ไมโครซอฟท์ประกาศเตือนผู้ใช้ Windows ที่ทำการติดตั้งใช้งานโปรแกรมแอนตี้มัลแวร์ของไมโครซอฟท์ (ตามรายชื่อด้านล่าง) ให้ระวังการโจมตีผ่านทางช่องโหว่ความปลอดภัย CVE-2014-2779 ที่พบใน Microsoft Malware Protection Engine จากแฮกเกอร์
Showing posts with label Virus Alert. Show all posts
Showing posts with label Virus Alert. Show all posts
Wednesday, June 18, 2014
Monday, May 13, 2013
โทรจัน JS/Febipos.A ปลอมตัวเป็นส่วนขยายเบราว์เซอร์, มีเป้าหมายยึด Facebook เหยื่อ
ไมโครซอฟท์แจ้งเตือนผู้ใช้โปรแกรม Firefox และ Google Chrome ท่องอินเทอร์เน็ตให้ระวังการโจมตีจากโทรจัน JS/Febipos.A ซึ่งปลอมตัวเป็นส่วนขยาย (Extension) เพื่อหลอกผู้ใช้ โดยโทรจันตัวนี้มีเป้าหมายเข้ายึดโปรไฟล์ Facebook ของเหยื่อ
Tuesday, July 3, 2012
DNSChanger Malware
วิธีการป้องกัน ตรวจสอบ และกำจัดมัลแวร์ DNSChanger
9 กรกฎาคม 2555: FBI ทำการปิด DNS Server ที่ใช้โดยมัลแวร์ DNSChanger แล้วเมื่อเวลา 12:01 am EDT = 4.01 pm GMT
ในขณะที่เขียนเรื่องนี้ (3 กรกฎาคม 2555) ซึ่งเหลือเวลาอีกเพียงแค่ 6 วันเท่านั้นที่ FBI จะทำการปิดเครื่อง DNS Server หลอกลวงในวันที่ 9 กรกฎาคม 2555 ซึ่งจะทำให้เครื่องคอมพิวเตอร์ที่ติดมัลแวร์ DNSChanger (หรือ DNS Changer หรือ DNS Malware) ทั้งที่ใช้ระบบปฏิบัติการ Windows และ MAC OS จะไม่สามารถเชื่อมต่อกับอินเทอร์เน็ตได้ ดังนั้น ผู้ดูแลระบบควรทำการตรวจสอบเครื่องคอมพิวเตอร์ในความดูแลและกำจัดมัลแวร์ DNSChanger (ถ้าติดมัลแวร์) ให้เรียบร้อยก่อนถึงวันดังกล่าวเพื่อป้องกันปัญหาต่าง ๆ ที่จะเกิดตามมา
9 กรกฎาคม 2555: FBI ทำการปิด DNS Server ที่ใช้โดยมัลแวร์ DNSChanger แล้วเมื่อเวลา 12:01 am EDT = 4.01 pm GMT
ในขณะที่เขียนเรื่องนี้ (3 กรกฎาคม 2555) ซึ่งเหลือเวลาอีกเพียงแค่ 6 วันเท่านั้นที่ FBI จะทำการปิดเครื่อง DNS Server หลอกลวงในวันที่ 9 กรกฎาคม 2555 ซึ่งจะทำให้เครื่องคอมพิวเตอร์ที่ติดมัลแวร์ DNSChanger (หรือ DNS Changer หรือ DNS Malware) ทั้งที่ใช้ระบบปฏิบัติการ Windows และ MAC OS จะไม่สามารถเชื่อมต่อกับอินเทอร์เน็ตได้ ดังนั้น ผู้ดูแลระบบควรทำการตรวจสอบเครื่องคอมพิวเตอร์ในความดูแลและกำจัดมัลแวร์ DNSChanger (ถ้าติดมัลแวร์) ให้เรียบร้อยก่อนถึงวันดังกล่าวเพื่อป้องกันปัญหาต่าง ๆ ที่จะเกิดตามมา
Monday, November 7, 2011
Virus Alert: Duqu Trojan, Fix solution is available from Microsoft
ไมโครซอฟท์เตือนผู้ใช้ Windows ให้ระวังโทรจัน Duqu โจมตีระบบผ่านช่องโหว่ความปลอดภัยของ TrueType Font, พร้อมออก Fix It สำหรับใช้ป้องกันแล้ว
ไมโครซอฟท์เตือนผู้ใช้ Windows ให้ระวังการโจมตีจากโทรจัน Duqu (Win32/Duqu) ซึ่งเป็นมัลแวร์ประเภทแบ็คดอร์โทรจัน (Trojan) ที่มีความสามารถในการขโมยข้อมูล และจากการวิเคราะห์โดยผู้เชี่ยวชาญด้านความปลอดภัยพบว่าโค้ดจำนวนมากที่พบในโทรจัน Duqu เหมือนกับที่พบในไวรัส Stuxnet ทำให้มีความเป็นไปได้ว่ามัลแวร์สองตัวนี้สร้างขึ้นจาก Source Code เดียวกัน (บางเว็บไซต์เรียก Duqu ว่าเป็นลูกชายของ Stuxnet) ซึ่งข้อแตกต่างระหว่างมัลแวร์สองตัวนี้คือ โทรจัน Duqu ไม่ได้มีเป้าหมายในการโจมตีระบบควบคุมในอุตสาหกรรม (Industrial Control Systems) แต่จะมีเป้าหมายเพื่อการขโมยข้อมูลเป็นหลัก
ไมโครซอฟท์เตือนผู้ใช้ Windows ให้ระวังการโจมตีจากโทรจัน Duqu (Win32/Duqu) ซึ่งเป็นมัลแวร์ประเภทแบ็คดอร์โทรจัน (Trojan) ที่มีความสามารถในการขโมยข้อมูล และจากการวิเคราะห์โดยผู้เชี่ยวชาญด้านความปลอดภัยพบว่าโค้ดจำนวนมากที่พบในโทรจัน Duqu เหมือนกับที่พบในไวรัส Stuxnet ทำให้มีความเป็นไปได้ว่ามัลแวร์สองตัวนี้สร้างขึ้นจาก Source Code เดียวกัน (บางเว็บไซต์เรียก Duqu ว่าเป็นลูกชายของ Stuxnet) ซึ่งข้อแตกต่างระหว่างมัลแวร์สองตัวนี้คือ โทรจัน Duqu ไม่ได้มีเป้าหมายในการโจมตีระบบควบคุมในอุตสาหกรรม (Industrial Control Systems) แต่จะมีเป้าหมายเพื่อการขโมยข้อมูลเป็นหลัก
Thursday, January 6, 2011
Top 10 Most Remarkable Malware in 2010
10 อันดับมัลแวร์ที่แพร่ระบาดในปี 2553
Trend Micro บริษัทผู้พัฒนาซอฟต์แวร์และผลิตภัณฑ์ด้านความปลอดภัยของระบบคอมพิวเตอร์ชื่อดังได้จัดทำสรุปรายงาน 10 อันดับมัลแวร์ร้ายแรงที่มีการแพร่ระบาดในปี 2553 ที่ผ่านมา ผลปรากฏว่า Stuxnet เป็นมัลแวร์ที่ Trend Micro จัดให้เป็นมัลแวร์ร้ายแรงสูงสุดในปี 2553 เนื่องจากมีควาามร้ายแรงสูง มีการแพร่ระบาดอย่างกว้างขวางและยาวนาน อันดับที่ 2 ได้แก่ Aurora เป็นปฏิบัติการโจมตีระบบเซิร์ฟเวอร์ของกูเกิลและบริษัทต่างๆ อีกกว่า 30 บริษัทจากแฮคเกอร์ชาวจีน ในขณะที่ ZeuS เป็นบอทเน็ตทูลคิท (Botnet toolkit) สำหรับใช้สร้างบอทเน็ตเป็นมัลแวร์ที่ร้ายแรงเป็นอันดับที่ 3 สำหรับการจัดอันดับทั้งหมดมีรายละเอียดดังนี้
1. Stuxnet
Stuxnet หรือ Win32/Stuxnet เป็นมัลแวร์แบบหลายคอมโพเนนต์ (Multi-component) คือเป็นทั้ง โทรจัน (Trojan) และเวิร์ม (Worm) ถูกค้นพบครั้งแรกเมื่อ 16 กรกฏาคม 2553 โดยจะทำการโจมตี Windows ผ่านช่องโหว่ความปลอดภัยของ Windows Shell สามารถอ่านรายละเอียดได้ที่ Stuxnet (Win32/Stuxnet) Virus Threat
2. Aurora
Aurora หรือ Operation Aurora เป็นปฏิบัติการโจมตีระบบเซิร์ฟเวอร์ของกูเกิลและบริษัทต่างๆ อีกกว่า 30 บริษัทจากแฮคเกอร์ชาวจีน โดยแฮคเกอร์จะทำการควบคุมเครื่องคอมพิวเตอร์ที่ใช้โจมตีผ่านทางช่องโหว่ความปลอดภัยของโปรแกรม Internet Explorer ซึ่งไมโครซอฟท์ได้แจ้งรายละเอียดใน Advisory 979352 สำหรับวัตถุประสงค์ของปฏิบัติการ Operation Aurora คือการขโมยข้อมูลทรัพย์สินทางปัญญา (Intellectual Property) และข้อมูลส่วนตัวของผู้ใช้ (User name และ Password) ที่อยู่บนเครื่องคอมพิวเตอร์ สามารถอ่านรายละเอียดได้ที่ Operation Aurora - The New Internet Explorer Zero-Day
3. ZeuS
ZeuS เป็นบอทเน็ตทูลคิทแบบ do-it-yourself (DIY) ซึ่งได้รับความนิยมอย่างมากในเหล่าผู้สร้างบอทเน็ต โดย ZeuS ถูกใช้เพื่อการสร้างบอทเน็ตต่างๆ เป็นจำนวนมากสำหรับทำหน้าที่ขโมยเงินจากทั้งผู้ใช้ตามบ้านและผู้ใช้ในองค์กรภาคธุรกิจ จนทำให้มันกลายเป็นมัลแวร์อเนกประสงค์ในปัจจุบัน
4. SpyEye
SpyEye นั้นเป็นมัลแวร์ที่มีแนวคิดเดียวกันกับ ZeuS และยังเป็นมัลแวร์ในลักษณะ DIY toolkit เช่นเดียวกันอีกด้วย
5. Koobface
