Cách phòng chốngvirut Girltinh và gaixinh

[hayate_kakashi]

Trong mấy ngày Tết vừa qua, girltinh và gaixinh lại có lời mời chào hấp dẫn tới àm các anh chị em qua Yahoo!Messenger hoặc các diễn đàn như: "Gái quá xinh nè pà kon...", "Hàng đẹp quá...", "Em xinh qua...", "Kho phim cho ba con xem dai` han day", "Em xinh qua", "Bao Thy dong phim sex ne", "Pha' trinh em VIet Nam qua xinh", "Hoa hau bikini 2007", "Em Nhat Xinh Lam` Tinh` Hay",... rồi kèm theo link có dạng: http://girltinh.tk/?=xxx << ( This message was certified by xxx, no worm ). Ví dụ như sau:

Virus gaixinh, virus girltinh xuất hiện cách đây khá lâu nhưng dịp Tết Mậu Tý vừa rồi với phát tán và lây lan với tốc độ mạnh... đã làm tình... làm tội nhiều chatter khiến họ lâm vào tình trạng hoang mang, lo sợ... Quan trọng nhất là nó lây lan qua chương trình chat phổ biến nhất Việt Nam - Yahoo!Messenger. Không những thế, những người bạn của người bị nhiễm cũng không hạnh phúc gì, nếu không nói là phát cáu vì những tin nhắn liên tục bị spam
Nói chung virus này đánh trực tiếp vào các bạn có máu dê... hoặc vô tình click vào link đã nói trên. Khi đã xâm nhập được vào máy tính của nạn nhân, ngay lập tức hàng loạt thông điệp lặp lại kèm đường link có chứa virus sẽ gửi tới các nickname có trong danh sách YM. Với kiểu lây lan theo cấp số nhân đó, vô số nạn nhân đã "dính đòn" trong thời gian rất ngắn.

Noí thêm chỉ gà mơí bị dính mà thui , sau này minh sẽ post một bài noí riêng về cách chống virut + phân biệt các link có chưa virut :em148: .

Cách diệt virus (dành cho nạn nhân)
- Cách 1
Bước 1: Bạn mở Notepad, Wordpad... để copy đoạn mã sau. Lưu (save as) file với đuôi là ".reg" (Ví dụ gaixinh.reg, lười có thể download tại đây).
Sau đó kích đúp chuột vào file đó để kích hoạt.
CODE:

//Windows Registry Editor Version 5.00 - OnlyU

[HKEY_CURRENT_USERSoftwareMicrosoft

WindowsCurrentVersionPolicies]

[HKEY_CURRENT_USERSoftwareMicrosoft

WindowsCurrentVersionPoliciesExplorer]

"NoDriveTypeAutoRun"=dword:00000091

"NoInternetIcon"=dword:00000000

"ClearRecentDocsOnExit"=dword:00000001

"NoLowDiskSpaceChecks"=dword:00000001

"NoSaveSettings"=dword:00000000

"NoFolderOptions"=dword:0000000

[HKEY_CURRENT_USERSoftwareMicrosoft

WindowsCurrentVersionPoliciesSystem]

"DisableRegistryTools"=dword:00000000

"DisableTaskMgr"=dword:00000000

[HKEY_CURRENT_USERSoftwarePolicies

MicrosoftInternet ExplorerRestrictions]

"NoBrowserOptions"=dword:00000000

//

Bước 2: Copy đoạn mã sau vào Notepad, Wordpad,... rồi sau đó lưu lại file dưới dạng đuôi là ".vbs” (Ví dụ: regedit.vbs, lười có thể download tại đây - phải giải nén bằng Winrar). Sau đó kích đúp chuột vào file đó để kích hoạt. CODE:

/

"Enable/Disable Registry Editing tools

"OnlyU's Blog

Option Explicit

"Declare variables

Dim WSHShell, n, MyBox, p, t, mustboot, errnum, vers

Dim enab, disab, jobfunc, itemtype

Set WSHShell = WScript.CreateObject("WScript.Shell")

p = "HKCUSoftwareMicrosoftWindowsCurrentVersion

PoliciesSystem"

p = p & "DisableRegistryTools"

itemtype = "REG_DWORD"

mustboot = "Log off and back on, or restart your pc to" & vbCR & "effect the changes"

enab = "ENABLED"

disab = "DISABLED"

jobfunc = "Registry Editing Tools are now "

"This section tries to read the registry key value. If not present an

"error is generated. Normal error return should be 0 if value is

"present

t = "Confirmation"

Err.Clear

On Error Resume Next
n = WSHShell.RegRead (p)

On Error Goto 0

errnum = Err.Number

if errnum <> 0 then

"Create the registry key value for DisableRegistryTools with value 0

WSHShell.RegWrite p, 0, itemtype

End If

"If the key is present, or was created, it is toggled

"Confirmations can be disabled by commenting out

"the two MyBox lines below

If n = 0 Then

n = 1

WSHShell.RegWrite p, n, itemtype

Mybox = MsgBox(jobfunc & disab & vbCR & mustboot, 4096, t)

ElseIf n = 1 then

n = 0

WSHShell.RegWrite p, n, itemtype

Mybox = MsgBox(jobfunc & enab & vbCR & mustboot, 4096, t)

