อาการของเครื่องที่ติดไวรัส

อาการของเครื่องที่ติดไวรัสโดยทั่วไป

สามารถสังเกตุการทำงานของเครื่องคอมพิวเตอร์ถ้ามีอาการดังต่อไปนี้อาจเป็นไปได้ว่าได้มีไวรัสเข้าไปติดอยู่ในเครื่องแล้ว อาการที่ว่านั้นได้แก่
- ใช้เวลานานผิดปกติในการเรียกโปรแกรมขึ้นมาทำงาน
- ขนาดของโปรแกรมใหญ่ขึ้น
- วันเวลาของโปรแกรมเปลี่ยนไป
- ข้อความที่ปกติไม่ค่อยได้เห็นกลับถูกแสดงขึ้นมาบ่อย ๆ
- เกิดอักษรหรือข้อความประหลาดบนหน้าจอ
- เครื่องส่งเสียงออกทางลำโพงโดยไม่ได้เกิดจากโปรแกรมที่ใช้อยู่
- แป้นพิมพ์ทำงานผิดปกติหรือไม่ทำงานเลย
- ขนาดของหน่วยความจำที่เหลือลดน้อยกว่าปกติ โดยหาเหตุผลไม่ได้
- ไฟล์แสดงสถานะการทำงานของดิสก์ติดค้างนานกว่าที่เคยเป็น
- ไฟล์ข้อมูลหรือโปรแกรมที่เคยใช้อยู่ ๆ ก็หายไป
- เครื่องทำงานช้าลง
- เครื่องบูตตัวเองโดยไม่ได้สั่ง
- ระบบหยุดทำงานโดยไม่ทราบสาเหตุ
- เซกเตอร์ที่เสียมีจำนวนเพิ่มขึ้นโดยมีการรายงานว่าจำนวนเซกเตอร์ที่เสียมีจำนวน เพิ่มขึ้นกว่าแต่ก่อนโดยที่ยังไม่ได้ใช้โปรแกรมใดเข้าไปตรวจหาเลย

ชื่อไวรัสและอาการหลังจากติดไวรัสที่พบได้บ่อย

MSN-pic.zip (Win32/Delf.ADS trojan)

ไวรัสตัวนี้แพร่กระจายตัวเองผ่านทาง MSN ทันทีที่มันติดเชื้อเครื่องของเหยื่อแล้ว ไวรัสจะสร้างไฟล์ pic.zip ซึ่งในไฟล์สกุล zip จะมีไฟล์ ชื่อ IMG34814.pif ซึ่งคือเวิร์ม(ไม่ได้บีบอัดไฟล์)ลงในโฟลเดอร์ของระบบและจะส่งไฟล์ไวรัสนี้ ไปยังรายชื่อผู้ติดต่อที่อยู่ใน MSN โดยอาศัยเทคนิคลากแล้ววาง เหมือนผู้ใช้ส่งไฟล์ทั่วไป ชื่อที่ใช้ส่ง คือ pic.zip มีข้อความดังนี้

"Hey :-), I just took this picture, sexy isnt it :-P?"

"What do you think of my photo editing skills?"

"Which one do you like in this pic, the black one or the blue one?"

"This is what happens when you eat to many chips :-P"

"Look what i made out of cans!! haah :-P!"

":-p this was halarious at that party a while back"

"Hey I have a new pic, what do ya think?"

"Check this out this pic is so freaking cool"

"Hahahaha, do you remember this picture?"

":-O Check this out! Nearly laughed my ass off!!"

"hey wats up.. have you seen this pic of harry potter?"

