[16:16:32] ??? says: look what crazy photo Tiffany sent to me,looks cool
[16:16:33] ??? says: what ur friend name wich is in photo ?
[16:16:39] ??? says:
[16:16:39] ??? says: http://www.myimagespace.net/erotic-gallerys/usr5d8c/dsc027.jpg
[16:16:50] ??? says: this sexy one
[16:16:54] ??? says:
[20:45:06] ??? says: how are u ?
[20:45:27] ??? says: your photos looks realy nice
[20:45:31] ??? says: http://www.myimagespace.net/erotic-gallerys/usr5d8c/dsc027.jpg
[20:45:40] ??? says: u happy ?
หรือเช่นนี้ ...
9:44:59 PM] ??? says: how are u ?
[9:45:19 PM] ??? says: your photos looks realy nice
[9:45:24 PM] ??? says: http://www.myimagespace.net/erotic-gallerys/usr5d8c/dsc027.jpg
[9:45:33 PM] ??? says: u happy ?
[9:45:38 PM] ??? says:
http://forum.skype.com/index.php?showtopic=96634&hl=virus
(แปลโดยคร่าว)
Disclaimer: I have cleaned up my own computer from the virus, and wrote down the instructions.
I have not re-infected my computer in order to test these instructions are completely accurate,
so it may be inaccurate in some way. Please write some feedback about whether it worked for you,
and these instructions can be updated.
How to identify an infected computed:จะทำการจำแนกเครื่องที่ถูกไวรัสโจมตียังไง
1. Open the task manager (Ctrl+Shift+Escape should work, or Start->Run->taskman)
เปิด task manager
2. Look for wndrivsd32.exe: If it is running/in the list, you are infected.
ค้นหาตัวนี้ wndrivsd32.exe หากพบว่ามันกำลังทำงานอยู่ นั่นก็คือ เครื่องของคุณโดนของแล้ว
How to fix/clean an infected computer: จะแก้/ล้างได้ยังไง
1. Open the task manager (Ctrl+Shift+Escape should work, or Start->Run->taskman)
เปิด task manager
Inside Task Manager: ภายใน Task Manager
1.a. Select explorer.exe and use "End Task" (this will make the panel and perhaps other things disappear)
เลือก explorer.exe แล้ว End Task (ขั้นตอนนี้จะทำให้ทุกโปรแกรมที่เปิดอยู่ปิดไป)
1.b. Select wndrivsd32.exe and use "End Task" (this will kill the virus process)
เลือก wndrivsd32.exe แล้ว End Task (ขั้นตอนนี้จะเป็นการปิดการทำงานไวรัสชั่วคราว)
1.c. Use File->New Task, and run "explorer" (this will restore things to normal).
เลือกไฟล์ -> New Task และทำการเปิด explorer (ขั้นตอนนี้จะทำการเปิดการทำงานวินดดวส์ปกติ)
2. Run regedit.exe
รัน regedit.exe
(Note: If regedit dies/disappears after a few seconds, it means that you
haven't killed wndrivsd32.exe or explorer properly - repeat step 1, faster :-)
(หากว่า regedit นั้นทำงานไม่ได้ หรือหายไปภายในไม่กี่วินาที นั่นหมายถึง คุณยังไม่ได้ปิด wndrivsd32.exe หรือ explorer อย่างเรียบร้อย โปรดย้อนไปที่ขั้นตอนที่ 1)
[color=navy]Inside the registry editor: ภายใน registry editor
2.a. Go to HKEY_LOCAL_MACHINE-> Software-> Microsoft-> Windows-> Current Version-> RunOnce
ไปที่ ...
2.b. Delete the key in there that points to C:\Windows\System32\mshtmlsh32.exe
ลบตัวนี้ ..
Then simply delete the files: จากนั้นทำการลบไฟล์เหล่านี้
C:\Windows\System32\mshtmlsh32.exe
C:\Windows\System32\wndrivsd32.exe
And ofcourse, delete dsc027.scr whereever you put it.