End If

//

Bước 3 :
1. Vào Start -> Run -> gõ Regedit rồi Enter
2. Tại khung bên trái cửa sổ Registry Editor, bạn tìm khóa
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT \CurrentVersion\Winlogon\
Xoá mục “Shell”=”Explorer. Exe RVHOST.exe” trong khung bên trái.
3. Tìm đến khóa
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Xoá mục “Yahoo Messenger = RVHOST.exe”.
4. Tìm đến khóa
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
WorkgroupCrawlerShare=”[SHARED DRIVE]New Folder.exe”
5. Tìm đến khóa
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
Xoá mục “Disable Registry Tools” = “1”.
6. Tìm đến khóa
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
Xoá m ục “NofoderOption”.
7. Tìm đến khóa
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet/Services\Schedule
Xoá mục “AtTaskMaxHours”.
8. Tìm đến khóa
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
Xoá mục “Run”= “BkavFw”.
9. Tìm đến khóa
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
Xoá mục “Run”=”IEProtection”.
10. Đóng Registry lại.

- Cách 2:
Sau khi kích hoạt 2 file trên (Bước 1+2 tại Cách 1):
1. Khởi động lại máy tính bằng chế độ SafeMode (Bấm F8 lúc máy tính khởi động).
2. Vào Start -> Run -> gõ Regedit rồi Enter.
3. Hãy tìm khóa:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Xoá giá trị [Yahoo!!!] C:\WINDOWS\Messenger.exe.
4. Tiếp tục tìm HKEY_CURRENT_User \Software\Microsoft\Internet Explorer\Main\Start Page
Xoá hoặc thay đổi về địa chỉ HomePage vẫn dùng. Ví dụ: http://onlyu.tk
5. Tìm toàn bộ các giá trị có nội dung như sau http://xRobots.net/Gift/New/ và xoá đi.
Các khóa có thể thêm ví dụ là
HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_Launchcast và
HKEY_USERS\S-1-5-21-1708537768-1343024091-1957994488-500\Software\Yahoo\pager\View\YMSGR_Launchcast
6. Tìm tệp GirlXinh.jpg.exe và xoá đi (thường nằm trong Desktop hoặc My Documents), có thể tìm bằng chức năng Search của Windows.
7. Vào trong thư mục Windows tìm tệp Messenger.exe và xoá đi
8. Khởi động lại máy tính.

- Cách 3
Sau khi kích hoạt 2 file trên (Bước 1+2 tại Cách 1):
1. Vào Start -> Run rồi gõ Regedit rồi Enter.
2. Cách tốt nhất là dùng chức năng Find trong Regedit để tìm tất cả các xâu ký tự có nội dung là “http://xxxots.net/Gift/New/” để xoá đi.

- Cách 4:
Dùng HijackThis để xoá các khóa và các process đang chạy của virus. Có thể download HijackThiss tại www.trendsecure.com

BONUS CODE : Cơ chế hoạt động cuả Virut GrilTinh + GaiXinh ( ai có khả năng thì thay đôỉ lại code lập trình lại 1 con khác :em148: ) tham khảo chơi thui nha dừng làm bậy .
Virus gaixinh
Khi tệp ứng dụng có tên là Gaixinh.jpg.exe được nạp vào bộ nhớ, nó sẽ thay đổi Registry trên máy nạn nhân như sau:
1. Thêm giá trị DisableRegedit=1 vào khóa:
HKEY_CURRENT_User\Software\Microsoft\Windows\CurrentVersion\Policies\System
để khóa không cho truy cập vào Regedit.
2. Thêm giá trị [Yahoo!!!] C:\WINDOWS\Messenger.exe vào khóa:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
để nạp virus lúc Windows khởi động.
3. Thay đổi trang Homepage của Internet Explorer (IE) về trang chủ của virus bằng cách sửa giá trị của khóa HKEY_CURRENT_User \Software\Microsoft\Internet Explorer\Main\Start Page về một dạng địa chỉ khác, ví dụ: http://onlyu.tk
4. Thêm giá trị sau vào các khóa khác trong regedit: http://xxxbots.net/Gift/New/ hoặc
HKEY_CURRENT_USER\Software\Yahoo\pager\View\YMSGR_Launchcast.

Virus girltinh:
- Virus Lợi dụng lỗi MDAC cũ để phát tán virus khi dùng IE chưa cập nhật truy cập vào trang web http://girltinh.tk
- Virus gồm 2 file: SVCHOST.EXE và SVCHOST32.EXE để ở trong thư mục TMP:
TMP=C:\DOCUME~1\[usr]\LOCALS~1\Temp
- File SVCHOST32.EXE bị KAV phát hiện ra là Trojan-Spy.Win32.SCKeyLog.au. File còn lại chưa bị phát hiện.
.
Download mã nguồn virus girltinh (dành cho ai hâm thích vọc) tại đây

http://www.fileden.com/files/2007/9/22/1451369/counter.rar

@ all : Nêú BQT biêt ai lợi dung code để làm virut # gây hai thì ngươì đó sẽ chiụ moị hình phạt từ pháp luật:em147: . Phần Bonuscode chỉ để tham khảo them thui [-X