ตามด้วยไฟล์ของเวิร์มหากผู้ใช้เลือกดาวน์โหลดไฟล์ดังกล่าวมาและรันก็จะทำให้ติดเวิร์มตัวนี้และจะกลายเป็นฐานในการแพร่กระจายไปยังผู้อื่นๆต่อไป ไฟล์เวิร์มมีขนาด 138KB เวิร์มจะยกเลิกการใช้งาน regedit และปิดระบบรักษาความปลอดภัย (Security Center)จากนั้นจะติดต่อไปยัง down.basecore.info ไอพีแอดเดรส 72.249.12.79 ซึ่งการตรวจสอบเส้นทางบนเครือข่าย ปรากฎตำแหน่งของไอพีแอดเดรสนี้อยู่ใกล้ที่สุดกับรัฐ Dallas ของสหรัฐ เวิร์มติดต่อกลับไปที่พอร์ต 1863/tcp ซึ่งจะเห็นว่ามันคือพอร์ตของ MSN แต่แฮกเกอร์ที่เขียนเวิร์มจงใจจะอำพรางการทำงาน ในความเป็นจริงพอร์ตนี้ถูกนำมาใช้สำหรับบริการ IRC ซึ่ง IRC เซิร์ฟเวอร์ที่ทำงานอยู่บนเครื่องที่เวิร์มตัวนี้ติดต่อกลับไปคือ Unreal 3.2-beta19 ทำงานอยู่บนระบบปฏิบัติการ Windows 2003 เวิร์มจะสุ่ม nick name ขึ้นมา และใช้รหัสผ่าน letmein ในการล็อกอินเข้าใช้งาน เมื่อเวิร์มส่งไฟล์ แล้ว จะรายงานกลับไปยังเซิร์ฟเวอร์ดังกล่าว ว่าได้ส่งไฟล์ไปให้เหยื่อใหม่ไปแล้วกี่รายจากนั้นจะรอคำสั่งจากแฮกเกอร์ เซิร์ฟเวอร์ดังกล่าวยังเปิดพอร์ต 1864/tcpไว้เป็นบริการ IRC เพิ่มเติม พอร์ต 4643/tcp,139/tcp NetBios และ 21/tcp FTP Server เวิร์มลักษณะนี้มีโอกาสที่จะได้รับการพัฒนาการทำงานใหม่ๆได้ตลอดเวลา จากแฮกเกอร์ อย่างไรก็ตามคาดว่าอาจจะมีการขโมยข้อมูลสำคัญๆ ของผู้ใช้ตามมาได้ ในอนาคตเมื่อเวิร์มตัวนี้ติดเชื้อเครื่องคอมพิวเตอร์ได้มาก เช่น รหัสผ่าน หมายเลขบัตรเครดิตรวมไปถึงข้อมูลส่วนบุคคล เนื่องจากตรวจพบการพยายามของเวิร์มที่จะดาวน์โหลดไฟล์จากอินเตอร์เน็ตและรันไฟล์ดังกล่าวบนเครื่องเหยื่อ ซึ่งคำสั่งดังกล่าวนี้แฮกเกอร์สามารถควบคุมผ่านทาง IRC เซิร์ฟเวอร์ได้

jomke.dll.vbs

ไวรัสจะคัดลอกตังเองลงในทุกๆไดร์ฟบนเครื่อง ชื่อไฟล์ไวรัสคือ jomke.dll.vbs และแก้ไขค่าในรีจิสทรีเพื่อสร้างค่าขยะ ทำให้หน้าแรกของ Internet Explorer แสดงเว็บเพจจาก "http://www.anonym.to/?http://student.srru.ac.th/~48122420102/jomke" และแก้ไขไตเติลบาร์ของ Internet Explorer เป็น "Hacked by Godzilla version 2.0"ไวรัสพยายามแพร่กระจายตัวผ่านทางแฮนดี้ไดร์ฟและการแชร์ไดร์ฟในเครือข่าย พยายามจะทำให้เครื่องปิดลงทุกครั้งหลังจากที่เปิดใช้งานโดยหน่วงเวลาไว้ที่ 50 วินาที

achi.dll.vbs

ไวรัสถูกเขียนโดยใช้ Visual Basic Script ไวรัสจะคัดลอกตังเองลงในทุกๆไดร์ฟบนเครื่อง ชื่อไฟล์ไวรัสคือ achi.dll.vbs จะสร้างไฟล์ achi.htm และแก้ไขค่าในรีจิสทรีเพื่อทำให้หน้าแรกของ Internet Explorer แสดงข้อความในไฟล์ดังกล่าว ไวรัสแพร่กระจายตัวผ่านทางแฮนดี้ไดร์ฟ ได้รับการดัดแปลงมาจากไวรัสตระกูล vbs รุ่นแรกๆ อย่างไรก็ตามไวรัสไม่ได้สร้างความเสียหายแก่เครื่องที่ติดเชื้อ