Koobface (เป็นการเล่นคำ koob = book -> bookface - facebook) เป็นมัลแวร์ที่แพร่ระบาดผ่านทางเครือข่ายทางสังคม (Social Network) จากเว็บไซต์ Facebook ไปถึง Twitter โดยผลจากการระบาดของ Koobface ทำให้เว็บไซต์ Facebook ต้องทำการเพิ่ม CAPTCHA ในแบบฟอร์มซับมิตลิงก์
6. Bredolab
Bredolab เป็นบอทเน็ตที่ใช้เป็นสื่อสำหรับการแพร่ระบาดมัลแวร์อื่นๆ โดย Bredolab จะทำตัวเป็นเสมือนแพลตฟอร์มสำหรับติดตั้งมัลแวร์ (Malware-deploying platform) โดยผลจากการระบาดของ Bredolab ส่งผลให้ระบบทั้งหมดของตำรวจในเนเธอแลนด์ล่มในเดือนกันยายน 2553
7. TDSS/Allurion
TDSS/Allurion เป็นรูทคิท (Rootkit) ที่ทำให้เครื่องคอมพิวเตอร์ที่ใช่ระบบปฏิบัติการวินโดวส์จำนวนมากเกิดความผิดพลาดแบบจอฟ้า (Bluescreen) ในเดือนกุมภาพันธ์ 2553 หลังจากที่ไมโครซอฟท์ทำการเลี่ยนแปลงไฟล์ที่มันใช้ในการเข้าติดในระบบ TDSS/Allurion นั้นเป็นรูทคิทที่มีองค์ประกอบที่ซับซ้อนมากที่สุดเท่าที่เคยมี แสดงให้เห็นว่ามันถูกพัฒนาขึ้นโดยทีมที่มีความรู้ความชำนาญเป็นอย่างมาก
8. Mebroot
Mebroot เป็นบอทเน็ตที่ทำการส่งสแปม (Spamming botnet) โดยการใช้รูทคิทที่สามารถหลบหลีกการตรวจจับได้แม้ว่าจะทำการติดตั้งวินโดวส์ใหม่ (Windows reinstallation) โดยมันจะซ่อนตัวอยู่ลึกมากในระบบจนสามารถทำการโหลดก่อนที่วินโดวส์ทำงาน Mebroot เป็นบอทเน็ตที่ทำให้เกิดทราฟฟิกสแปมมากที่สุดของจำนวนการส่งสแปมทั่วโลกในปี 2553
9. FakeAV
ถ้าหากจะว่ากันอย่างตรงไปตรงมาแล้ว FakeAV ไม่ได้เป็นไวรัส แต่เป็นโปรแกรมป้องกันไวรัสปลอมที่ใช้เทคนิคการล่อลวงให้ผู้ใช้ซื้อโปรแกรมโดยการหลอกว่าเครื่องคอมพิวเตอร์ติดไวรัส โดย FakeAV นั้นมีจุดเริ่มต้นจากการตลาดแบบ Affiliation program ซึ่งนายหน้าจะได้เงินก็ต่อเมื่อมีผู้ใช้หลงเชื่อและเสียเงินซื้อโปรแกรมป้องกันไวรัสปลอม
10. Boonana
Boonana นั้นเป็นเวอร์ชันบนเครื่อง Mac ของ Koobface เนื่องจากมันใช้วิธีการแพร่ระบาดผ่านทางเครือข่ายทางสังคมและมีฟังก์ชันต่างๆ เหมือนกับ Koobface แทบทุกประการ
แหล่งข้อมูลอ้างอิง
• Trend Micro (Malware Blog)
Copyright © 2011 TWA Blog. All Rights Reserved.
Trend Micro บริษัทผู้พัฒนาซอฟต์แวร์และผลิตภัณฑ์ด้านความปลอดภัยของระบบคอมพิวเตอร์ชื่อดังได้จัดทำสรุปรายงาน 10 อันดับมัลแวร์ร้ายแรงที่มีการแพร่ระบาดในปี 2553 ที่ผ่านมา ผลปรากฏว่า Stuxnet เป็นมัลแวร์ที่ Trend Micro จัดให้เป็นมัลแวร์ร้ายแรงสูงสุดในปี 2553 เนื่องจากมีควาามร้ายแรงสูง มีการแพร่ระบาดอย่างกว้างขวางและยาวนาน อันดับที่ 2 ได้แก่ Aurora เป็นปฏิบัติการโจมตีระบบเซิร์ฟเวอร์ของกูเกิลและบริษัทต่างๆ อีกกว่า 30 บริษัทจากแฮคเกอร์ชาวจีน ในขณะที่ ZeuS เป็นบอทเน็ตทูลคิท (Botnet toolkit) สำหรับใช้สร้างบอทเน็ตเป็นมัลแวร์ที่ร้ายแรงเป็นอันดับที่ 3 สำหรับการจัดอันดับทั้งหมดมีรายละเอียดดังนี้
1. Stuxnet
Stuxnet หรือ Win32/Stuxnet เป็นมัลแวร์แบบหลายคอมโพเนนต์ (Multi-component) คือเป็นทั้ง โทรจัน (Trojan) และเวิร์ม (Worm) ถูกค้นพบครั้งแรกเมื่อ 16 กรกฏาคม 2553 โดยจะทำการโจมตี Windows ผ่านช่องโหว่ความปลอดภัยของ Windows Shell สามารถอ่านรายละเอียดได้ที่ Stuxnet (Win32/Stuxnet) Virus Threat
2. Aurora
Aurora หรือ Operation Aurora เป็นปฏิบัติการโจมตีระบบเซิร์ฟเวอร์ของกูเกิลและบริษัทต่างๆ อีกกว่า 30 บริษัทจากแฮคเกอร์ชาวจีน โดยแฮคเกอร์จะทำการควบคุมเครื่องคอมพิวเตอร์ที่ใช้โจมตีผ่านทางช่องโหว่ความปลอดภัยของโปรแกรม Internet Explorer ซึ่งไมโครซอฟท์ได้แจ้งรายละเอียดใน Advisory 979352 สำหรับวัตถุประสงค์ของปฏิบัติการ Operation Aurora คือการขโมยข้อมูลทรัพย์สินทางปัญญา (Intellectual Property) และข้อมูลส่วนตัวของผู้ใช้ (User name และ Password) ที่อยู่บนเครื่องคอมพิวเตอร์ สามารถอ่านรายละเอียดได้ที่ Operation Aurora - The New Internet Explorer Zero-Day
3. ZeuS
ZeuS เป็นบอทเน็ตทูลคิทแบบ do-it-yourself (DIY) ซึ่งได้รับความนิยมอย่างมากในเหล่าผู้สร้างบอทเน็ต โดย ZeuS ถูกใช้เพื่อการสร้างบอทเน็ตต่างๆ เป็นจำนวนมากสำหรับทำหน้าที่ขโมยเงินจากทั้งผู้ใช้ตามบ้านและผู้ใช้ในองค์กรภาคธุรกิจ จนทำให้มันกลายเป็นมัลแวร์อเนกประสงค์ในปัจจุบัน
4. SpyEye
SpyEye นั้นเป็นมัลแวร์ที่มีแนวคิดเดียวกันกับ ZeuS และยังเป็นมัลแวร์ในลักษณะ DIY toolkit เช่นเดียวกันอีกด้วย
5. Koobface
Koobface (เป็นการเล่นคำ koob = book -> bookface - facebook) เป็นมัลแวร์ที่แพร่ระบาดผ่านทางเครือข่ายทางสังคม (Social Network) จากเว็บไซต์ Facebook ไปถึง Twitter โดยผลจากการระบาดของ Koobface ทำให้เว็บไซต์ Facebook ต้องทำการเพิ่ม CAPTCHA ในแบบฟอร์มซับมิตลิงก์
6. Bredolab
Bredolab เป็นบอทเน็ตที่ใช้เป็นสื่อสำหรับการแพร่ระบาดมัลแวร์อื่นๆ โดย Bredolab จะทำตัวเป็นเสมือนแพลตฟอร์มสำหรับติดตั้งมัลแวร์ (Malware-deploying platform) โดยผลจากการระบาดของ Bredolab ส่งผลให้ระบบทั้งหมดของตำรวจในเนเธอแลนด์ล่มในเดือนกันยายน 2553
7. TDSS/Allurion
TDSS/Allurion เป็นรูทคิท (Rootkit) ที่ทำให้เครื่องคอมพิวเตอร์ที่ใช่ระบบปฏิบัติการวินโดวส์จำนวนมากเกิดความผิดพลาดแบบจอฟ้า (Bluescreen) ในเดือนกุมภาพันธ์ 2553 หลังจากที่ไมโครซอฟท์ทำการเลี่ยนแปลงไฟล์ที่มันใช้ในการเข้าติดในระบบ TDSS/Allurion นั้นเป็นรูทคิทที่มีองค์ประกอบที่ซับซ้อนมากที่สุดเท่าที่เคยมี แสดงให้เห็นว่ามันถูกพัฒนาขึ้นโดยทีมที่มีความรู้ความชำนาญเป็นอย่างมาก
8. Mebroot
Mebroot เป็นบอทเน็ตที่ทำการส่งสแปม (Spamming botnet) โดยการใช้รูทคิทที่สามารถหลบหลีกการตรวจจับได้แม้ว่าจะทำการติดตั้งวินโดวส์ใหม่ (Windows reinstallation) โดยมันจะซ่อนตัวอยู่ลึกมากในระบบจนสามารถทำการโหลดก่อนที่วินโดวส์ทำงาน Mebroot เป็นบอทเน็ตที่ทำให้เกิดทราฟฟิกสแปมมากที่สุดของจำนวนการส่งสแปมทั่วโลกในปี 2553
9. FakeAV
ถ้าหากจะว่ากันอย่างตรงไปตรงมาแล้ว FakeAV ไม่ได้เป็นไวรัส แต่เป็นโปรแกรมป้องกันไวรัสปลอมที่ใช้เทคนิคการล่อลวงให้ผู้ใช้ซื้อโปรแกรมโดยการหลอกว่าเครื่องคอมพิวเตอร์ติดไวรัส โดย FakeAV นั้นมีจุดเริ่มต้นจากการตลาดแบบ Affiliation program ซึ่งนายหน้าจะได้เงินก็ต่อเมื่อมีผู้ใช้หลงเชื่อและเสียเงินซื้อโปรแกรมป้องกันไวรัสปลอม
10. Boonana
Boonana นั้นเป็นเวอร์ชันบนเครื่อง Mac ของ Koobface เนื่องจากมันใช้วิธีการแพร่ระบาดผ่านทางเครือข่ายทางสังคมและมีฟังก์ชันต่างๆ เหมือนกับ Koobface แทบทุกประการ
บทความโดย: The Windows Administrator Blog
แหล่งข้อมูลอ้างอิง
• Trend Micro (Malware Blog)
Copyright © 2011 TWA Blog. All Rights Reserved.
