Trung tâm 911 cảnh báo về 2 loại sâu máy tính cực kỳ nguy hiểm cho dữ liệu người dùng và hoạt động vào một thời điểm cố định hàng tháng. Việc cứu lại các dữ liệu bị sâu máy tính ghi đè khá khó khăn bởi vì nó không xoá hẳn tệp mà chỉ ghi đè một phần dữ liệu làm cho các tệp dữ liệu lỗi không mở được.

1. Họ sâu máy tính W32.Chir (Theo cách đặt tên của Symantec)

W32.Chir.B@mm là 1 loại sâu sâu máy tính qua mail , và nó là 1 loại sâu máy tính rất nguy hiểm. Nó thường sử dụng công cụ SMTP để gửi mai tới các địa chỉ nó email nó tìm như của các loại sử files (.wab), and in .adc, r.db, .doc, and .xls files.

Các mail thường có nội dung như sau và thường đính kèm các files virus:

From: @yahoo.com or imissyou@btamail.net.cn
Subject: is coming!
Attachments: PP.exe

Khi máy bị nhiễm W32.Chir.B@mm nó tìm tất cả các ổ có trong máy những files có phần đuôi là tml, .exe, and .scr và lây nhiễm vào các files này . Và một đặc điểm cực kì nguy hiểm của nó là vào mùng 1 hàng tháng nó sẽ tự động ghi đè 4460 bytes các files có đuôi mở rộng là adc, .doc, and .xls làm cho máy bị nhiễm ko thể đọc được gì trong các files word hoặc Excell và toàn bộ dữ liệu văn phòng của nạn nhân sẽ hoàn toàn không mở được và gặp trường hợp này khả năng cứu lại dữ liệu là rất khó khăn.

Mô tả chi tiết :

Khi sâu máy tính hoạt động thì nó copy chính nó thành một tệp có tên là

Runouce.exe vào thư mục

C:\windows\system32 ( với windows xp )
C:\winnt\sytem32 (với win2000 )

Tạo thêm 1 khóa trong

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Runonce = Windows\System\Runouce.exe

Vì vậy phiên bản hoạt động của sâu máy tính luôn khởi động cùng với Windows .

Cách Diệt

1, Updates phiên bản mới diệt virus mới nhất của Smantec hoặc AVG

Bạn có thể tải bản cập nhật symantec offline tại đây :
http://definitions.symantec.com/defs/20060330-007-x86.exe

Bạn có thể tải phần mềm diệt virus của Symantec tại đây
http://www.911.com.vn/download/savceclt.exe

Tắt chế độ system restore
Khởi động lại chạy trong chế độ safe mode quét tất cả các ổ đĩa
Sửa lại registry bằng cách vào Start->Run gõ regedit sau đó tìm tới key sau và xóa các key sau đây :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

tìm key sau

Runonce = Windows\System\Runouce.exe

và xóa đi
Sau đó khởi động lại máy tính

2. Họ sâu máy tính Worm/Generic (Theo cách đặt tên của AVG)

Worm/Generic.FX!CME-24



Loại sâu máy tính này lây lan qua đường email bằng các tệp đính kèm và trên mạng chia sẻ ngang hàng (P2P network). Vào ngày mùng 3 hàng tháng nó sẽ ghi đè lên các tệp có phần mở rộng là doc, xls, mdb, mde, ppt, pps, zip, rar, pdf, psd and dmp.

Khi sâu máy tính hoạt động nó copy chính nó thành các tệp có tên là

Scanregw.exe
Net.exe
At.exe
Rundll16.exe

Vào thư mục hệ thống của Windows

C:\windows\system32 ( với windows xp )
C:\winnt\sytem32 (với win2000 )

Và đăng ký tệp scanregw.exe như một ScanRegstry trong khoá regedit

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Thực hiện việc lây nhiễm các phiên bản của nó thông qua các địa chỉ email sưu tầm được thì các tệp chứa thông tin email có đuôi như: HTM, DBX, EML, MSG, OFT, NWS, VCF, MBX, IMH, TXT và MSF. Nội dung thư có khuôn dạng như sau

Sender address is faked
Subject and message body are generated from the texts inside virus body.

Attachment:
Attachment name is variable with pif extension or with scr in case of hidden extension.

Spreading: networks
Worm searches for shared folders and copies itself to them using random names.

Payload:
Virus terminates several running processes.

Cách diệt

1, Updates phiên bản mới diệt virus mới nhất của Smantec hoặc AVG

Bạn có thể tải bản cập nhật symantec offline tại đây :
http://definitions.symantec.com/defs/20060330-007-x86.exe
Bạn có thể tải phần mềm diệt virus của Symantec tại đây
http://www.911.com.vn/download/savceclt.exe
Tắt chế độ system restore
Khởi động lại chạy trong chế độ safe mode quét tất cả các ổ đĩa

Sửa lại registry bằng cách vào Start->Run gõ regedit sau đó tìm tới key sau và xóa các key sau đây :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

tìm các key có từ khoá sau

Scanregw.exe
Net.exe
At.exe
Rundll16.exe

và xóa đi

Sau đó khởi động lại máy tính

Bạn cũng có thể đổi ngay ngày hệ thống về ngày mùng 4 tháng sau khi đang ở ngày cuối cùng của tháng thì cũng có thể tránh được sự kích hoạt hoạt động của 2 loại sâu máy tính nói trên.


Theo 911.com.vn