื่อผู้ใช้"
"DefaultPassword"hacked" 

** หลังจากทำตามขั้นตอนเสร็จหมดแล้วให้ไปลบตัวไวรัสชื่อ Flashy.exe ใน C:\WINDOWS\system32
ต้องเปิด Show hidden File ก่อนถึงจะเห็น**

[jakrit97 - รักในหลวง -]

เคยมีพี่คนหนึ่งเอาคอมมาให้ผมดูครับ อาการเดียวกัน ...

๑. ผมเข้า Administrator โดยใช้พาสเวิร์ด hacked ได้
๒. ผมไม่พบ flashy.exe
๓. ผมหา anti-virus มาลงและ run จนเสร็จ ก็ไม่พบอะไรผิดสังเกตุ
๔. เครื่องเดิมขอามี nod32 อยู่แล้ว แต่ผมเอา AVG free ed. ลงไปอีก (free.grisoft.com)

เรื่องเข้า TaskManager/RegEdit ไม่ได้นี่ อยู่ที่ registry ครับ รอสักครู่ กำลังหาครับ ... (เคยโดยสปายแวร์มาล็อกเครื่องตัวเองเหมือนกันครับ ต้องหาเครื่องมืออื่นมาช่วยแก้ครับ)

[jakrit97 - รักในหลวง -]

เจอแล้วครับ ... ใกล้แค่ปลายจมูก

ถ้ายัง run regedit ได้ เข้าตาม path ครับ

My Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

มีสองค่าที่ต้องเซ็ตเป็น 0 ครับ

DisableRegistryTools <-- อันนี้ไม่ให้ RegEdit ขึ้นมา
DisableTaskMgr <-- อันนี้ไม่ให้ TaskManager ขึ้นมาครับ

ถ้า RegEdit โดนด้วยลองหาเครื่องมือแก้ไข registry ตัวอื่นมาใช้ครับ เช่น RegAlyzer ของ www.spybot.info ครับ

[เอก@ดอยฯ]

ขอบคุณครับ พี่jakrit เดี๋ยวจะลองดูครับ ผลอย่างไรจะรายงานให้ทราบภายหลังครับ 

[วัฒน์]

  เยี่ยมเลยครับ คุณ.jakrit

[เอก@ดอยฯ]

ทำได้ถึงแค่นี้ครับ 

   3. กรณีถ้าเข้า Windows Task Manager ไม่ได้ (ถ้าเข้าได้ให้ข้ามไปข้อ 6) ให้เราเข้าไปแก้ใน registy แต่ไวรัสยังปิดการเข้าใช้งาน Registry เอาไว้อีก ให้ใช้ตัว Unhookexec.inf ปลดล็อคก่อน
โดยดาวน์โหลดได้จากหน้าเว็บ http://www.kku.ac.th/data/services/it/UnHookExec.inf เมื่อโหลดมาแล้วก็คลิกขวา แล้วเลือก Install แต่ถ้าเครื่องไหนที่ติดไวรัส หน้าจอภาษาจีนด้วยต้อง ฆ่าก่อนนะครับไม่อย่างนั้น จะใช้ UnHookExec.inf ไม่ได้ผล

พอ Install เสร็จสั่ง Regedit มันฟ้องว่าเปิดไม่ได้พอกดปิดแล้วมันสั่ง Restart เครื่องทันที เข้าใหม่อีกทีใส่ Password "hacked" เช่นเดิม ทีนี้ทันทีที Run Program ครบหมด Autorun windows explorer ขึ้นมาทันที ทำงานได้หมด  ยกเว้น 1. regedit  2.Task Maneger ที่ไม่สามารถเข้าได้ครับ สงสัยต้องล้างลง windows ใหม่ละมั๊งครับเฮ้อ 

[jakrit97 - รักในหลวง -]

ไม่ต้องล้างครับ

ถ้าสั่ง RegEdit แล้วไม่มาแสดงว่าโดนแก้ registry ที่ผมบอก ... แต่ผมไม่เก่งด้านเขียนไฟล์ .reg สำหรับให้ไปแก้ registry ได้เอง ... ขอเวลาหาอีกแป๊บ ... อย่าเพิ่งใจร้อนลงใหม่ครับ เสียเวลา ...

[jakrit97 - รักในหลวง -]

๑. เรื่อง registry ...

หลังจากไปดูตัวอย่างในเกมส์ B17ff แล้ว ....