Tuesday, September 28, 2010
Stuxnet (Win32/Stuxnet) Virus Threat
ไวรัส Stuxnet โจมตี Windows ผ่านช่องโหว่ความปลอดภัยของ Windows Shell
Win32/Stuxnet หรือ Stuxnet เป็นมัลแวร์แบบหลายคอมโพเนนต์ (Multi-component) คือเป็นทั้ง ประเภท โทรจัน (Trojan) และเวิร์ม (Worm) มีการค้นพบครั้งแรกเมื่อ 16 กรกฏาคม 2553 ที่ผ่านมา เป็นมัลแวร์ที่โจมตี Windows ผ่านช่องโหว่ความปลอดภัยของ Windows Shell (มีกระทบกับ Windows ทุกเวอร์ชัน) ซึ่งไมโครซอฟท์ได้ออกอัปเดทหมายเลข MS10-046 เป็นกรณีพิเศษเพื่อปิดช่องโหว่นี้เมื่อวันที่ 3 สิงหาคม 2553 ตามรายละเอียดใน ไมโครซอฟท์ออกแพตซ์ MS10-046 เป็นกรณีเร่งด่วนเพื่อแก้ปัญหาช่องโหว่ความปลอดภัย Windows
Stuxnet สามารถทำการติดตั้งและดร็อปคอมโพเนนต์ ทำการฉีดโค้ด (Injecting code) เข้าสู่โปรเซสระบบที่กำลังทำงานอยู่เพื่อสร้างช่องทางให้แบ็คดอร์ใช้ในการเข้าถึงและควบคุมเครื่องคอมพิวเตอร์ที่ติดไวรัส
หมายเหตุ: McAfee ระบุว่าเป้าหมายการโจมตีของ Stuxnet คือระบบที่รันซอฟต์แวร์ WinCC SCADA
ประเภท (Type):
- Trojan
ประเภทรอง (SubType):
- Worm
ชื่ออื่นๆ (Aliases):
- Stuxnet
ระดับการเตือนภัย (Alert Level)
Severe
รายละเอียดทางเทคนิค (Technical Information):
Stuxnet เป็นมัลแวร์แบบหลายคอมโพเนนต์ มีการแพร่ระบาดผ่านทางอุปกรณ์เก็บข้อมูลแบบพกพาโดยอาศัยช่องโหว่ความปลอดภัยของ Windows Shell เมื่อเวิร์ม Stuxnet ถูกทำการรันมันจะทำการดร็อปไฟล์ชอร์ตคัท (.Lnk) ที่มีการฝังโค้ดอันตราย (Malicious shortcut) ลงในไดรฟ์อุปกรณ์เก็บข้อมูลแบบพกพา เมื่อมีการใช้งานไดรฟ์ดังกล่าวจากโปรแกรมแอพพลิเคชันที่ทำการแสดงไอคอนของชอร์ตคัท (ตัวอย่างเช่น Windows Explorer) ถ้าคอมพิวเตอร์เครื่องดังกล่าวมีช่องโหว่ความปลอดภัย Windows Shell ก็จะทำให้ไฟล์ชอร์ตคัทถูกรันโดยอัตโนมัติในทันที สำหรับไฟล์ชอร์ตคัทที่เวิร์ม Stuxnet ดร็อปลงในเครื่องนั้นโปรแกรมป้องกันไวรัสจะตรวจพบในชื่อ Exploit:Win32/CplLnk.A
สำหรับช่องโหว่ความปลอดภัยของ Windows Shell ที่ Stuxnet ใช้เป็นช่องทางในการแพร่ระบาดนั้นถูกค้นพบเมื่อวันที่ 16 กรกฏาคม 2553 และไมโครซอฟท์ได้ออกอัปเดทหมายเลข MS10-046 เป็นกรณีพิเศษเพื่อปิดช่องโหว่นี้ตั้งแต่วันที่ 3 สิงหาคม 2553 สำหรับรายละเอียดเพิ่มเติมสามารถอ่านได้ที่ พบช่องโหว่ความปลอดภัยร้ายแรงใน Windows Shell กระทบกับ Windows ทุกเวอร์ชัน
Stuxnet นั้นมีหลายคอมโพเนนต์ได้แก่
- TrojanDropper:Win32/Stuxnet - เป็นคอมโพเนนต์ที่ทำหน้าที่ดร็อปและติดตั้งคอมโพเนนต์ต่างๆ ของ Stuxnet
- Trojan:WinNT/Stuxnet - เป็นไดรเวอร์คอมโพเนนต์ที่ทำหน้าที่โหลด/รันคอมโพเนนต์ที่เป็น Worm:Win32/Stuxnet
- Worm:Win32/Stuxnet - เป็นคอมโพเนนต์ที่ทำหน้าที่แพร่กระจายไวรัส
อาการ (Symptoms):
สำหรับเครื่องคอมพิวเตอร์ที่ติดไทรจัน จะมีการเปลี่ยนแปลงระบบดังนี้
• มีไฟล์ shortcut (.lnk) อยู่ในไดรฟ์เก็บข้อมูลแบบพกพา
• มีไฟล์ดังนี้อยู่ในเครื่อง
- ~WTR4132.tmp
- %System%\drivers\mrxcls.sys
- %System%\drivers\mrxnet.sys
- %Windir%\inf\mdmcpq3.PNF
- %Windir%\inf\mdmeric3.PNF
- %Windir%\inf\oem6C.PNF
- %Windir%\inf\oem7A.PNF
• มีการแก้ไขรีจีสทรีย์ดังนี้
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls
- Description: "MRXCLS"
- DisplayName: "MRXCLS"
- ErrorControl: 0x00000000
- Group: "Network"
- ImagePath: "%system%\Drivers\mrxcls.sys"
- Start: 0x00000001
- Type: 0x00000001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Enum
- 0: "Root\LEGACY_MRXCLS\0000"
- Count: 0x00000001
- NextInstance: 0x00000001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet
- Description: "MRXNET"
- DisplayName: "MRXNET"
- ErrorControl: 0x00000000
- Group: "Network"
- ImagePath: "%system%\Drivers\mrxnet.sys"
- Start: 0x00000001
- Type: 0x00000001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet\Enum
- 0: "Root\LEGACY_MRXNET\0000"
- Count: 0x00000001
- NextInstance: 0x00000001
วิธีการป้องกัน
- ทำการติดตั้งอัปเดทหมายเลข MS10-046
และเพื่อเพิ่มระดับความปลอดภัยในการป้องกันการโจมตีจากไวัส แนะนำให้ดำเนินการ ดังนี้
- เปิดใช้งาน Firewall
- ทำการอัปเดทวินโดวส์และซอฟต์แวร์ต่างๆ ให้เป็นอัปเดทล่าสุดเสมอ
- ทำการอัปเดทโปรแกรมป้องกันไวรัส
- จำกัดจำนวนผู้ใช้ที่มีสิทธิพิเศษบนเครื่องคอมพิวเตอร์
- ใช้ความระมัดระวังเป็นพิเศษในการเปิดไฟล์ที่แนบมากับอีเมลหรือไฟล์ที่ได้จากอินเทอร์เน็ต
- ใช้ความระมัดระวังเป็นพิเศษในคลิกลิงก์ที่แนบมาทางอีเมล
- หลีกเลี่ยงการดาวน์โหลดซอฟท์แวร์ผิดกฏหมาย
- ระมัดระวังและปกป้องตนเองจากการโจมตีด้วยวิธีการวิศวกรรมทางสังคม (social engineering)
- ใช้รหัสผ่านที่มีความแข็งแกร่งยากต่อการคาดเดา
วิธีการแก้ไข
สามารถกำจัด Win32/Stuxnet โดยการสแกนด้วยโปรแกรมป้องกันไวรัส เช่น Microsoft Security Essentials หรือ AVG Anti-Virus Free Edition หรือ Avast! Free Antivirus ทั้งนี้ให้ทำการอัปเดทไวรัสเดฟินิชันให้เป็นเวอร์ชันใหม่ล่าสุดก่อนทำการสแกน
บทความโดย: Thai Windows Administrator Blog
แหล่งข้อมูลอ้างอิง
• Microsoft Virus Encyclopedia
• McAfee Threat Center
Copyright © 2010 TWA Blog. All Rights Reserved.
