You are viewing a plain text version of this content. The canonical link for it is here.
Posted to j-users@xalan.apache.org by �� <32...@chaiyo.com> on 2003/05/20 07:23:52 UTC
new virus
<!-- saved from url=(0022)http://internet.e-mail -->
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD><TITLE>การถูกไล่ออกจากงาน ไม่ใช่ว่าคนนั้นจะล้มเหลวไปตลอดชีวิตแต่อากเป็นเพราะเรา</TITLE>
<META http-equiv=Content-Language content=en-us>
<META content="Microsoft FrontPage 5.0" name=GENERATOR>
<META content=FrontPage.Editor.Document name=ProgId>
<META http-equiv=Content-Type content="text/html; charset=iso-8859-1">
<STYLE></STYLE>
</HEAD>
<BODY bgColor=#ffffff>
<p><font size="2"><b>ชื่อ :</b> <font color="#ff0000"><b>W32.Fizzer@mm </b>
</font><br>
<b>ค้นพบเมื่อ :</b> 8 พฤษภาคม 2546<br>
<b>ชนิด :</b> หนอนอินเทอร์เน็ต (worm)<br>
<b>ชื่ออื่นที่เป็นที่รู้จัก : </b>W32/Fizzer@MM , Win32.Fizzer , W32/Fizzer-A ,
WORM_FIZZER.A , Fizzer, Win32/Fizzer.A@mm, I-Worm.Fizzer<b><br>
ระดับความรุนแรง : </b>ปานกลาง</font></p>
<div align="left">
<p align="left"><font size="2"><b>ลักษณะทั่วไป</b></font></div>
<blockquote>
<div align="left">
<font size="2"><b><font color="#990000">W32.Fizzer@mm</font></b>
สามารถกระจายตัวเองผ่านทางอี-เมล์ และการแชร์ไฟล์แบบ peer to peer ของโปรแกรม
KaZaA หนอนชนิดนี้มีความสามารถในการแพร่กระจายในเครื่องได้มากมายหลายวิธี
และพยายามที่จะโจมตีการทำงานของโปรแกรมป้องกันไวรัสและลบโปรแกรมป้องกันไวรัสเหล่านั้น
นอกจากนี้ยังจะเปิดช่องโหว่ในเครื่องที่ติดหนอนชนิดนี้เพื่อให้ไวรัสชนิดอื่นสามารถแพร่กระจายในเครื่องได้</font><p>
<font size="2">การแพร่กระจายตัวของหนอนนี้ผ่านทางอี-เมล์ด้วยไฟล์ที่แนบมา
ซึ่งไฟล์ที่แนบมานั้นจะมีชื่อต่างๆ มากมาย
แต่ไฟล์ที่ถูกแนบมาส่วนใหญ่จะมีนามสกุล .EXE .PIF .SCR หรือ .COM อี-เมล์เหล่านี้จะถูกส่งไปยังแอดเดรสที่ถูกสุ่มขึ้นมาและแอดเดรสที่หาพบในเครื่องที่ติดหนอนชนิดนี้</font></p>
<p><font size="2">
หนอนชนิดนี้จะติดตั้งประตูลับเพื่อให้ผู้พัฒนาไวรัสสามารถเข้ามาควบคุมเครื่องที่ติดหนอน
จึงทำให้สามารถจะใช้เป็นฐานในการโจมตีแบบ Distributed Denial-of-Service (DDoS)
ไปยังเครื่องที่อยู่ในอินเทอร์เน็ตต่อไปได้</font></div>
</blockquote>
<blockquote>
<div align="left">
</div>
</blockquote>
<div align="left">
</div>
<blockquote>
<div align="left">
</div>
</blockquote>
<div align="left">
<p align="left"><font size="2"><b>รายละเอียดทางเทคนิค</b></font></div>
<blockquote>
<div align="left">
<font size="2">เมื่อหนอน <b><font color="#990000">W32.Fizzer@mm</font></b>
มีกระบวนการทำงานดังนี้</font><p>
<img height="906" src="fizzer.gif" width="694"></div>
</blockquote>
<div align="left">
<p align="left"><font size="2"><b>คำแนะนำในการกำจัดหนอนชนิดนี้ :</b></font></div>
<blockquote>
