(၆) VIRUS အမ်ဳိးမ်ဳိးသတ္နည္းအေၾကာင္း

**Admin** Thu Jan 15, 2015 6:00 am

SVCHOST.EXE သတ္နည္း

SVCHOST.EXE က Flash Drive မ်ားမွတဆင့္ မိမိကြန္ပ်ဴတာဆီသို႔အခ်ိန္ မေရြးေရာက္ႏိုင္

ပါတယ္..သူတိုက္ခိုက္ျခင္းခံရရင္ Signature ေတြအေနနဲ႕ ဒီလိုျပေလ့ရွိပါတယ္..
ကြန္ပ်ဴတာစဖြင့္လိုက္တာနဲ႕..

1. အဲဒီအခ်ိန္က သံုးခဲ့တဲ့ Flash Drive ကိုျပန္ေတာင္းေနတတ္ပါတယ္..
2. Windows Directory ကိုမေခၚပဲနဲ႕ တက္လာပါတယ္..

ဒါဆိုရင္ေတာ့ SVCHOST.EXE ရဲ႕ တိုက္ခိုက္ျခင္းကိုခံေနရၿပီလို႔ မွတ္ယူႏိုင္ပါတယ္..

တကယ္ေတာ့ SVCHOST ဆိုတာ ကၽြန္ေတာ္တုိ႔ရဲ႕ System ထဲမွာအမွန္တကယ္အလုပ္ လုပ္ေနတဲ့ File ပါ..
ခုေျပာတဲ့ SVCHOST.EXE ကေတာ့ သူလို႔ထင္ေယာင္ထင္မွားျဖစ္ေအာင္ ပံုမွားရိုက္တာေပါ့..Process ထဲကေန သူ႔ကို Kill မယ္ဆို အမွန္တကယ္အလုပ္လုပ္ေနတဲ့ System File နဲ႕မွားယြင္းတတ္ပါတယ္..
အခ်ိဳ႕ကေတာ့ သူ႕ကို Process ကေန Kill လုိက္ေပမယ့္ ကြန္ပ်ဴတာျပန္ဖြင့္လိုက္တာနဲ႕ သူကျပန္တက္လာပါတယ္..Antivirus ကလည္းသူ႔ကိုရွာ မေတြ႕ႏိုင္ပါဘူး.. ဘာေၾကာင့္လဲဆိုေတာ့ သူက System File ေယာင္ေဆာင္ထားလို႔ပါ ။

အကယ္လို႔မ်ား မိမိကြန္ပ်ဴတာမွာ ၀င္ေနရင္......

ေအာက္ကအဆင့္ေလးေတြတဆင့္ခ်င္းလုပ္ၾကည့္ပါ.....

1. Task Manager ေခၚၿပီး Process Tab ေအာက္က svchost.exe ကို End Process
လုပ္လိုက္ပါ... svchost.exe ေတြကေတာ့အမ်ားႀကီးျဖစ္ေနၿပီ.. ဘယ္တစ္ခုကို End
ရမွန္းမသိျဖစ္ေနၾကၿပီထင္ပါရဲ႕.. လြယ္ပါတယ္.. ကၽြန္ေတာ္တုိ႔ ကြန္ပ်ဴတာထဲကို
ဘယ္ User Name နဲ႕၀င္သလဲဆိုတာအရင္ဆန္းစစ္ၾကည့္ဖို႔ေတာ့လိုပါတယ္..
မိမိ၀င္ထားတဲ့ User Name ေအာက္မွာ run ေနတဲ့ svchost.exe ကို End Process
လုပ္ရမွာပါ... မိမိဘယ္ User Name မွာ၀င္ေနသလဲဆိုတာ Task Manager Windows
ရဲ႕ User ဆိုတဲ့ Tab ေအာက္မွာ ၾကည့္ႏိုင္ပါတယ္..

2. Run Command (Windows+R) ကိုေခၚၿပီး Restore လို႔ ရုိက္ထည့္ၿပီး Enter
ႏွိပ္လိုက္ပါ.. ၿပီးရင္

Tool>Folder Options ကိုသြားပါ...