Win32/Stuxnet หรือ Stuxnet เป็นมัลแวร์แบบหลายคอมโพเนนต์ (Multi-component) คือเป็นทั้ง ประเภท โทรจัน (Trojan) และเวิร์ม (Worm) มีการค้นพบครั้งแรกเมื่อ 16 กรกฏาคม 2553 ที่ผ่านมา เป็นมัลแวร์ที่โจมตี Windows ผ่านช่องโหว่ความปลอดภัยของ Windows Shell (มีกระทบกับ Windows ทุกเวอร์ชัน) ซึ่งไมโครซอฟท์ได้ออกอัปเดทหมายเลข MS10-046 เป็นกรณีพิเศษเพื่อปิดช่องโหว่นี้เมื่อวันที่ 3 สิงหาคม 2553 ตามรายละเอียดใน ไมโครซอฟท์ออกแพตซ์ MS10-046 เป็นกรณีเร่งด่วนเพื่อแก้ปัญหาช่องโหว่ความปลอดภัย Windows
Stuxnet สามารถทำการติดตั้งและดร็อปคอมโพเนนต์ ทำการฉีดโค้ด (Injecting code) เข้าสู่โปรเซสระบบที่กำลังทำงานอยู่เพื่อสร้างช่องทางให้แบ็คดอร์ใช้ในการเข้าถึงและควบคุมเครื่องคอมพิวเตอร์ที่ติดไวรัส
หมายเหตุ: McAfee ระบุว่าเป้าหมายการโจมตีของ Stuxnet คือระบบที่รันซอฟต์แวร์ WinCC SCADA
ประเภท (Type):
- Trojan
ประเภทรอง (SubType):
- Worm
ชื่ออื่นๆ (Aliases):
- Stuxnet
ระดับการเตือนภัย (Alert Level)
Severe
รายละเอียดทางเทคนิค (Technical Information):
Stuxnet เป็นมัลแวร์แบบหลายคอมโพเนนต์ มีการแพร่ระบาดผ่านทางอุปกรณ์เก็บข้อมูลแบบพกพาโดยอาศัยช่องโหว่ความปลอดภัยของ Windows Shell เมื่อเวิร์ม Stuxnet ถูกทำการรันมันจะทำการดร็อปไฟล์ชอร์ตคัท (.Lnk) ที่มีการฝังโค้ดอันตราย (Malicious shortcut) ลงในไดรฟ์อุปกรณ์เก็บข้อมูลแบบพกพา เมื่อมีการใช้งานไดรฟ์ดังกล่าวจากโปรแกรมแอพพลิเคชันที่ทำการแสดงไอคอนของชอร์ตคัท (ตัวอย่างเช่น Windows Explorer) ถ้าคอมพิวเตอร์เครื่องดังกล่าวมีช่องโหว่ความปลอดภัย Windows Shell ก็จะทำให้ไฟล์ชอร์ตคัทถูกรันโดยอัตโนมัติในทันที สำหรับไฟล์ชอร์ตคัทที่เวิร์ม Stuxnet ดร็อปลงในเครื่องนั้นโปรแกรมป้องกันไวรัสจะตรวจพบในชื่อ Exploit:Win32/CplLnk.A
สำหรับช่องโหว่ความปลอดภัยของ Windows Shell ที่ Stuxnet ใช้เป็นช่องทางในการแพร่ระบาดนั้นถูกค้นพบเมื่อวันที่ 16 กรกฏาคม 2553 และไมโครซอฟท์ได้ออกอัปเดทหมายเลข MS10-046 เป็นกรณีพิเศษเพื่อปิดช่องโหว่นี้ตั้งแต่วันที่ 3 สิงหาคม 2553 สำหรับรายละเอียดเพิ่มเติมสามารถอ่านได้ที่ พบช่องโหว่ความปลอดภัยร้ายแรงใน Windows Shell กระทบกับ Windows ทุกเวอร์ชัน
Stuxnet นั้นมีหลายคอมโพเนนต์ได้แก่
- TrojanDropper:Win32/Stuxnet - เป็นคอมโพเนนต์ที่ทำหน้าที่ดร็อปและติดตั้งคอมโพเนนต์ต่างๆ ของ Stuxnet
- Trojan:WinNT/Stuxnet - เป็นไดรเวอร์คอมโพเนนต์ที่ทำหน้าที่โหลด/รันคอมโพเนนต์ที่เป็น Worm:Win32/Stuxnet
- Worm:Win32/Stuxnet - เป็นคอมโพเนนต์ที่ทำหน้าที่แพร่กระจายไวรัส
อาการ (Symptoms):
สำหรับเครื่องคอมพิวเตอร์ที่ติดไทรจัน จะมีการเปลี่ยนแปลงระบบดังนี้
• มีไฟล์ shortcut (.lnk) อยู่ในไดรฟ์เก็บข้อมูลแบบพกพา
• มีไฟล์ดังนี้อยู่ในเครื่อง
- ~WTR4132.tmp
- %System%\drivers\mrxcls.sys
- %System%\drivers\mrxnet.sys
- %Windir%\inf\mdmcpq3.PNF
- %Windir%\inf\mdmeric3.PNF
- %Windir%\inf\oem6C.PNF
- %Windir%\inf\oem7A.PNF
• มีการแก้ไขรีจีสทรีย์ดังนี้
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls
- Description: "MRXCLS"
- DisplayName: "MRXCLS"
- ErrorControl: 0x00000000
- Group: "Network"
- ImagePath: "%system%\Drivers\mrxcls.sys"
- Start: 0x00000001
- Type: 0x00000001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxCls\Enum
- 0: "Root\LEGACY_MRXCLS\0000"
- Count: 0x00000001
- NextInstance: 0x00000001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet
- Description: "MRXNET"
- DisplayName: "MRXNET"
- ErrorControl: 0x00000000
- Group: "Network"
- ImagePath: "%system%\Drivers\mrxnet.sys"
- Start: 0x00000001
- Type: 0x00000001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MRxNet\Enum
- 0: "Root\LEGACY_MRXNET\0000"
- Count: 0x00000001
- NextInstance: 0x00000001
วิธีการป้องกัน
- ทำการติดตั้งอัปเดทหมายเลข MS10-046
และเพื่อเพิ่มระดับความปลอดภัยในการป้องกันการโจมตีจากไวัส แนะนำให้ดำเนินการ ดังนี้
- เปิดใช้งาน Firewall
- ทำการอัปเดทวินโดวส์และซอฟต์แวร์ต่างๆ ให้เป็นอัปเดทล่าสุดเสมอ
- ทำการอัปเดทโปรแกรมป้องกันไวรัส
- จำกัดจำนวนผู้ใช้ที่มีสิทธิพิเศษบนเครื่องคอมพิวเตอร์
- ใช้ความระมัดระวังเป็นพิเศษในการเปิดไฟล์ที่แนบมากับอีเมลหรือไฟล์ที่ได้จากอินเทอร์เน็ต
- ใช้ความระมัดระวังเป็นพิเศษในคลิกลิงก์ที่แนบมาทางอีเมล
- หลีกเลี่ยงการดาวน์โหลดซอฟท์แวร์ผิดกฏหมาย
- ระมัดระวังและปกป้องตนเองจากการโจมตีด้วยวิธีการวิศวกรรมทางสังคม (social engineering)
- ใช้รหัสผ่านที่มีความแข็งแกร่งยากต่อการคาดเดา
วิธีการแก้ไข
สามารถกำจัด Win32/Stuxnet โดยการสแกนด้วยโปรแกรมป้องกันไวรัส เช่น Microsoft Security Essentials หรือ AVG Anti-Virus Free Edition หรือ Avast! Free Antivirus ทั้งนี้ให้ทำการอัปเดทไวรัสเดฟินิชันให้เป็นเวอร์ชันใหม่ล่าสุดก่อนทำการสแกน
บทความโดย: Thai Windows Administrator Blog
แหล่งข้อมูลอ้างอิง
• Microsoft Virus Encyclopedia
• McAfee Threat Center
Copyright © 2010 TWA Blog. All Rights Reserved.