happy.vbs

ไวรัสถูกเขียนโดยใช้ Visual Basic Script ไวรัสจะคัดลอกตังเองลงในทุกๆไดร์ฟบนเครื่อง โดยจะสร้างไฟล์ autorun พร้อมคัดลอกไฟล์ไวรัส happy.vbs ไปด้วย ไวรัสจะยกเลิกการใช้งาน regedit.exe ซ่อนไอคอน My Computer ทำให้ไม่สามารถใช้ My Computer เนื่องจากจะมองไม่เห็นไดร์ฟ ยกเลิกสิทธิ์ในการเข้าถึงแชร์โฟลเดอร์ของผู้ดูแลระบบ ไวรัสจะแก้ไขไตเติลบาร์ของ Internet Explorer เป็น ORIGINAL SILLE.B run on GAME ONLINE และตั้งค่าหน้าแรกไปที่ http://www.anonym.to/?http://www.sille.net/gamesonline.htm และแสดงกล่องข้อความ "VIRUS SILLE RUN ON GAMES ONLINE"

killVBS.vbs

ไวรัสถูกเขียนโดยใช้ Visual Basic Script ไวรัสตัวนี้แพร่กระจายผ่านทางแฮนดี้ไดร์ฟ โดยจะสร้างไฟล์ autorun ลงบนแฮนดี้ไดร์ฟ พร้อมคัดลอกไฟล์ไวรัส killVBS.vbs ไปด้วย ไวรัสจะไม่แพร่กระจายตัวเองทางการแชร์ไฟล์ในเครือข่ายเหมือนกับไวรัสตระกูลเดียวกันที่เคยทำ เพื่อทำให้ผู้ใช้ตรวจพบยากขึ้น ไวรัสจะแก้ไขไตเติลบาร์ของ Internet Explorer และหน้าแรกเป็นค่าว่างเปล่า

HELLO WORLD i am VB

ไวรัสถูกเขียนโดยใช้ Visual Basic Script ไวรัสตัวนี้แพร่กระจายผ่านทางแฮนดี้ไดร์ฟ โดยจะสร้างไฟล์ autorun ลงบนทุกๆไดร์ฟ พร้อมคัดลอกไฟล์ไวรัส RUNDLL64.dll.vbs ไปด้วย ไวรัสจะแก้ไขไตเติลบาร์ของ Internet Explorer เป็น HELLO WORLD i am VB นอกจากนี้ไวรัสจะทำการซ่อนแทบ All Programs ใน Start Menu ทำให้เกิดความไม่สะดวกในการเรียกใช้งานโปรแกรมต่างๆผ่านทาง Start Menu รวมไปถึงการยกเลิกการใช้งาน Windows Task Manager ซึ่งทำให้ผู้ใช้ไม่สามารถจัดการกับโปร
เซสบนเครื่องได้

^_^Anti AntiVirus^_^ (Win32/Wenna.E worm)

ไวรัสถูกเขียนโดยใช้ Borland Delphi เชื่อว่าคนที่เขียนไวรัสตัวนี้ คือคนๆเดียวกับที่เขียนไวรัส data.exe เนื่องจากพบโค้ดที่เป็นของไวรัส data.exe ปรากฏอยู่ ไวรัสตัวนี้จะทำการแก้ไข Windows Title ให้เป็น ^_^Anti AntiVirus^_^ ตลอดเวลา สามารถติดเชื้อแฮนดี้ไดร์ฟโดยใช้ไฟล์ auto run ไวรัสจะแก้ไขค่าในรีจิสทรีที่เกี่ยวกับไฟล์นามสกุล exe ให้ไวรัสเป็นผู้จัดการแทนระบบปฏิบัติการ ด้วยเหตุนี้อาจทำให้เปิดไฟล์ exe ไม่ได้ ไวรัสจะยกเลิกฟังก์ชั่นที่เกี่ยวกับการแก้ไขปรับแต่งระบบปฏิบัติการ

Hacked by 8BITS (VBS/Butsur.C worm)