ၿပီးရင္ View Tab ေအာက္မွာ Show Hidden Files & Folders ကို Check လုပ္ပါ..

ေနာက္တဆင့္အေနနဲ႕ Hide Protected Operating Files System ကို Uncheck လုပ္ေပးပါ..
Operating Files System ကိုေဖာ္မွာျဖစ္တဲ့အတြက္ေၾကာင့္ သူကအတည္ျပဳခ်က္ေတာင္း ပါလိမ့္မယ္ Yes ကိုႏွိပ္ပါ.
အဲဒီအခါ Restore Folder ေအာက္မွာ svchost ဆိုတဲ့ Fileရယ္၊ Data ဆိုတဲ့ Folder ေလးရယ္ မွိန္မွိန္ေလးေပၚလာပါလိမ့္မယ္..
ရဲရဲသာဖ်က္လိုက္ပါ.. Shift+Del နဲ႕ေနာ္.. သင့္ရဲ႕ စက္ကိုဒုကၡေပးေနတာ အဲဒီေကာင္ေပါ့..

3. ေနာက္ဆံုးအဆင့္အေနနဲ႕ Run Command ကိုေခၚၿပီး msconfig ကိုရိုက္ထည့္ပါ.. Enter ႏွိပ္ပါ။startup Tab ကိုသြားပါ.. အဲဒီေအာက္မွာလည္း svchost ဆိုတာရွိေနပါလိမ့္မယ္..
Uncheck လုပ္ေပးပါ.. သူက သင့္ကြန္ပ်ဴတာဖြင့္တုိင္း svchost အလုပ္လုပ္ေနေအာင္ အဲဒီကေနခိုင္ေနတာပါ.. ၿပီးရင္ OK ႏွိပ္ပါ.. Restartျပဳလုပ္ေပးဖို႔လိုေၾကာင္းေျပာပါလိမ့္မယ္.. Restart ကိုႏွိပ္ပါ..
စက္ျပန္တက္လာရင္အားလုံးအဆင္ေျပသြားပါလိမ့္မယ္..

Gtalk Virus

Gtalk virus ဆိုၿပီး ေခတ္စားေနတဲ့ private cam အတြက္ fix ရပါၿပီ
ဒီေနရာမွာ ယူလိုက္ပါ။ ဒီ file ကို run ၿပီးရင္ေတာ့ task manager ထဲမွာ private cam နဲ႕ စတဲ့ process ေတြကို end task လုပ္ၿပီး ဒီ file ကို ျပန္ run လိုက္ပါ။
Folder ေတြေအာက္မွာ ပုန္းခိုေနတဲ့ .exe ေတြကိုေတာ့ သင္ျဖတ္ျပစ္ဖို႕လိုအပ္ပါလိမ့္မယ္။ ဒါျပင္ regedit ထဲက [HKCU \Software \Microsoft \Windows\CurrentVersion \Run] ထဲမွာ ရွိေနတဲ့ မလိုအပ္တဲ့ file ေတြကိုလဲ ဖ်က္ပစ္ပါ။
msconfig ထဲက setup မွာလဲ မလိုအပ္တဲ့ file ေတြကို uncheck (အမွန္ျခစ္ျဖဳတ္) ျပဳလုပ္ေပးပါ။ သင့္ computer ကို restart ျပဳလုပ္လုိက္ပါ။

Kill Autorun Virus

Folder Option ထဲက View မွာ Show Hidden files and folders ကို Tip လုပ္ပါ။ Hide extension for known file type နဲ႕ Hideprotected operating system file ကို tip ျဖဳတ္ပါ။
ၿပီးရင္ ေတာ့ Hard Driveထဲက Autorun.inf နဲ႕ Virus file ကိုဖ်က္ပစ္ပါ။ ဖ်က္လို႕မရရင္ ကြန္ပ်ဴတာ ေအာက္ bar ကို Right Click ေခါက္ျပီး Task Manager ထဲက process မွာ run ေနတဲ့ Virus file ကို kill process လုပ္လိုက္ပါ။
Computer ကို restart လုပ္လိုက္ပါ။ ရွင္းသြားပါၿပီ။

Virus အမ်ိဳးအစားခြဲျခားျခင္း..

