เมื่อเครื่องโดนไวรัส มีเครื่องมือมาช่วย

เนื้อเรื่อง

ไม่กล้าฟันธงซะเลยทีเดียวแต่ก็สงสัยเจ้า W32/Rontokbro.b@MM

W32/Rontokbro.b@MM : เป็นไวรัสที่สามารถแพร่ตัวไปตามเครื่อข่ายได้ โดยอย่างเครือข่ายที่แชร์ไฟล์ในวงแลนก็สามารถติดเจ้าไวรัสตัวนี้ได้ครับ


อาการที่เกิดจากไวรัสตัวนี้
Folder Options ใน Explorer หายไป
เข้า Msconfig ไม่ได้เครื่องจะรีสตาร์ททันที
เข้า Regedit ไม่ได้มีข้อความว่า "Registry editing has been disabled by your administrator"
เปิด Folder หรือ Shortcut ไม่ได้หรืออ้างอิงผิดตำแหน่งจะโยงมา My document


การแก้ไขและกำจัด
ปิด System restore ก่อนเนื่องจะไวรัสเหล่านี้จะฝังตัวอยู่ใน System Restore ทำให้กำจัดเท่าไรก็ไม่หมดไปเสียที
สำหรับ WinMe http://service1.symantec.com/SUPPORT...rc=sec_doc_nam
สำหรับ WinXp http://service1.symantec.com/SUPPORT...rc=sec_doc_nam


หากมีหลายเครื่องให้ปิดแชร์ก่อนหรือดึงสายแลนออกก่อน


Reboot เครื่องเพื่อเข้าสู่ Safe Mode กด F8 เลือก Administrator


ไปที่ Start > Run > พิมพ์ msconfig > Ok > Startup >
ยกเลิกเครื่องหมาย(ถูก) หน้ารายงานเหล่านี้
norBtok
smss


Reboot เครื่องใหม่เข้าสู่ Windows ปกติ ไวรัสจะไม่สามารถเรียกขึ้นมาตอน Start up อีก


ดาวน์โหลดไฟล์ http://securityresponse.symantec.com...UnHookExec.inf
เมื่อเสร็จแล้วคลิกขวา UnHookExec > กด Install เพื่อ Registry จะถูกปลดล๊อคออก


ไปที่ Start > Run > พิมพ์ Regedit > Ok
ไปที่ HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\Explorer
ทางกรอบขวามือจะพบรายการ "NoFolderOptions" = "1" ให้ Delete ได้เลย เพื่อ Folder Options ใน Explorer ที่หายไปกลับคืนมา




ไปที่ Start > Run > พิมพ์ %UserProfile%\Local Settings\Application Data\ > Ok เมื่อพบไฟล์รายการนี้ให้ Delete ทิ้งให้หมด
csrss.exe
inetinfo.exe
lsass.exe
services.exe
smss.exe
winlogon.exe


ไปที่ Start > Run > พิมพ์ %UserProfile%\Start Menu\Programs\Startup\
ลบไฟล์ Empty.pif


ไปที่ Start > Run > พิมพ์ %UserProfile%\Templates\
ลบไฟล์ A.kotnorB.com


ไปที่ Start > Run > พิมพ์ %Windir%\inf\
ลบไฟล์ norBtok.exe


ไปที่ Start > Run > พิมพ์ %System%\
ลบไฟล์ 3D Animation.scr


Restart

เท่านี้ก็เรียบร้อยแล้วครับ จากนั้นใช้ Antivirus แสกนดูอีกรอบนะครับ

อ้างอิง
http://securityresponse.symantec.com...kbro.b@mm.html
http://community.thaiware.com/ โดยคุณ shadow