Thursday, July 8, 2010
Cross Site Scripting (XSS) Bug Found on YouTube
แฮกเกอร์โจมตีเว็บไซต์ YouTube ผ่านทางข้อบกพร่องแบบ Cross Site Scripting (XSS)
บทความโดย: Windows Administrator Blog
ในช่วงปลายสัปดาห์ที่ผ่านมามีรายงานว่าแฮกเกอร์ได้โจมตีเว็บไซต์ YouTube ด้วยการฝังโค้ด JavaScript ไว้ในคอมเมนต์โดยอาศัยข้อบกพร่องแบบ Cross Site Scripting (XSS) อย่างไรก็ตาม หลังจากได้รับรายงานการโจมตี Google ก็ได้ทำการแพตซ์ข้อบกพร่องดังกล่าวนี้ในทันที สำหรับเป้าหมายของการโจมตีจะพุ่งไปยังคลิปวีดีโอของ "Justin Bieber" ที่เป็นนักร้องขวัญใจวันรุ่นและมีแฟนคลับบนโลกออนไลน์เป็นจำนวนมาก
โดย Google ได้ออกแถลงการณ์อย่างเป็นทางการแจ้งว่า การแก้ไขปัญหาครั้งนี้ใช้เวลาในการดำเนินการจำนวน 2 ชั่วโมง และในระหว่างที่ทำแก้ไขปัญหานั้นเว็บไซต์ YouTube จะไม่ทำการแสดงคอมเมนต์เป็นเวลา 1 ชั่วโมง ทั้งนี้ Google ได้กล่าวในตอนท้ายของแถลงการณ์ว่า "จะทำการศึกษาถึงการเกิดปัญหาครั้งนี้เป็นกรณีตัวอย่างเพื่อป้องกันไม่ให้เกิดปัญหาลักษณะนี้อีกในอนาคต"
สำหรับข้อบกพร่องแบบ Cross Site Scripting ที่พบในครั้งนี้ ทำให้แฮกเกอร์สามารถใส่โค้ด JavaScript ลงในคอมเมนต์ของเว็บไซต์ YouTube ได้ ค้นพบโดยแฮกเกอร์หมวกเทา (Grey Hat Hacker) ชาวโรมาเนียที่เรียกตัวเองว่า "TinKode" ซึ่งหลังจากค้นพบได้นำไปโพสต์ในบล็อกเมื่อวันเสาร์ 3 กรกฏาคม 2553 หลังจากนั้นไม่นานแฮกเกอร์ซึ่งเป็นสมาชิกของ "4chan" ก็เริ่มลงมือทำการโจมตีบรรดาแฟนคลับของ Justin Bieber
นอกจากนี้ ยังมีข่าวลือว่าเริ่มมีไวรัสแพร่ระบาดโดยใช้ข้อบกพร่องแบบ Cross Site Scripting ดังกล่าวนี้แล้ว โดยข่าวนี้มีการแพร่กระจายไปอย่างรวดเร็วบนทวิตเตอร์ ข้อความดังนี้
"Listen up guys : Don't watch any youtube videos or comment them today, there's a virus! Spread!," made it into the "top tweets."
โดย Mikko H. Hypponen ซึ่งเป็นหัวหน้าฝ่ายวิจัย (Chief Research Officer) ของ F-Secure และเป็นผู้เชี่ยวชาญด้านความปลอดภัยได้วิเคราะห์และอธิบายข้อความที่โพสต์บนทวิตเตอร์ว่า การใส่แท็ก '' ที่ 2 ในคอมเมนต์ของ YouTube จะทำให้สามารถฝังโค้ด JavaScript ลงในคอมเมนต์ได้
อนึ่ง ข้อบกพร่องแบบ Cross-site scripting นั้นจะทำให้ไม่สามารถทำการตรวจสอบผู้ใช้ที่ทำการส่งข้อมูลผ่านทางฟอร์มบนหน้าเว็บได้ ทำให้แฮกเกอร์สามารถใช้เป็นช่องทางในการโจมตีโดยการฉีดโค้ดที่ไม่ได้รับอนุญาตเข้าในหน้าเว็บ โดยข้อบกพร่องแบบ Cross-site scripting มีอยู่หลายประเภทและส่วนใหญ่จะยังไม่ได้รับการแก้ไข ทำให้มีผลกระทบอย่างถาวรต่อหน้าเว็บ เนื่องจากแฮกเกอร์สามารถที่จะใช้โจมตีระบบได้ง่ายๆ เพียงแค่หลอกล่อผู้ใช้ให้เปิดยูอาร์แอลประสงค์ร้ายเท่านั้น
แหล่งข้อมูลอ้างอิง
• Softpedia
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Windows Administrator Blog
ในช่วงปลายสัปดาห์ที่ผ่านมามีรายงานว่าแฮกเกอร์ได้โจมตีเว็บไซต์ YouTube ด้วยการฝังโค้ด JavaScript ไว้ในคอมเมนต์โดยอาศัยข้อบกพร่องแบบ Cross Site Scripting (XSS) อย่างไรก็ตาม หลังจากได้รับรายงานการโจมตี Google ก็ได้ทำการแพตซ์ข้อบกพร่องดังกล่าวนี้ในทันที สำหรับเป้าหมายของการโจมตีจะพุ่งไปยังคลิปวีดีโอของ "Justin Bieber" ที่เป็นนักร้องขวัญใจวันรุ่นและมีแฟนคลับบนโลกออนไลน์เป็นจำนวนมาก
โดย Google ได้ออกแถลงการณ์อย่างเป็นทางการแจ้งว่า การแก้ไขปัญหาครั้งนี้ใช้เวลาในการดำเนินการจำนวน 2 ชั่วโมง และในระหว่างที่ทำแก้ไขปัญหานั้นเว็บไซต์ YouTube จะไม่ทำการแสดงคอมเมนต์เป็นเวลา 1 ชั่วโมง ทั้งนี้ Google ได้กล่าวในตอนท้ายของแถลงการณ์ว่า "จะทำการศึกษาถึงการเกิดปัญหาครั้งนี้เป็นกรณีตัวอย่างเพื่อป้องกันไม่ให้เกิดปัญหาลักษณะนี้อีกในอนาคต"
สำหรับข้อบกพร่องแบบ Cross Site Scripting ที่พบในครั้งนี้ ทำให้แฮกเกอร์สามารถใส่โค้ด JavaScript ลงในคอมเมนต์ของเว็บไซต์ YouTube ได้ ค้นพบโดยแฮกเกอร์หมวกเทา (Grey Hat Hacker) ชาวโรมาเนียที่เรียกตัวเองว่า "TinKode" ซึ่งหลังจากค้นพบได้นำไปโพสต์ในบล็อกเมื่อวันเสาร์ 3 กรกฏาคม 2553 หลังจากนั้นไม่นานแฮกเกอร์ซึ่งเป็นสมาชิกของ "4chan" ก็เริ่มลงมือทำการโจมตีบรรดาแฟนคลับของ Justin Bieber
นอกจากนี้ ยังมีข่าวลือว่าเริ่มมีไวรัสแพร่ระบาดโดยใช้ข้อบกพร่องแบบ Cross Site Scripting ดังกล่าวนี้แล้ว โดยข่าวนี้มีการแพร่กระจายไปอย่างรวดเร็วบนทวิตเตอร์ ข้อความดังนี้
"Listen up guys : Don't watch any youtube videos or comment them today, there's a virus! Spread!," made it into the "top tweets."
โดย Mikko H. Hypponen ซึ่งเป็นหัวหน้าฝ่ายวิจัย (Chief Research Officer) ของ F-Secure และเป็นผู้เชี่ยวชาญด้านความปลอดภัยได้วิเคราะห์และอธิบายข้อความที่โพสต์บนทวิตเตอร์ว่า การใส่แท็ก '' ที่ 2 ในคอมเมนต์ของ YouTube จะทำให้สามารถฝังโค้ด JavaScript ลงในคอมเมนต์ได้
อนึ่ง ข้อบกพร่องแบบ Cross-site scripting นั้นจะทำให้ไม่สามารถทำการตรวจสอบผู้ใช้ที่ทำการส่งข้อมูลผ่านทางฟอร์มบนหน้าเว็บได้ ทำให้แฮกเกอร์สามารถใช้เป็นช่องทางในการโจมตีโดยการฉีดโค้ดที่ไม่ได้รับอนุญาตเข้าในหน้าเว็บ โดยข้อบกพร่องแบบ Cross-site scripting มีอยู่หลายประเภทและส่วนใหญ่จะยังไม่ได้รับการแก้ไข ทำให้มีผลกระทบอย่างถาวรต่อหน้าเว็บ เนื่องจากแฮกเกอร์สามารถที่จะใช้โจมตีระบบได้ง่ายๆ เพียงแค่หลอกล่อผู้ใช้ให้เปิดยูอาร์แอลประสงค์ร้ายเท่านั้น
แหล่งข้อมูลอ้างอิง
• Softpedia
© 2010 TWA Blog. All Rights Reserved.