၁။ Computer Virus
Computer virus ဆိုတာ သူ႕ကိုသူ attach လုပ္ထားတဲ႔ program (သို႕) file တစ္ခုျဖစ္ျပီး ကြန္ပ်ဴတာတစ္ခုကေန တစ္ခုကို ျပန္႔ွႏွ႕ံကူးစက္ႏိုင္ပါတယ္..
လူေတြမွာ Virus ကူးသလိုပဲ ျပန္႕ႏွ႔ံျပီးေတာ့ ကြန္ပ်ဴတာရ႕ဲ System ကိုပံုမွန္အလုပ္မလုပ္ေအာင္ ေႏွာက္ယွက္မယ္၊ Windows ကို Error ေတြမ်ားလာေအာင္လုပ္မယ္၊
user data ေတြကို ဖ်က္ဆီးမယ္၊ Hardware ေတြ Software ေတြ အေရးၾကီးတဲ႔ File ေတြကို ဖ်က္ဆီးမယ္... စတာေတြကို လုပ္ေဆာင္ပါတယ္..

ဒါေပမယ့္ Virus အမ်ားစုဟာ executable file ေတြျဖစ္ၾကပါတယ္...

ဥပမာ.. chrome.exe, system.bat , flashy.com စသျဖင့္ေပါ့ .. သူတို႕ဟာကြန္ပ်ဴတာထဲမွာ ရွိေနရင္ေတာင္မွ သင္ကိုယ္တုိင္မွ သြားမဖြင့္ရင္/ သြားမ run မိရင္ ကြန္ပ်ဴတာကို ဘာမွ မထိခိုက္နိုင္ပါဘူး...
ဒါေၾကာင့္ မွတ္ထားရမွာက လူ၏ လုပ္ေဆာင္ခ်က္မပါ ၀င္ပဲ Computer Virus သည္ မပ်ံ႕ႏွံ႕ မကူးစက္နိုင္ပါ...Virus ပ်ံ႕ႏွံ႕နိုင္တဲ႔ နည္းလမ္းေတြကေတာ့ အမ်ိဳးမ်ိဳးရွိပါတယ္...
forward E-mail က attached file ေတြ၊ memory stick(flash/thumb drives) ေတြ၊ Full sharing ကေန virus infected file ထည့္တာ ေတြ၊ သူငယ္ခ်င္း အခ်င္းခ်င္း မသိပဲနဲ႔ Virus infected file ကို share လုပ္မိတာေတြ .. စသျဖင့္ေပါ့...

၂။ Malware

Malware ဆုိတာ အဂၤလိပ္စကား ၂ လံုး Malicious Software ကိုေပါင္းစပ္ျပီး ကြန္ပ်ဴတာပညာရွင္ေတြက အလြယ္ေခၚၾကတဲ ့virus လို program ေတြပါပဲ..
အဲဒီ Malware ကကြန္ပ်ဴတာပိုင္ရွင္ရ႕ဲ ခြင့္ျပဳခ်က္မရပဲ ၊ မသိေစပဲ single computer / server / computer network ထဲ ၀င္ျပီး ကြန္ပ်ဴတာ System ပ်က္ဆီးေစနိုင္ေအာင္ ၊ အေႏွာက္အယွက္ျဖစ္ေအာင္ ေရးေလ့ရွိၾကပါတယ္..
Malware တစ္ခုမွာ Computer VIrus , worms, trojan horses, most rootkits, spyware, dishonest adware, crimeware and other malicious and unwanted software ေတြပါ၀င္ေလ့ရွိပါတယ္..