<p><font size="2"><b>วิธีการกำจัดด้วยมือ</b></font></p>
<ol>
<li>
<div align="left">
<font size="2">ปรับปรุงฐานข้อมูลของโปรแกรมป้องกันไวรัส</font></div>
</li>
<li><font size="2">สแกนหาไวรัสทั้งระบบและลบไฟล์ทุกไฟล์ที่ติดหนอนชนิดนี้</font>
</li>
<li><font size="2">ลบค่าเรจิสทรีย์คีย์ที่หนอนทำการเพิ่มเข้าไป กล่าวคือลบค่า</font>
<blockquote>
<p><span class="computer_text">"SystemInit"="%windir%\iservc.exe"</span><br>
</p>
<p><font size="2">ในเรจิสทรีย์คีย์</font></p>
<p><font class="computer_text" size="2">HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run</font></p>
<p><font size="2">ทำการแก้ไขค่า</font></p>
<p><span class="computer_text">notepad.exe %1</span><br>
</p>
<p><font size="2">ในเรจิสทรีย์คีย์ที่ชื่อ</font></p>
<p class="computer_text">HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command</p>
<p> </p>
<p><font size="2">จากนั้นก็รีสตาร์ทเข้าสู่ระบบปกติ</font></p>
</blockquote>
</li>
</ol>
<div align="left">
<font size="2"><b><font color="#ff0000">ข้อควรระวัง: </font>การกระทำการใดๆ
กับระบบเรจิสทรีย์มีความเสี่ยง ควรอ่านคำแนะนำอย่างละเอียด
และทำสำเนาเรจิสทรีย์ไฟล์ไว้ก่อนทุกครั้ง</b></font></div>
<p><font face="MS Sans Serif" size="2"><b>การกำจัดหนอนแบบอัตโนมัติ</b> </font>
</p>
<ol>
<li><font face="MS Sans Serif" size="2">ดาวน์โหลดไฟล์ FixFiz.exe จาก
<a href="http://securityresponse.symantec.com/avcenter/FixFiz.exe">
http://securityresponse.symantec.com/avcenter/FixFiz.exe</a></font> </li>
<li><font face="MS Sans Serif" size="2">
ปิดทุกโปรแกรมที่กำลังใช้งานอยู่ก่อนรันไฟล์ที่ดาวน์โหลดจากข้อ 1</font> </li>
<li><font face="MS Sans Serif" size="2">ตัดขาดการเชื่อมต่อจากเครือข่ายทุกทาง</font>
</li>
<li><font face="MS Sans Serif" size="2">ถ้าใช้ระบบปฎิบัติการ Windows XP หรือ
ME ให้ทำการ disable System Restore ก่อน (อ่านรายละเอียดเพิ่มเติมที่ส่วนของ
<b><a href="#me">ข้อมูลเพิ่มเติมสำหรับ Windows ME</a></b>)</font> </li>
<li><font face="MS Sans Serif" size="2">จากนั้นทำการรันไฟล์ FixFiz.exe
โดยการดับเบิลคลิ้กไฟล์ดังกล่าวแล้วกดปุ่ม start</font> </li>
<li><font face="MS Sans Serif" size="2">รีสตาร์ทเครื่อง แล้วรัน FixFiz.exe
อีกครั้งเพื่อให้แน่ใจว่าไม่มีหนอนตัวนี้หลงเหลือในระบบ</font> </li>
<li><font face="MS Sans Serif" size="2">ถ้าใช้ระบบปฎิบัติการ Windows XP หรือ
ME ให้ทำการ enable System Restore </font></li>
<li><font face="MS Sans Serif" size="2">
ปรับปรุงฐานข้อมูลไวรัสให้กับโปรแกรมป้องกันไวรัสที่ติดตั้งอยู่ในระบบ</font>
</li>
<li><font size="2">สแกนหาไวรัสทั้งระบบดูอีกครั้ง</font> </li>
</ol>
</blockquote>
<p><font size="2"><b>ข้อมูลเพิ่มเติมสำหรับ Windows ME:</b></font></p>
<p><font color="#ff0000" size="2"><b>หมายเหตุ</b></font><font size="2">: Windows