ไวรัสตัวนี้แพร่กระจายผ่านทางแฮนดี้ไดร์ฟ ไวรัสถูกเขียนโดยใช้ Visual Basic Script โดยจะสร้างไฟล์ autorun ลงบนทุกๆไดร์ฟ พร้อมคัดลอกไฟล์ไวรัส kernel32.dll.vbs ไปด้วย ไวรัสจะแก้ไขไตเติลบาร์ของ IE เป็น Hacked by 8BITS ในโค๊ดไวรัสมีคำสั่งที่เรียกใช้โปรแกรมที่ใช้ในการควบคุมเปิดปิดเครื่องของระบบปฏิบัติการ ดังนั้นเครื่องที่ติดเชื้อมีโอกาสปิดลง โดยไม่มีการแจ้งเตือน

Data.exe (Win32.Worm.Tellsky)

ไวรัสตัวนี้ ติดเชื้อเครื่องผ่านทางแฮนดี้ไดร์ฟ จะทำการเขียนแก้ไขค่าในรีจีสทรีที่ระบบปฏิบัติการใช้รัน MSN Messenger ในตอนเริ่มบูตเครื่องด้วยวิธีนี้ทำให้ไวรัสถูกเรียกขึ้นมาทำงานทุกครั้งที่ เปิดเครื่อง ในไฟล์ไวรัสปรากฏโค้ดที่พยายามติดต่อกับ http://www.anonym.to/?http://www.Atom-Soft.com ผ่านทาง http และ ftp เชื่อว่ามีการเขียนขึ้นมา 3 รุ่น ไวรัสจะแพร่กระจายตัวเองไปทุกๆไดร์ฟและโฟลเดอร์ โดยอาศัยช่วงเวลาที่ผู้ใช้ทำงานในโฟลเดอร์นั้น ทำการเลียนแบบชื่อโฟลเดอร์ แล้วคัดลอกตัวเองเป็นไฟล์นามสกุล exe มีขนาด 213 KB,221KB และ 224 KB ยกเว้นโฟลเดอร์ program files และ desktop ไวรัสจะไม่ติดเชื้อ ไวรัสอาจ overwrite ไฟล์ exe บนเครื่องได้ เมื่อชื่อโฟลเดอร์ที่เก็บไฟล์ เป็นชื่อเดียวกับไฟล์ ซึ่งจะทำให้ไฟล์สูญหายไป นอกจากนี้ไวรัสตัวนี้มีฟังก์ชั่นในการทำลายข้อมูลบนฮาร์ดดิสด้วย

.MS32DLL.dll.vbs (VBS/Pica.NAA virus)

ไวรัสตัวนี้เชื่อว่ามาจากการดัดแปลงไฟล์ไวรัสต้นแบบที่ชื่อ VBS.Godzilla ไวรัสตัวนี้กระจายตัวผ่านทาง

แฮนดี้ไดร์ฟ แล้วจะสร้างไฟล์ auto run ลงในทุกๆไดร์ฟบนเครื่องเหยื่อโดยจะใช้ชื่อไฟล์เป็น .MS32DLL.dll.vbs เมื่อผู้ใช้ดับเบิลคลิกจะเรียกไวรัสขึ้นมาทำงาน ไวรัสพยายามซ่อนตัวเองโดยการปรับแต่งรีจิสทรีและการเปลี่ยนสกุลไฟล์ไวรัสเป็น boot.ini เพื่อหลบซ่อนในระบบด้วย ดาวน์โหลด

Toy.exe (Win32/Agent.WJ trojan)

ไวรัสตัวนี้เริ่มแพร่ระบาดมานานแล้ว โปรแกรมแอนตี้ไวรัสที่อัพเดตสามารถตรวจจับมันได้เกือบทั้งหมด แต่ก็ยังพบปัญหาในการกำจัด ไวรัสติดเชื้อแฮนดี้ไดร์ฟโดยใช้เทคนิค auto run ตัวแก้นี้จะทำการแก้ไขไวรัสแบบสมบูรณ์ ไวรัสตัวนี้ไม่ได้ทำลายข้อมูล เพียงแต่ก่อกวน โดยสังเกตที่หน้าจอในตอนที่ล็อคออนเข้าใช้งาน จะมีข้อความเกี่ยวกับการสร้างโลกของพระเจ้า หรือรู้จักไวรัสตัวนี้กันดีในชื่อไวรัสภาษาจีน

music.exe (Win32/VB.NIV worm)