၃။ Worm

worm ဆိုတာက virus နဲ႔ဆင္တူေအာင္ေရးထားၾကတာပါပဲ.. virus တစ္ခုရဲ႕ Sub-class လို႕လည္းေခၚလို႕ရပါတယ္...
သူကေတာ့ Virus လို လူကျဖန္႕မွ ပ်ံ႕တာမ်ဴိးမဟုတ္ပဲ သူ႔ဘာသာသူ Computer network ထဲမွာရွိတဲ႔ အျခားကြန္ပ်ဴတာေတြကို လူရဲ႕လုပ္ေဆာင္ခ်က္လံုး၀မပါပဲနဲ႔ ပ်ံ႕ႏွံ႕ေစတာျဖစ္ပါတယ္...
သူ႔ဘာသာသူ ျဖန္႔နိုင္တဲ႔ စြမ္းရည္ရွိတာေပါ့ေနာ္...အၾကီးမားဆံုး အႏၱရာယ္ကေတာ့ သူ က သူ႕ပါသူ System file တစ္ခုလို အေယာင္ေဆာင္ျပီး သူ႕ကိုယ္သူ သန္းေပါင္း ၁၀၀ ေလာက္ copy ပြားနိုင္ပါတယ္၊
Hard disk ရဲ႕ used space ကို မ်ားလာေစတယ္..Computer ရဲ႕ System memory usage ေတြ မ်ားလာေစတယ္.. network bandwidth ေတြကိုတက္လာေစတယ္...
Run ထားတဲ႔ program ေတြကို not responding ခဏခဏျဖစ္လာေစတယ္..
လူသိမ်ားတဲ႔ worm ကေတာ့ Blaster Worm ပါ.. ထြင္လိုက္တဲ႔လူကေတာ့ ၂၀၀၅ ခုႏွစ္တုန္းက အသက္ ၁၈နွစ္ အရြယ္ Jeffrey Lee Parson ျဖစ္ျပီး ေထာင္ ၁၈ လ က်သြားခဲ႔ပါတယ္..
Blaster worm က windows စတက္တာနဲ႔ Registry ကီး HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows auto update = msblast.exe မွာ ေနရာယူပါတယ္ ၊
msblast.exe ဆိုတာက ေတာ့ နာမည္တူေပးထားတာေပါ့
Blaster worm က Computer System ထဲမွာ ရွိေနျပီဆိုတာနဲ႔ Cracker ေတြက ကြန္ပ်ဴတာကို Remote လုပ္ျပီး ထိန္းခ်ုဳပ္နိုင္ေအာင္ ေရးထားပါတယ္..

၄။ Trojan Horse

Trojan horse ကို Trojan လို႔လည္းေခၚပါတယ္..
ပံုမွန္အားျဖင့္ အသံုး၀င္တဲ႔ Software ေတြမွာ ထည့္ထားတတ္ၾကပါတယ္...
(ဥပမာ)... Game တစ္ခုကို Install ျပီးေဆာ့ေနေပမယ့္ အျခားတစ္ဖက္မွာ Hacker ေတြ Cracker ေတြက ကြန္ပ်ဴတာထဲကို ၀င္ေမႊေနလို႕ရေအာင္လုပ္ေပးေနတယ္..
အဲဒီေတာ့ အဲဒိ Game ကို Trojan horse လို႕ေခၚတာေပါ့ .. တစ္ကယ္ေတာ့ Game က တရား၀င္ထုတ္ထားတဲ႔ Game ပဲ.. ဒါေပမယ့္ Virus infected ျဖစ္ေနတဲ႔ Game လို႕ေျပာရလိုျဖစ္ေနတာေပါ့..
နမူနာ Trojan Horse ကေတာ့ waterfalls.scr ဆိုတဲ႕ free waterfall screen saver ပဲျဖစ္ပါတယ္..