ME ใช้ backup utility สำหรับ backup ไฟล์โดยอัตโนมัติไว้ที่โฟลเดอร์ C:\_Restore
ดังนั้นไฟล์ที่ติดเชื้อสามารถถูกเก็บไว้เป็นไฟล์ backup ได้ และ
โปรแกรมป้องกันไวรัสจะไม่สามารถลบไฟล์เหล่านี้ได้ จึงต้องทำการยกเลิกการใช้งาน
Restore Utility ตามขั้นตอนดังนี้</font></p>
<ol>
<li><font size="2">คลิ๊กขวาที่ไอคอน My Computer บน Desktop และ เลือก
Properties</font> </li>
<li><font size="2">เลือกแถบ Performance</font> </li>
<li><font size="2">กดปุ่ม File System </font></li>
<li><font size="2">เลือกแถบ Troubleshooting</font> </li>
<li><font size="2">ใส่เครื่องหมายเลือก "Disable System Restore"</font> </li>
<li><font size="2">กดปุ่ม Apply</font> </li>
<li><font size="2">กดปุ่ม Close</font> </li>
<li><font size="2">กดปุ่ม Close อีกที</font> </li>
<li><font size="2">เมื่อมีหน้าต่างขึ้นมาถามว่าจะรีสตาร์ทเครื่องหรือไม่ ให้กด
Yes<br>
หมายเหตุ: ตอนนี้ Restore Utility ถูกยกเลิกแล้ว</font> </li>
<li><font size="2">รีสตาร์ทเครื่องให้อยู่ใน Safe Mode</font> </li>
<li><font size="2">เรียกใช้งานโปรแกรมป้องกันไวรัสเพื่อลบไฟล์ที่ติดเชื้อทั้งหมด
หรือเปิดหาตำแหน่งของไฟล์เหล่านั้นได้จากโฟลเดอร์ C:\_Restore และกำจัดออก<br>
หลังจากกำจัดเรียบร้อยแล้วก็รีสตาร์ทเครื่องให้ใช้งานได้ตามปกติ<br>
หมายเหตุ: การเปิดใช้ Restore Utility อีกครั้ง ให้ทำตามขั้นตอนที่ 1-9
และในขั้นตอนที่ 5 ให้ยกเลิกเครื่องหมายที่เลือก "Disable System Restore" ออก
</font></li>
</ol>
<p><font size="2"><b>วิธีป้องกันตัวเองจากไวรัส</b></font></p>
<ol>
<li><font size="2">ควรลบอี-เมล์ที่น่าสงสัยว่ามีไวรัสแนบมา รวมทั้งอี-เมล์ขยะและอี-เมล์ลูกโซ่ทิ้งทันที
</font></li>
<li><font size="2">ห้ามรันไฟล์ที่แนบมากับอี-เมล์ซึ่งมาจากบุคคลที่ไม่รู้จักหรือไม่มั่นใจว่าผู้ส่งเป็นใครและไม่ทราบว่าไฟล์ดังกล่าวนั้นเป็นไฟล์อะไร
ตลอดจนไฟล์ที่ถูกส่งด้วยโปรแกรมประเภทแช็ต (Chat) ต่างๆ เช่น IRC, ICQ หรือ Pirch
เป็นต้น </font></li>
<li><font size="2">ติดตั้งโปรแกรมต่อต้านไวรัส
และต้องทำการปรับปรุงฐานข้อมูลไวรัสเป็นตัวล่าสุดอยู่เสมอ </font></li>
<li><font size="2">สร้างแผ่นกู้ระบบฉุกเฉิน (Emergency disk)
ของโปรแกรมป้องกันไวรัส และปรับปรุงฐานข้อมูลในแผ่นอยู่เสมอ </font></li>
<li><font size="2">ติดตั้งโปรแกรมปรับปรุงช่องโหว่ (patch)
ของซอฟต์แวร์ทุกซอฟต์แวร์อยู่เสมอ โดยเฉพาะ Internet Explorer
ดังลิงค์ด้านล่างนี้ </font>
<blockquote>
<p><font size="2">
<a href="http://www.microsoft.com/windows/ie/downloads/recommended/ie501sp2/default.asp">
Internet Explorer 5.01 SP2</a><br>
<a href="http://www.microsoft.com/windows/ie/downloads/recommended/ie55sp2/default.asp">
IE 5.5 SP2</a><br>
<a href="http://www.microsoft.com/windows/ie/downloads/critical/ie6sp1/default.">
IE 6.0 SP1</a></font></p>
</blockquote>
</li>
<li><font size="2">ตั้งค่า security zone ของ Internet Explorer ให้เป็น high