ไวรัสตัวนี้รู้จักกันดีในชื่อ music.exe ติดเชื้อผ่านทางแฮนดี้ไดร์ฟโดยเทคนิค auto run ไวรัสถูกเขียนโดยใช้ภาษา Visual Basic จะทำการลบไฟล์ นามสกุล *.mp3 และ *.dat ทุกไฟล์ที่พบบนเครื่อง ไวรัสพยายามใช้คำสั่งที่มีวิธีการเหมือนผู้ใช้ทำปกติ แทนที่การเขียนโค้ดโดยตรงเพื่อหลบการวิเคราะห์ไฟล์ของโปรแกรมแอนติไวรัส ไวรัสทำการคัดลอกตัวเองโดยใช้ชื่อโฟลเดอร์ที่พบ มีนามสกุลเป็น *.exe ตลอดเวลาทำให้เครื่องประมวลผลงานอื่นๆช้าลง แต่ไม่พบฟังก์ชั่นที่เปิดทางให้แฮ็กเกอร์ควบคุม คาดว่าไวรัสตัวนี้ถูกเขียนมาเพื่อทำลายข้อมูล สร้างความเสียหายโดยเฉพาะ

iexp1ore.exe (Win32/Agent.P worm)

ไวรัสตัวนี้ติดต่อผ่านทางแฮนดี้ไดร์ฟ โดยใช้วิธี auto runเมื่อผู้ใช้ดับเบิลคลิกเข้าใช้งานในเครื่องที่ฟังก์ชั่นเล่นอัตโนมัติทำงานอยู่ไวรัสจะติด เข้าสู่เครื่องทันที ไวรัสจะคัดลอกตัวเองไปในโฟลเดอร์โปรแกรม Internet Explorerโดยพยายามทำตัวเองเป็นเสมือนโปรแกรม Internet Explorer ทำการแก้ไขทางลัดทุกทางที่จะเรียกใช้โปรแกรมให้ชี้ไปที่ไวรัสแทน โปรเซสของไวรัสมีชื่อว่า iexp1ore.exe โดยไวรัสจะไม่สร้างความ ผิดปกติใดๆบนเครื่องที่ติดเชื้อทำให้ผู้ใช้ที่ไม่สังเกต ไม่สามารถตรวจพบได้

sxs.exe (Win32/PSW.QQRob trojan)

โปรแกรมนี้จะกำจัดไวรัส sxs.exe ในแฮนดี้ไดร์ฟและบนเครื่องที่ติดเชื้อ ซึ่งไวรัสตัวนี้จะสร้างไฟล์ auto run ลงในทุกๆไดร์ฟเพื่อเรียก ตัวเองขึ้นทำงานทุกครั้งที่มีการดับเบิลคลิกที่ไดร์ฟนั้นๆ ไวรัสจะทำการปรับแต่งเครื่องเหยื่อโดยใช้โปรแกรม net.exe และ sc.exe ยังไม่ แน่ใจว่ามันทำอะไรเพราะผู้เขียนไวรัสได้เข้ารหัสไฟล์ไว้ทำให้ยากต่อการทำความเข้าใจโค้ดในไฟล์ไวรัส อาการเครื่องที่ติดก็คือจะดับเบิล คลิกเปิดเข้าไดร์ฟต่างๆไม่ได้ แต่สามารถเข้า ใช้งานไดร์ฟ C:ได้ การกำจัดสามารถเชื่อมต่อแฮนดี้ไดร์ฟที่ต้องสงสัยเข้ากับเครื่องแล้วรันตัว แก้เพื่อกำจัดไวรัสบนเครื่องและในแฮนดี้ไดร์ฟพร้อมๆกันได้

Monaliza

ไวรัสตัวนี้ติดผ่านทางแฮนดี้ไดร์ฟได้ นอกจากนี้ยังสามารถติดเชื้อผู้ใช้ผ่านทาง msn เป็นไวรัสที่เริ่มแพร่กระจายมาสักระยะหนึ่งแล้วโดยจะ ใช้เทคนิค auto run สำหรับการติดเชื้อแฮนดี้ไดร์ฟตามเคย โปรแกรมนี้จะทำการคืนค่าที่ไวรัสทำไว้ทั้งหมด ผู้ใช้สามารถเชื่อมต่ออุปกรณ์ แฮนดี้ไดร์ฟเข้ากับเครื่อง เพื่อกำจัดไวรัสที่อยู่ในอุปกรณ์ได้พร้อมๆกัน