Tuesday, July 6, 2010
Backdoor:Win32/Yonsole.A
โทรจัน Win32/Yonsole.A โจมตี MBR ทำให้วินโดวส์บูทไม่ขึ้น
บทความโดย: Windows Administrator Blog
MMPC (Microsoft Malware Protection Center) ได้ประกาศว่าพบแบ็คดอร์โทรจัน (Backdoor Trojan) ตัวใหม่ชื่อ Win32/Yonsole.A ซึ่งเป็นโทรจันที่ทำหน้าที่เชื่อมต่อเครื่องคอมพิวเตอร์ที่มันติดอยู่กับเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี (Attacker) เพื่อทำการรับคำสั่งการทำงาน
โดยโทรจัน Win32/Yonsole.A สามารถทำการแก้ไขข้อมูล Master Boot Record (MBR) ของฮาร์ดดิสก์ของเครื่องคอมพิวเตอร์ที่ส่งผลให้ไม่สามารถบูทระบบได้ โดยโค้ดของ MBR ที่ถูกแก้ไขจะมีลักษณะดังรูปที่ 1
เมื่อทำการบูทเครื่องที่โดนโทรจัน Win32/Yonsole.A แก้ไข MBR จะแสดงหน้าจอดำพร้อมแบนเนอร์ดังรูปที่ 2
สำหรับรายละเอียดของโทรจัน Win32/Yonsole.A มีดังนี้
ชื่ออื่นๆ (Aliases):
- Win-Trojan/Torr.111104.AL (AhnLab) W32/OnlineGames.EI.gen!Eldorado (Authentium (Command))
- Backdoor.Win32.Torr.cep (Kaspersky)
- Trojan:Win32/Malagent (Microsoft)
- Backdoor.Torr.QS (VirusBuster)
- Trojan horse Dropper.Generic2.DJQ (AVG)
- Trojan.Generic.3777760 (BitDefender)
- Win32/Tnega.AJE (CA)
- Win32/Farfli.AK (ESET)
- Backdoor.Win32.Torr (Ikarus)
- Generic BackDoor!cqn (McAfee)
- Trj/Downloader.MDW (Panda)
- Trojan.Win32.Generic.5200D50B (Rising AV)
- Troj/Bckdr-RBZ (Sophos)
- Trojan.Win32.Generic!BT (Sunbelt Software)
- Mal_PClient (Trend Micro)
ระดับการเตือนภัย (Alert Level)
Severe
อาการ (Symptoms):
สำหรับเครื่องคอมพิวเตอร์ที่ติดไทรจัน จะมีการเปลี่ยนแปลงระบบดังนี้
• มีไฟล์ f00165500k.cmd อยู่ในเครื่อง
• มีการแก้ไขรีจีสทรีย์ดังนี้
- Adds value: "ServiceDll"
- With data: "\f00165500k.cmd"
- Under key: HKLM\SYSTEM\CurrentControlSet\Services\F00165500K\Parameters
วิธีการป้องกัน
- เปิดใช้งาน Firewall
- ทำการอัพเดทวินโดวส์และซอฟต์แวร์ต่างๆ ให้เป็นอัพเดทล่าสุดเสมอ
- ทำการอัพเดทโปรแกรมป้องกันไวรัส
- จำกัดจำนวนผู้ใช้ที่มีสิทธิพิเศษบนเครื่องคอมพิวเตอร์
- ใช้ความระมัดระวังเป็นพิเศษในการเปิดไฟล์ที่แนบมากับอีเมลหรือไฟล์ที่ได้จากอินเทอร์เน็ต
- ใช้ความระมัดระวังเป็นพิเศษในคลิกลิงก์ที่แนบมาทางอีเมล
- หลีกเลี่ยงการดาวน์โหลดซอฟท์แวร์ผิดกฏหมาย
- ระมัดระวังและปกป้องตนเองจากการโจมตีด้วยวิธีการวิศวกรรมทางสังคม (social engineering)
- ใช้รหัสผ่านที่มีความแข็งแกร่งยากต่อการคาดเดา
วิธีการแก้ไข
สามารถกำจัดโทรจัน Win32/Yonsole.A โดยการสแกนด้วยโปรแกรมป้องกันไวรัส เช่น Microsoft Security Essentials หรือ AVG Anti-Virus Free Edition หรือ Avast! Free Antivirus ทั้งนี้ให้ทำการอัพเดทไวรัสเดฟินิชันให้เป็นเวอร์ชันใหม่ล่าสุดก่อนทำการสแกน
แหล่งข้อมูลอ้างอิง
• Microsoft Technet
• ไมโครซอฟท์ ไวรัสเอ็นไซโคพีเดีย
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Windows Administrator Blog
MMPC (Microsoft Malware Protection Center) ได้ประกาศว่าพบแบ็คดอร์โทรจัน (Backdoor Trojan) ตัวใหม่ชื่อ Win32/Yonsole.A ซึ่งเป็นโทรจันที่ทำหน้าที่เชื่อมต่อเครื่องคอมพิวเตอร์ที่มันติดอยู่กับเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี (Attacker) เพื่อทำการรับคำสั่งการทำงาน
โดยโทรจัน Win32/Yonsole.A สามารถทำการแก้ไขข้อมูล Master Boot Record (MBR) ของฮาร์ดดิสก์ของเครื่องคอมพิวเตอร์ที่ส่งผลให้ไม่สามารถบูทระบบได้ โดยโค้ดของ MBR ที่ถูกแก้ไขจะมีลักษณะดังรูปที่ 1
Credit: Microsoft
เมื่อทำการบูทเครื่องที่โดนโทรจัน Win32/Yonsole.A แก้ไข MBR จะแสดงหน้าจอดำพร้อมแบนเนอร์ดังรูปที่ 2
Credit: Microsoft
สำหรับรายละเอียดของโทรจัน Win32/Yonsole.A มีดังนี้
ชื่ออื่นๆ (Aliases):
- Win-Trojan/Torr.111104.AL (AhnLab) W32/OnlineGames.EI.gen!Eldorado (Authentium (Command))
- Backdoor.Win32.Torr.cep (Kaspersky)
- Trojan:Win32/Malagent (Microsoft)
- Backdoor.Torr.QS (VirusBuster)
- Trojan horse Dropper.Generic2.DJQ (AVG)
- Trojan.Generic.3777760 (BitDefender)
- Win32/Tnega.AJE (CA)
- Win32/Farfli.AK (ESET)
- Backdoor.Win32.Torr (Ikarus)
- Generic BackDoor!cqn (McAfee)
- Trj/Downloader.MDW (Panda)
- Trojan.Win32.Generic.5200D50B (Rising AV)
- Troj/Bckdr-RBZ (Sophos)
- Trojan.Win32.Generic!BT (Sunbelt Software)
- Mal_PClient (Trend Micro)
ระดับการเตือนภัย (Alert Level)
Severe
อาการ (Symptoms):
สำหรับเครื่องคอมพิวเตอร์ที่ติดไทรจัน จะมีการเปลี่ยนแปลงระบบดังนี้
• มีไฟล์ f00165500k.cmd อยู่ในเครื่อง
• มีการแก้ไขรีจีสทรีย์ดังนี้
- Adds value: "ServiceDll"
- With data: "
- Under key: HKLM\SYSTEM\CurrentControlSet\Services\F00165500K\Parameters
วิธีการป้องกัน
- เปิดใช้งาน Firewall
- ทำการอัพเดทวินโดวส์และซอฟต์แวร์ต่างๆ ให้เป็นอัพเดทล่าสุดเสมอ
- ทำการอัพเดทโปรแกรมป้องกันไวรัส
- จำกัดจำนวนผู้ใช้ที่มีสิทธิพิเศษบนเครื่องคอมพิวเตอร์
- ใช้ความระมัดระวังเป็นพิเศษในการเปิดไฟล์ที่แนบมากับอีเมลหรือไฟล์ที่ได้จากอินเทอร์เน็ต
- ใช้ความระมัดระวังเป็นพิเศษในคลิกลิงก์ที่แนบมาทางอีเมล
- หลีกเลี่ยงการดาวน์โหลดซอฟท์แวร์ผิดกฏหมาย
- ระมัดระวังและปกป้องตนเองจากการโจมตีด้วยวิธีการวิศวกรรมทางสังคม (social engineering)
- ใช้รหัสผ่านที่มีความแข็งแกร่งยากต่อการคาดเดา
วิธีการแก้ไข
สามารถกำจัดโทรจัน Win32/Yonsole.A โดยการสแกนด้วยโปรแกรมป้องกันไวรัส เช่น
แหล่งข้อมูลอ้างอิง
• Microsoft Technet
• ไมโครซอฟท์ ไวรัสเอ็นไซโคพีเดีย
© 2010 TWA Blog. All Rights Reserved.
Tuesday, June 22, 2010
Mitigation for Adobe Reader and Acrobat 9.x
วิธีป้องกันไวรัสที่แฝงมากับไฟล์ PDF สำหรับผู้ใช้ Adobe Reader และ Acrobat 9.x บนระบบ Windows
บทความโดย: Windows Administrator Blog
สืบเนื่องจากการพบช่องโหว่ความปลอดภัยในไฟล์ authplay.dll ที่มาพร้อมกับโปรแกรม Adobe Reader และ Acrobat 9.3.2 และเก่ากว่าเวอร์ชันสำหรับระบบ Windows, MAC และ UNIX ดังรายละเอียดที่โพสต์ไปก่อนหน้านี้ อ่านรายละเอียด »
เนื่องจากในปัจจุบันยังไม่มีวิธีการแก้ไข โดย Adobe กำลังพัฒนาอัพเดทสำหรับใช้แก้ปัญหาและจะออกให้ดาวน์โหลดในวันที่ 29 มิถุนายน 2553 ดังนั้นเพื่อความปลอดภัยในระหว่างที่รอการอัพเดทจาก Adobe ผู้ที่ใช้โปรแกรม Adobe Reader และ Acrobat เวอร์ชันที่ได้รับผลกระทบควรป้องกันตนเองตามวิธีการดังนี้
• ผู้ใช้ Adobe Reader 9.x เวอร์ชันสำหรับ Windows ให้เปิดไปที่โฟลเดอร์ C:\Program Files\Adobe\Reader 9.0\Reader\
• ผู้ใช้ Acrobat 9.x ให้เปิดไปที่โฟลเดอร์ C:\Program Files\Adobe\Acrobat 9.0\Acrobat\ จากนั้นคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Rename
จากนั้นดำเนินการข้อใดข้อหนึ่งดังนี้
1. เปลี่ยนชื่อไฟล์ authplay.dll โดยคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Rename พิมพ์ชื่อไฟล์ที่ต้องการ ตัวอย่างเช่น authplay_bak.dllเสร็จแล้วกดปุ่ม Enter
2. ทำการลบไฟล์ authplay.dll โดยคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Delete
3. ยกเลิกการแอคเซสไฟล์ authplay.dll โดยคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Properties จากนั้นในหน้าไดอะล็อกบ็อกซ์ "authplay.dll Properties" ให้คลิกแท็บ "Security" แล้วทำการกำหนดค่า Permission ของผู้ใช้ทั้งหมด ยกเว้น SYSTEM เป็น Deny เสร็จแลัวคลิก OK แล้วคลิก Yes ในหน้าไดอะล็อกบ็อกซ์ Security เพื่อยืนยันการตั้งค่า
ข้อควรทราบ
วิธีการด้านบนจะส่งผลให้การทำงานของโปรแกรม Adobe Reader และ Acrobat เกิดความผิดพลาดในบางสถานการณ์ ตัวอย่างเช่น ได้รับแจ้งข้อผิดพลาดเมื่อทำการเปิดไฟล์ PDF ที่มีมีการบรรจุเนื้อหา SWF อยู่ภายใน เป็นต้น
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Windows Administrator Blog
สืบเนื่องจากการพบช่องโหว่ความปลอดภัยในไฟล์ authplay.dll ที่มาพร้อมกับโปรแกรม Adobe Reader และ Acrobat 9.3.2 และเก่ากว่าเวอร์ชันสำหรับระบบ Windows, MAC และ UNIX ดังรายละเอียดที่โพสต์ไปก่อนหน้านี้ อ่านรายละเอียด »
เนื่องจากในปัจจุบันยังไม่มีวิธีการแก้ไข โดย Adobe กำลังพัฒนาอัพเดทสำหรับใช้แก้ปัญหาและจะออกให้ดาวน์โหลดในวันที่ 29 มิถุนายน 2553 ดังนั้นเพื่อความปลอดภัยในระหว่างที่รอการอัพเดทจาก Adobe ผู้ที่ใช้โปรแกรม Adobe Reader และ Acrobat เวอร์ชันที่ได้รับผลกระทบควรป้องกันตนเองตามวิธีการดังนี้
• ผู้ใช้ Adobe Reader 9.x เวอร์ชันสำหรับ Windows ให้เปิดไปที่โฟลเดอร์ C:\Program Files\Adobe\Reader 9.0\Reader\
• ผู้ใช้ Acrobat 9.x ให้เปิดไปที่โฟลเดอร์ C:\Program Files\Adobe\Acrobat 9.0\Acrobat\ จากนั้นคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Rename
จากนั้นดำเนินการข้อใดข้อหนึ่งดังนี้
1. เปลี่ยนชื่อไฟล์ authplay.dll โดยคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Rename พิมพ์ชื่อไฟล์ที่ต้องการ ตัวอย่างเช่น authplay_bak.dllเสร็จแล้วกดปุ่ม Enter
2. ทำการลบไฟล์ authplay.dll โดยคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Delete
3. ยกเลิกการแอคเซสไฟล์ authplay.dll โดยคลิกขวาบนไฟล์ authplay.dll แล้วเลือก Properties จากนั้นในหน้าไดอะล็อกบ็อกซ์ "authplay.dll Properties" ให้คลิกแท็บ "Security" แล้วทำการกำหนดค่า Permission ของผู้ใช้ทั้งหมด ยกเว้น SYSTEM เป็น Deny เสร็จแลัวคลิก OK แล้วคลิก Yes ในหน้าไดอะล็อกบ็อกซ์ Security เพื่อยืนยันการตั้งค่า
ข้อควรทราบ
วิธีการด้านบนจะส่งผลให้การทำงานของโปรแกรม Adobe Reader และ Acrobat เกิดความผิดพลาดในบางสถานการณ์ ตัวอย่างเช่น ได้รับแจ้งข้อผิดพลาดเมื่อทำการเปิดไฟล์ PDF ที่มีมีการบรรจุเนื้อหา SWF อยู่ภายใน เป็นต้น
© 2010 TWA Blog. All Rights Reserved.