ดังคำแนะนำที่ <a href="http://thaicert.nectec.or.th/paper/virus/zone.php">
http://thaicert.nectec.or.th/paper/virus/zone.php</a> </font></li>
<li><font size="2">ทำการสำรองข้อมูลในเครื่องอยู่เสมอ
และเตรียมหาวิธีการแก้ไขเมื่อเกิดเหตุขัดข้องขึ้น </font></li>
<li><font size="2">ติดตามข่าวสารแจ้งเตือนเกี่ยวกับไวรัสต่างๆ</font>
ซึ่งสามารถขอใช้บริการส่งข่าวสารผ่านทางอี-เมล์ของทีมงาน ThaiCERT ได้ที่
<a href="http://thaicert.nectec.or.th/mailinglist/register.php">
http://thaicert.nectec.or.th/mailinglist/register.php</a> </li>
</ol>
<p><font size="2"><b>ช้อมูลอ้างอิง</b></font></p>
<ul>
<li>
<a href="http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.fizzer@mm.html">
http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.fizzer@mm.html</a>
</li>
<li><a href="http://www.f-secure.com/v-descs/fizzer.shtml">
http://www.f-secure.com/v-descs/fizzer.shtml</a> </li>
<li>
<a href="http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_FIZZER.A">
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_FIZZER.A</a>
</li>
<li><a href="http://vil.mcafee.com/dispVirus.asp?virus_k=100295">
http://vil.mcafee.com/dispVirus.asp?virus_k=100295</a> </li>
<li><a href="http://www3.ca.com/solutions/collateral.asp?CT=27081&CID=42884">
http://www3.ca.com/solutions/collateral.asp?CT=27081&CID=42884</a> </li>
</ul>
<p><font size="2">*** ผู้เขียนขอสงวนสิทธิ์ในการเสนอแนวทางป้องกันเบื้องต้น
และวิธีการดังกล่าวไม่จำเป็นต้องได้ผล 100% ***</font></p>
<blockquote>
<p align="right"><font size="2"><b>เผยแพร่โดย ThaiCERT เมื่อ 13 พฤษภาคม 2546
9:43<br>
ปรับปรุงล่าสุดโดย ThaiCERT เมื่อ 14 พฤษภาคม 2546 9:22</b></font></p>
</blockquote>
<P style="MARGIN-TOP: 0px; MARGIN-BOTTOM: 0px"> </P>
<P style="MARGIN-TOP: 0px; MARGIN-BOTTOM: 0px"><SPAN lang=th><FONT size=2>
<a href="http://www.geocities.com/workmajestic3sc/dreamjob/">ระบบธุรกิจของเราสนับสนุน
ผู้ที่มุ่งมั่น และไม่เคยท้อถอย จนกว่าจะประสบความสำเร็จ</a></FONT></SPAN></P>
<P style="MARGIN-TOP: 0px; MARGIN-BOTTOM: 0px"><FONT size=2><SPAN
lang=th>ต้องการ มีรายได้ 5,000 - 40,000 บาท</SPAN>/<SPAN lang=th>เดือน
จากการทำธุรกิจผ่านเทคโนโลยีการสื่อสาร
<a href="http://www.geocities.com/workmajestic3sc/dreamjob/">คลิ๊กที่นี่</a></SPAN><A
href="http://www.geocities.com/workmajestic3sc/dreamjob/">!<SPAN lang=th>
</SPAN></A><SPAN lang=th> </SPAN></FONT></P>
<P style="MARGIN-TOP: 0px; MARGIN-BOTTOM: 0px"><SPAN lang=th><FONT
size=2>***************************************************************************************</FONT></SPAN></P>
<P style="MARGIN-TOP: 0px; MARGIN-BOTTOM: 0px"><FONT size=2>
<a href="mailto:unsb2003@hotmail.com?subject=Unsubscribe">Unsubscribe</a></FONT></P></BODY></HTML>