ให้สร้างไฟล์ชื่ออะไรก็ได้ แต่ต้องนามสกุล .reg (ใช้ notepad ก็ได้ครับ) ... ในไฟล์ให้ใส่ข้อความเหล่านี้ครับ

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"="dword:00000000"
"DisableTaskMgr"="dword:00000000"

เมื่อเซฟไฟล์แล้ว ให้คลิกขวาที่ไฟล์ แล้วเลือก "Merge" เพื่อผนวกเซ็ตติ้งเหล่านี้เข้าไปใน registry ครับ

ถ้าอยากให้โหลดไม่ได้เหมือนเดิม ให้เปลี่ยน "dword:00000000" เป็น "dword:00000001" 

๒. เรื่อง password ...
ผมเข้าใจว่าคุณสล่าเก๊าน่าจะสามารถเปลี่ยน password ได้เลย โดยเข้า Start -> Setting -> Control Panel แล้วเลือก "User Accounts" เลือกผู้ใช้ Administrator แล้วสร้าง password ใหม่ได้เลย

แต่ถ้ายังมีไวรัสอยู่ (แต่ผมว่าเป็นหนอน) มันอาจจะเปลี่ยนของเรากลับได้ ... แต่อย่างน้อยก็รู้ว่ามันเปลี่ยนของเราเป็น "hacked"

๓. เรื่องไวรัส (แต่ผมว่ามันเป็นหนอน) ...

อย่างที่เล่าว่า เครื่องที่ผมเคยทำมันไม่มี freshy แล้ว ผมจึงตรวจสอบ process ที่ run อยู่ในเครื่องด้วย TaskManager (ควรถอดเน็ตออก) เพื่อดูว่ามีโปรเซสแปลกปลอมอะไรหรือเปล่า ... ถ้ามีก็ ฆ่าทิ้ง แล้วค่อยไปหาดูว่ามัน run จากไหน

นั่นเป็นหลักการ ... แต่หลักสะดวก คือการใช้โปรแกรม anti-virus กับโปรแกรมตรวจ spyware

anti-virus ที่ผมใช้ (เพราะช่วงนี้เริ่มชอบ ... ของฟรี) คือ AVG ... ตัวฟรีอยู่ที่ free.grisoft.com ลงแล้ว update virus signature ด้วย ... โปรแกรมนี้มีปรับปรุงเรื่อย ๆ และมีเวอร์ชั่นบน Linux แจกอีกต่างหาก ... เดิมพี่เขยแนะนำ (แต่ตอนนี้แกไปใช้ Kaspersky แล้ว) แต่ผมมาประทับใจตรงที่ ... มีวันหนึ่งผมลงเครื่องใหม่ แล้วดันต่อเน็ต update service pack ก่อน (ยังไม่ได้เข้าเวปอื่น) พอจะลง Symantec Antivirus มันไม่สามารถลงได้ ... ผมงงไปพักใหญ่ คิดว่าเครื่องไม่ดี ก็คิดถึง AVG ว่าเอามาลงแก้ขัดไปก่อน ... ปรากฏว่าลงได้ และมันพบไวรัสในเครื่องผมด้วย ... ไวรัสตัวนี้มันจะห้ามการ run ของ Norton Anti-virus และ Mcafee Anti-virus 

spyware ผมชอบ Spybot - Search and Destroy ... เพราะฟรีอีกเช่นกัน ... www.spybot.info ... ลงแล้วก็ update ตามสูตร ... ตัวนี้ไม่มีอะไรประทับใจ เพราะ AdAware ของ www.lavasoftusa.com ก็มีตัวฟรีเช่นกัน (ตัวขายมีความสามารถมากกว่า) ... AdAware ผมมีตัวขายที่ crack แล้ว แต่เวอร์ชั่นเก่าแล้ว update ไม่ได้ ... เลยใช้ของฟรีดีกว่า

ถ้าหาโปรแกรมทั้งสองประเภท (เพราะใช้ตัวอื่นก็ได้) ลงแล้ว สแกนทั้งเครื่องผ่านตลอด ผมว่าน่าจะเบาใจได้ระดับหนึ่ง ... ถึงแม้ว่าผมพบหนอนบางตัวที่โปรแกรมพวกนี้หาไม่เจอก็ตาม .... ถ้าเจอพวกนี้ต้องใช้หลักการ เพราะหลักสะดวกใช้ไม่ได้ผลครับ

[เอก@ดอยฯ]

ขอบคุณครับเดี๋ยวขอลองดูอีกทีครับ 

[เอก@ดอยฯ]

ไม่ไหวละครับ backup file สำคัญ format ลง windows ใหม่เรียบร้อยครับ 

จากที่พี่jakrit แนะนำมาเครื่องจะสั่งรีสตาร์ททันทีที่เรายุ่งเกี่ยวกับ register ทุกรูปแบบ เพราะผมสั่ง "Merge" แล้วรีสตาร์ททันทีเลยครับ 

[jakrit97 - รักในหลวง -]

น่าสนใจครับ ไว้คราวหน้าค่อยลองใหม่ ....

[โซ้ยตี๋]

ขอบคุณครับ

กะลังดาวน์โหลดอยู่