Trojan horse တစ္ခုဟာ ေအာက္ပါအခ်က္မ်ားကို လုပ္ေဆာင္ေပးနိုင္ပါတယ္...
* Remote Access
* Data Destruction
* Downloader/dropper
* Server Trojan(Proxy, FTP , IRC, Email, HTTP/HTTPS, etc.)
* Disable security software
* Denial-of-service attack (DoS)

၅။ Spyware

သူကေတာ့ သူခိုးေပါ့ေနာ္.. Spy ေတြ ဘယ္လိုအလုပ္လုပ္သလဲဆိုတာသိၾကမွာပါ.. သူလဲအဲလိုပါပဲ...သူက ကြန္ပ်ဴတာကို ထိခိုက္ ဖ်က္ဆီးခ်င္မွ ဖ်က္ဆီးမယ္..
ဒါေပမယ့္ ကြန္ပ်ဴတာမွာသံုးေနတဲ႔ user ရ႕ဲ အမ်ိဳးမ်ိဳးေသာ အခ်က္အလက္ေတြ၊ အေရးၾကီး တဲ႔ Data ေတြကို သူ႕ရ႕ဲ Main server တစ္ခုခုကို ေန႔စဥ္ သတင္းပို႕ေပးေနတယ္...
Spyware ေတြက မ်ားေသာအားျဖင့္ Web browser ေတြကေန ၀င္နိုင္ပါတယ္... ျပီးရင္ သူက Browser home page ကိုေျပာင္းထားတတ္ပါတယ္..သင့္ကို Error message ေတြ အမ်ိဳးမ်ိဳးျပမယ္..
(ဥပမာ- သင့္ကြန္ပ်ဴတာမွာ problems ေတြမ်ားေနျပီ..အဲဒါေတြျပင္ခ်င္ရင္ ေအာက္ကခလုတ္ကို ႏွိပ္ပါ) စသျဖင့္ ဆြဲေဆာင္မယ္၊ သင္က link တစ္ခုကို click လိုက္ေပမယ့္ သင္မဖြင့္ပဲနဲ႔ အျခား Porn Site ေတြ အလိုလိုပြင့္လာ မယ္ စသျဖင့္ေပါ့ဗ်ာ...
တစ္ခ်ိဳ႕ လူေတြက http cookie ေတြကို Spyware ေတြလို႕ ထင္ၾကပါတယ္.. တကယ္ေတာ့မဟုတ္ပါဘူး
ဒါေပမယ့္ အဲဒိ cookie ထဲမွာ Spyware က track လုပ္နိုင္တဲ႔ Data ေတြပါလာတတ္တာေၾကာင္ ့ Spyware Remover ေတာ္ေတာ္မ်ားမ်ားက Cookie ေတြကို ဖ်က္ပစ္ၾကတာပါ.
Spyware ကို ကာကြယ္ခ်င္ရင္ေတာ့ pop-ups က်လာတဲ႔ link ေတြကို ေရွာင္တာေကာင္းပါတယ္... Free Spyware Remover ေတြနဲ႔လည္းကာကြယ္နိုင္ပါတယ္...

၆။ Adware

Adware ဆုိတာကေတာ့ Advertising-supported software (သို႔) software package တစ္ခုျဖစ္ပါတယ္....
သူကေတာ့ Screen မွာ Automatic ေပၚလာေအာင္ဖန္တီးထားျပီး Download အတင္းလုပ္ခိုင္းပါတယ္... အခ်ိဳ႕ေသာ Adware မ်ားဟာ Spyware မ်ားျဖစ္တတ္ၾကပါတယ္...

၇။ Crimeware

Crimeware ဆိုတာကေတာ့ Spyware, Adware, Malware အမ်ိဳးအစားေတြထဲမွာပါပါတယ္.. သူ႕ရဲ႕ရည္ရြယ္ခ်က္ကေတာ့ financial crime ေတြအတြက္ရည္ရြယ္ျပီးေရးၾကတာမ်ားပါတယ္..
သူက user password ေတြ၊ links ေတြ၊ အခ်က္အလက္ေတြ ကို မွတ္သားထားႏိုင္ျပီး သူ႔ကို Run ထားတဲ႔လူက ျပန္ဖြင့္ၾကည့္ျပီး user data ေတြကို ခိုးယူနိုင္တာေပါ့.... ဥပမာေျပာရရင္
ခုေခတ္စားေနတဲ႔ key logger တို႕ .. keystroke logging software တို႕ဟာ Crimeware အမ်ိဳးအစားေတြပဲျဖစ္ပါတယ္...