Sunday, June 20, 2010
Number of Infected PDF Files on the Rise
ระวัง! จำนวนมัลแวร์ที่แฝงมากับไฟล์เอกสาร PDF เพิ่มมากขึ้น
บทความโดย: Windows Administrator Blog
Avira บริษัทพัฒนาซอฟท์แวร์ด้านความปลอดภัยชื่อดังสัญชาติเยอรมัน เจ้าของโปรแกรม Avira AntiVir (ซึ่งมีเวอร์ชัน Personal ให้ใช้ฟรี) ได้รายงานสถิติการตรวจพบภัยคุกคามทางออนไลน์ซึ่งแบ่งออกเป็น 3 ประเภท คือ ฟิชชิ่ง (Phishing), สแปม (Spam) และมัลแวร์ (Malware) ในเดือนพฤษภาคม 2553 ผลปรากฏว่า มีการแพร่ระบาดของมัลแวร์ผ่านทางไฟล์ PDF เพิ่มขึ้นถึง 52.15% เมื่อเทียบกับเดือนเมษายน โดยรหัสโดเมนของประเทศ (Top Level Domain หรือ TLD) ของเว็บไซต์ที่มีการตรวจพบมัลแวร์มากที่สุดคือ โดเมน .ru ส่วนโดเมน .br จะเป็นรหัสโดเมนของประเทศของเว็บไซต์ที่ถูกใช้ในการทำฟิชชิ่งมากที่สุด
ประเภทไฟล์ที่ติดไวรัส
สำหรับประเภทไฟล์ที่ใช้ในการแพร่ระบาดมัลแวร์มากที่สุดได้แก่ไฟล์นามสกุล .exe, .txt, .php, .jpg, .dll, .pdf, .gif และ .com ตามลำดับ และมีมัลแวร์ที่แพร่ระบาดถึง 31% ที่เป็นไฟล์ที่ไม่มีนามสกุล โดยไฟล์เอกสารประเภท PDF นั้นมีสัดส่วนเพียง 1.20% ของจำนวนไฟล์ที่ตรวจพบมัลแวร์ทั้งหมด แต่ประเด็นสำคัญคือมีจำนวนเพิ่มขึ้นถึง 52.15% เมื่อเทียบกับเดือนเมษายน สำหรับประเภทของไฟล์ที่มีจำนวนเพิ่มมากที่สุด 3 อันดับ ได้แก่ ไฟล์ .cmd เพิ่มขึ้น 66.67%, ไฟล์ .ocx เพิ่มขึ้น 56.25% และไฟล์ .swf เพิ่มขึ้น 43.30%
รหัสโดเมนของประเทศของเว็บไซต์ที่พบมัลแวร์และการฟิชชิ่งมากที่สุด
รหัสโดเมนของประเทศของเว็บไซต์ที่พบมัลแวร์และการฟิชชิ่งมากที่สุดได้แก่โดเมน .com โดยมีจำนวนเว็บไซต์ที่ถูกใช้ในการทำฟิชชิ่งและแพร่ระบาดมัลแวร์ 49.9% และ 44.53% ตามลำดับ อย่างไรก็ตามตัวเลขนี้ลดลงเมื่อเทียบกับเดือนเมษายน ซึ่งอาจจะมีผลมาจากมีการจดทะเบียนโดเมน .net และโดเมน.org เพิ่มมากขึ้น
ในขณะที่โดเมน .kr (เกาหลีใต้) ซึ่งครองตำแหน่งทั้งเว็บไซต์ที่พบมัลแวร์และการทำฟิชชิ่งมากที่สุดในเดือนเมษายนนั้น ในเดือนพฤษภาคมพบเว็บไซต์โดเมน .kr มีการทำฟิชชิ่งมีจำนวนลดลงอย่างมากถึง 246.22% และเว็บไซต์ที่พบมัลแวร์มีจำนวนลดลง 27.72% โดยเว็บไซต์ที่พบมัลแวร์และการทำฟิชชิ่งมากที่สุดในเดือนพฤษภาคมได้แก่โดเมน .br (บราซิล) และโดเมน .ru (รัสเซีย)
PayPal ยังคงเป็นแบรนด์ที่ตกเป็นเป้าหมายของการทำฟิชชิ่งมากที่สุดที่ 44.99% ของการโจมตีทั้งหมดที่ตรวจพบ โดยมี Ebay เป็นอันดับที่ 2 ที่ 16.05%, ธนาคาร HSBC ที่ 12.04%, Facebook ที่ 5.33% และ ธนาคาร Bank of America ที่ 2.09%
สแปมเมล
ประเภทของการสแปมเมลที่มีจำนวนมากที่สุดในเดือนพฤษภาคมเป็นการสแปมเกี่ยวกับการขายยาออนไลน์ โดยมีจำนวนถึง 13.37% ของอีเมลขยะทั้งหมด อันดับที่ 2 ได้แก่การสแปมเกี่ยวกับนาฬิกาจำลอง (Replica watches) ที่ 7.34%, มหาวิทยาลัยปลอม (Fake university degrees) ตามมาในอันดับที่ 3 ที่ 7.26%, การหลอกลวง Nigerian 4190-like ที่ 2.80% และการปล่อยเงินกู้ (Loans) ที่ 2.63
แหล่งข้อมูลอ้างอิง
• Softpedia
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Windows Administrator Blog
Avira บริษัทพัฒนาซอฟท์แวร์ด้านความปลอดภัยชื่อดังสัญชาติเยอรมัน เจ้าของโปรแกรม Avira AntiVir (ซึ่งมีเวอร์ชัน Personal ให้ใช้ฟรี) ได้รายงานสถิติการตรวจพบภัยคุกคามทางออนไลน์ซึ่งแบ่งออกเป็น 3 ประเภท คือ ฟิชชิ่ง (Phishing), สแปม (Spam) และมัลแวร์ (Malware) ในเดือนพฤษภาคม 2553 ผลปรากฏว่า มีการแพร่ระบาดของมัลแวร์ผ่านทางไฟล์ PDF เพิ่มขึ้นถึง 52.15% เมื่อเทียบกับเดือนเมษายน โดยรหัสโดเมนของประเทศ (Top Level Domain หรือ TLD) ของเว็บไซต์ที่มีการตรวจพบมัลแวร์มากที่สุดคือ โดเมน .ru ส่วนโดเมน .br จะเป็นรหัสโดเมนของประเทศของเว็บไซต์ที่ถูกใช้ในการทำฟิชชิ่งมากที่สุด
ประเภทไฟล์ที่ติดไวรัส
สำหรับประเภทไฟล์ที่ใช้ในการแพร่ระบาดมัลแวร์มากที่สุดได้แก่ไฟล์นามสกุล .exe, .txt, .php, .jpg, .dll, .pdf, .gif และ .com ตามลำดับ และมีมัลแวร์ที่แพร่ระบาดถึง 31% ที่เป็นไฟล์ที่ไม่มีนามสกุล โดยไฟล์เอกสารประเภท PDF นั้นมีสัดส่วนเพียง 1.20% ของจำนวนไฟล์ที่ตรวจพบมัลแวร์ทั้งหมด แต่ประเด็นสำคัญคือมีจำนวนเพิ่มขึ้นถึง 52.15% เมื่อเทียบกับเดือนเมษายน สำหรับประเภทของไฟล์ที่มีจำนวนเพิ่มมากที่สุด 3 อันดับ ได้แก่ ไฟล์ .cmd เพิ่มขึ้น 66.67%, ไฟล์ .ocx เพิ่มขึ้น 56.25% และไฟล์ .swf เพิ่มขึ้น 43.30%
รหัสโดเมนของประเทศของเว็บไซต์ที่พบมัลแวร์และการฟิชชิ่งมากที่สุด
รหัสโดเมนของประเทศของเว็บไซต์ที่พบมัลแวร์และการฟิชชิ่งมากที่สุดได้แก่โดเมน .com โดยมีจำนวนเว็บไซต์ที่ถูกใช้ในการทำฟิชชิ่งและแพร่ระบาดมัลแวร์ 49.9% และ 44.53% ตามลำดับ อย่างไรก็ตามตัวเลขนี้ลดลงเมื่อเทียบกับเดือนเมษายน ซึ่งอาจจะมีผลมาจากมีการจดทะเบียนโดเมน .net และโดเมน.org เพิ่มมากขึ้น
ในขณะที่โดเมน .kr (เกาหลีใต้) ซึ่งครองตำแหน่งทั้งเว็บไซต์ที่พบมัลแวร์และการทำฟิชชิ่งมากที่สุดในเดือนเมษายนนั้น ในเดือนพฤษภาคมพบเว็บไซต์โดเมน .kr มีการทำฟิชชิ่งมีจำนวนลดลงอย่างมากถึง 246.22% และเว็บไซต์ที่พบมัลแวร์มีจำนวนลดลง 27.72% โดยเว็บไซต์ที่พบมัลแวร์และการทำฟิชชิ่งมากที่สุดในเดือนพฤษภาคมได้แก่โดเมน .br (บราซิล) และโดเมน .ru (รัสเซีย)