คลิปVDO.exe (Win32/Agent.NAG worm)

ไวรัสตัวนี้ความรุนแรงของมันไม่มากแต่ก็เป็นโปรแกรมที่มีความสามารถในการแพร่กระจายตัวเองจากเครื่องหนึ่งไปอีกเครื่องหนึ่งโดย จะสร้างไฟล์ คลิปVDO.exe ลงบนทุกๆไดร์ฟโดยทำไอคอนของมันเป็นแบบ Folder สร้างความรำคาญแก่ผู้ใช้

Hacked By Godzilla (VBS/Butsur.B worm)

โปรแกรมนี้จะทำการกำจัดไวรัสที่แก้ไขไตเติลบาร์ของ IE เป็น "Hacked By Godzilla" ออกจากเครื่องที่ติดเชื้อพร้อมทั้งกำจัด ไวรัสที่อยู่ในแฮนดี้ไดร์ฟด้วยดังนั้นผู้ใช้สามารถรันโปรแกรมนี้เพื่อกำจัดมันได้ในครั้งเดียว ทำให้สะดวกมากยิ่งขึ้น โชคไม่ดีที่ไวรัสประเภทนี้ สามารถเขียนขึ้นได้อย่างง่ายดาย ซึ่งไวรัสตัวนี้กระจายตัวผ่านทางแฮนดี้ไดร์ฟแล้วจะสร้างไฟล์ auto run ลงในทุกๆไดร์ฟบนเครื่องเหยื่อ ทำให้ เมื่อผู้ใช้ดับเบิลคลิกจะเรียกไวรัสขึ้นมาทำงาน

AdobeR.exe (Win32/RJump.B worm)

โปรแกรมนี้จะกำจัดไวรัส AdobeR ในแฮนดี้ไดร์ฟ ซึ่งไวรัสตัวนี้จะสร้างไฟล์ auto run เพื่อใช้ในการรันตัวมันเองเข้าสู่ระบบดังนั้นเวลา ที่ผู้ใช้ทำการดับเบิลคลิกไดร์ฟ เพื่อเข้าใช้งาน จะทำให้ไวรัสถูกเรียกขึ้นมาทำงาน จากการทดลองพบว่าไวรัสตัวนี้อาจเขียนขึ้นอย่างเร่ง รีบเนื่องจากพบข้อผิดพลาดในระหว่างการทำงาน อย่างไรก็ตามยังพบการแพร่กระจายอยู่ โปรแกรมนี้จะทำการลบไฟล์ที่ไวรัสสร้างขึ้น เพื่อใช้ในการทำงานของมันทั้งหมด ด้วยวิธีนี้จะทำให้อุปกรณ์ของผู้ใช้สามารถใช้งานได้ตามปกติ โดยข้อมูลทั้งหมดยังคงอยู่ไม่สูญหาย

Flashy.exe (Win32/Disabler.I trojan)

โปรแกรมนี้ใช้กำจัดไวรัส Flashy.exe ซึ่งไวรัสตัวนี้จะเปิดบริการ telnet ซึ่งส่งผลให้ผู้ไม่หวังดีควบคุมเครื่องของเหยื่อจากระยะไกล ไวรัสจะคัดลอกตัวเองลงแฮนดี้ไดร์ฟตลอดเวลาและซ่อนโฟลเดอร์จริงจากนั้นจะทำตัวเองเลียนแบบโฟลเดอร์เพื่อให้เหยื่อรันตัวมันเข้าสู่ ระบบโปรแกรมนี้จะดำเนินการแก้ไขค่าทุกอย่างให้เหมือนเดิมทุกประการรวมทั้งถอดรหัสของ administrator ให้ว่างเปล่า รวมทั้งกำจัด ไวรัส Flashy.exe ในแฮนดี้ไดร์ฟและแสดงโฟลเดอร์จริงขึ้นมาด้วย