Funny Virus သတ္နည္း

Funny ၀င္ၿပီဆိုရင္ Safe Mode ကေနလဲ ၀င္သတ္လို႔ မရေတာ့ပါဘူး... Safe Mode မွာပါ Funny က Active ျဖစ္ပါတယ္....

အလြယ္ဆံုးနဲ႔ အထိေရာက္ဆံုးနည္းကို ေျပာျပပါ့မယ္....

Funny က msiexec ဆိုတဲ့ Folder အျဖစ္ စက္ထဲမွာ ေနရာယူပါတယ္... Folder ထဲမွာေတာ့ msi.exe + update.exe ဖိုင္ ႏွစ္ဖိုင္ ရွိပါတယ္...

Funny ၀င္၀င္ခ်င္းမွာ
C:\Documents and Settings\Administrator\Application Data
C:\Documents and Settings\LocalService\Application Data
အဲ့ဒီ့ႏွစ္ေနရာမွာ အရင္ဆံုး ေနရာယူပါတယ္...
ၿပီးေတာ့ Autorun.inf ဖိုင္နဲ႔လဲ ေထာက္ပံ့ေပးထားပါတယ္... Autorun.inf က update.exe ကို ေထာက္ပံ့တာပါ...

ေနာက္တစ္ခုအေနနဲ႔
kill.exe ဖိုင္တစ္ဖိုင္က c:\Windows\system32\DirectX ထဲမွာ ရွိျပန္ပါတယ္....

ကဲ... ေနရာေတြ လဲသိၿပီ....

Boot CD တစ္ခ်ပ္နဲ႔ Boot တက္ပါ... Search >> msiexec ကိုရွာ Folder ကို Del လုပ္..
kill.exe ကို Del လုပ္..

autorun.inf ကို Del..လုပ္
မ်ိဳးျပဳတ္ေပါ့ funny ေရ....

တစ္ခုေတာ့ သတိေပးခ်င္ပါတယ္.. Funny ၀င္တာ ၾကာေနတဲ့စက္...
မိန္းကေလးပံုေပၚၿပီးတဲ့ စက္ေတြအတြက္ေတာ့ Dll ဖိုင္ေတြ ပ်က္သြားပါၿပီ... Dll
icon ပံုစံနဲ႔ စက္ထဲမွာ exe ဖိုင္ေတြ ပြားပါတယ္... C:\ ေအာက္မွာ ရွိေသာ
Folder ေတြ အကုန္လံုးကို Hidden လုပ္ပစ္ပါတယ္..

ကဲ သိေနၿပီဆိုေတာ့ Boot CD ရဲ႕ အသံုး၀င္ပံုကို လက္ေတြ အသံုးခ်ၾကတာေပါ့ဗ်ာ....

Desktop ေပၚက Funny Folder အတြက္ေတာ့

Desktop properties >>> Desktop >>> Customize >>>Clean Desktop Now
ကို ႏွိပ္.. Funny ကိုေရြး... ၿပီးရင္...Unuse Desktop ဖိုဒါကို Del လုပ္လိုက္...

Funny အခ်ိန္ၾကာလာတာနဲ႔အမွ် ေနရာယူမႈ ပိုမို မ်ားျပားလာပါက
Desktop, Mycompter ထဲက Funny (Folder)ကို Register Editor ထဲ က ဖ်က္ခ်င္ရင္

HKEY_CLASSES_ROOT\CLSID\{FD4DF9E0-E3DE-11CE-BFCF-ABCD1DE12345}

ကိုဖ်က္လိုက္ပါ။

Mon	Tue	Wed	Thu	Fri	Sat	Sun
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30