แน่นอนว่าต้องลบไฟล์ตัวนี้ที่คุณโหลดมา (แต่ควรจะรู้ว่าคุณได้เอามันไปเก็บไว้ที่ไหนตอนโหลดมา)
Now replace C:\Window\System32\Drivers\etc\hosts with an empty file.
จากนั้นทำการรีเพลส(แทนที่) C:\Window\System32\Drivers\etc\hosts ด้วยไฟล์เปล่า
Now you should be clean. To verify this, you can reboot Windows,
and try to identify the virus process again, in the task manager.
มาถึงขั้นตอนนี้ น่าจะล้างได้สะอาดหมดจดแล้ว
เพื่อเป็นการยืนยัน คุณสามารถทดลองรีบุ๊ตวินโดวส์ แล้วลองทำการจำแนก(ค้นหา) ไวรัสตัวนั้นอีกที
ด้วยขั้นตอนเดิม ที่ task manager
Here's how the virus works: นี่คืออะไรๆ ที่ไวรัสมันจะทำ
www.fakme.org was appearantly taken over by virus maker to distribute
his virus. it redirects to either of http://www.bussines4me.net/dsc027.scr
or http://socsec.co.il/knopka/dsc027.scr to download the virus
(DO NOT CLICK THE LINKS).
There may be more sites, but these are the ones I encountered.
อาจจะมีลิงค์อื่นๆ อีกมากกว่านี้ แต่นั่นคือตัวอย่างที่ข้าพเจ้าได้เจอมา
The virus is a single executable (dsc027.scr is simply that executable).
ไวรัสตัวนี้เป็นไฟล์ทำงานเดี่ยว (อันนี้ก็ไม่เข้าใจเหมือนกันอ่ะ)
The same executable is copied to several paths:
ด้วยตัวเดียวกันนี้ จะถูกก๊อปปี้ไปยังพาธอื่นๆ
C:\Windows\System32\mshtmlsh32.exe
(Marked as a "hidden" file, use show hidden files, or "dir /a" to see it)
ถูกสร้างเป็นไฟล์ซ่อนตัว
C:\Windows\System32\wndrivsd32.exe
It installs a regsitry key: "Local Machine\Software\Microsoft\Windows\CurrentVersion\RunOnce"
that runs C:\Windows\System32\mshtmlsh32.exe
มันจะทำการติดตั้ง รีจิสตี้คีย์ Local Machine\Software\Microsoft\Windows\CurrentVersion\RunOnce
ที่สั่งค่า C:\Windows\System32\mshtmlsh32.exe
Once that is run at boot time, it injects hostile code into the running explorer.exe
which makes explorer.exe run wndrivsd32.exe periodically
- it also holds it as an open file so it cannot be deleted easily.
เมื่อมันจัดการทำงานในเสี้ยววินาที่ที่บุ๊ตเครื่อง มันจะทำการแทรกโคดเข้าสู่ explorer.exe ที่กำลังทำงานอยู่
ที่จะสั่งค่าให้รัน wndrivsd32.exe เป็นระยะๆ มันยังทำการตั้งค่าให้เป็น open ไฟล์ ที่ไม่สามารถลบทิ้งได้ง่ายๆ
Either at boot time, or when run, it also overwrites C:\Windows\System32\Drivers\Etc\Hosts
to contain wrong entries for various virus software update addresses,
so that antivirus software updates will fail.
ไม่ว่าจะเป็นตอนที่บุ๊ตเครื่อง หรือตอนที่รัน มันก็จะทำการทับค่า C:\Windows\System32\Drivers\Etc\Hosts เพื่อทำการบรรจุค่าสั่งงานที่ผิดสำหรับการอัพเดทไวรัสซอฟแวร์
ทำให้ไม่สามารถอัพเดทตัวป้องกันไวรัสได้
ที่หลายๆ ท่านใช้กันอยู่ โปรแกรมนี้ก็เป็นอีกหนึ่งโปรแกรมสำหรับการคุยผ่านอินเตอร์เน็ต
sexy one