PayPal ยังคงเป็นแบรนด์ที่ตกเป็นเป้าหมายของการทำฟิชชิ่งมากที่สุดที่ 44.99% ของการโจมตีทั้งหมดที่ตรวจพบ โดยมี Ebay เป็นอันดับที่ 2 ที่ 16.05%, ธนาคาร HSBC ที่ 12.04%, Facebook ที่ 5.33% และ ธนาคาร Bank of America ที่ 2.09%
สแปมเมล
ประเภทของการสแปมเมลที่มีจำนวนมากที่สุดในเดือนพฤษภาคมเป็นการสแปมเกี่ยวกับการขายยาออนไลน์ โดยมีจำนวนถึง 13.37% ของอีเมลขยะทั้งหมด อันดับที่ 2 ได้แก่การสแปมเกี่ยวกับนาฬิกาจำลอง (Replica watches) ที่ 7.34%, มหาวิทยาลัยปลอม (Fake university degrees) ตามมาในอันดับที่ 3 ที่ 7.26%, การหลอกลวง Nigerian 4190-like ที่ 2.80% และการปล่อยเงินกู้ (Loans) ที่ 2.63
แหล่งข้อมูลอ้างอิง
• Softpedia
© 2010 TWA Blog. All Rights Reserved.
Monday, May 17, 2010
Trojan-Ransom.Win32.Winac.A - Windows "activation" ransomware
ระวัง! โทรจัน Ransom.Win32.Winac.A หลอกขโมยหมายเลขบัตรเครดิต
บทความโดย: Thai Windows Administrator Blog
มีการแจ้งเตือนผู้ใช้ Windows ให้ระวังโทรจันชื่อ Ransom.Win32.Winac.A ซึ่งเป็นโทรจันที่มีเป้าหมายเพื่อขโมยหมายเลขบัตรเครดิต โดยมันจะทำการล็อก Windows ทำให้ไม่สามารถใช้งานได้จนกว่าผู้ใช้จะทำการป้อนข้อมูลบัตรเครดิต
โดยขั้นตอนแรก โทรจัน Ransom.Win32.Winac.A จะหลอกว่า Windows ที่กำลังใช้งานอยู่นั้นเป็นเวอร์ชันละเิมิดลิขสิทธิ์ด้วยการแสดงไดอะล็อกบ็อกซ์ Microsoft Windows Activation: Microsoft privacy control พร้อมข้อความว่า "We will ask for your billing details, but your credit card will NOT be charged." ดังรูปด้านล่าง
ทั้งนี้ โทรจันจะเสนอทางเลือกให้ผู้ใช้ 2 ทาง คือ "Yes, activate Windows over the internet now" เพื่อทำการแอคติเวต Windows ในทันที หรือ "No, I will do it later" เพื่อทำการแอคติเวต Windows ในภายหลัง ถ้าผู้ใช้เลือก No, I will do it later โทรจันก็จะทำการรีบูทเครื่องคอมพิวเตอร์และจะกลับมายังหน้าไดอะล็อกบ็อกซ์ Microsoft Windows Activation: Microsoft privacy control อีกครั้ง แต่ถ้าผู้ใช้เลือก Yes, activate Windows over the internet now ซึ่งจะต้องป้อนข้อมูลส่วนตัว (รวมถึงหมายเลขบัตรเครดิต) โทรจันก็จะทำการแอคติเวต Windows ที่ (อ้างว่า) ละเิมิดลิขสิทธิ์ให้เป็นเวอร์ชันถูกลิขสิทธิ์ และระบบก็จะกลับมาใช้งานได้ตามปกติอีกครั้ง
อย่างไรก็ตาม ถ้าผู้ใช้เลือกทำการแอคติเวต โทรจันก็จะทำการส่งข้อมูลบัตรเครดิตไปยังเครือข่ายบ็อท fast-flux จากนั้นข้อมูลอาจถูกใช้ในทางที่สร้างความเสียหายให้กับเจ้าของบัตรเครดิตได้
แหล่งข้อมูลอ้างอิง
• Sunbelt
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
มีการแจ้งเตือนผู้ใช้ Windows ให้ระวังโทรจันชื่อ Ransom.Win32.Winac.A ซึ่งเป็นโทรจันที่มีเป้าหมายเพื่อขโมยหมายเลขบัตรเครดิต โดยมันจะทำการล็อก Windows ทำให้ไม่สามารถใช้งานได้จนกว่าผู้ใช้จะทำการป้อนข้อมูลบัตรเครดิต
โดยขั้นตอนแรก โทรจัน Ransom.Win32.Winac.A จะหลอกว่า Windows ที่กำลังใช้งานอยู่นั้นเป็นเวอร์ชันละเิมิดลิขสิทธิ์ด้วยการแสดงไดอะล็อกบ็อกซ์ Microsoft Windows Activation: Microsoft privacy control พร้อมข้อความว่า "We will ask for your billing details, but your credit card will NOT be charged." ดังรูปด้านล่าง
Credit: Sunbelt
ทั้งนี้ โทรจันจะเสนอทางเลือกให้ผู้ใช้ 2 ทาง คือ "Yes, activate Windows over the internet now" เพื่อทำการแอคติเวต Windows ในทันที หรือ "No, I will do it later" เพื่อทำการแอคติเวต Windows ในภายหลัง ถ้าผู้ใช้เลือก No, I will do it later โทรจันก็จะทำการรีบูทเครื่องคอมพิวเตอร์และจะกลับมายังหน้าไดอะล็อกบ็อกซ์ Microsoft Windows Activation: Microsoft privacy control อีกครั้ง แต่ถ้าผู้ใช้เลือก Yes, activate Windows over the internet now ซึ่งจะต้องป้อนข้อมูลส่วนตัว (รวมถึงหมายเลขบัตรเครดิต) โทรจันก็จะทำการแอคติเวต Windows ที่ (อ้างว่า) ละเิมิดลิขสิทธิ์ให้เป็นเวอร์ชันถูกลิขสิทธิ์ และระบบก็จะกลับมาใช้งานได้ตามปกติอีกครั้ง
Credit: Sunbelt
อย่างไรก็ตาม ถ้าผู้ใช้เลือกทำการแอคติเวต โทรจันก็จะทำการส่งข้อมูลบัตรเครดิตไปยังเครือข่ายบ็อท fast-flux จากนั้นข้อมูลอาจถูกใช้ในทางที่สร้างความเสียหายให้กับเจ้าของบัตรเครดิตได้
แหล่งข้อมูลอ้างอิง
• Sunbelt
© 2010 TWA Blog. All Rights Reserved.
Saturday, March 27, 2010
Malware faking Adobe update, Java and Windows
มัลแวร์ปลอมตัวมาในรูปแบบอัพเดทของโปรแกรม Adobe, Java และ Windows
บทความโดย: Thai Windows Administrator Blog
มีเรื่องเกี่ยวกับความปลอดภัยทางด้านคอมพิวเตอร์มาเตือนให้ทุกๆ ท่านระมัดระวังกันอีกแล้ว เนื่องจากมีรายงานว่าได้มีการตรวจพบมัลแวร์ที่ปลอมตัวมาในรูปแบบอัพเดท (Update) ของโปรแกรมแอพพลิเคชันที่ได้รับความนิยมใช้งานจำนวนมาก ตัวอย่างเช่น โปรแกรม Adobe, Java, DeepFreeze หรือแม้แต่ Windows
โดยมัลแวร์ดังกล่าวนี้จะใช้วิธีการปลอมตัวโดยใช้ไอคอนของแอพพลิเคชันที่ได้รับความนิยมใช้งานจำนวนมาก เพื่อหลอกให้ผู้ใช้หลงเชื่อและทำการรันไฟล์มัลแวร์ ถ้าผู้ใช้ทำการรันไฟล์มัลแวร์ดังกล่าวด้วยความรู้เท่าไม่ถึงการก็จะทำให้เครื่องคอมพิวเตอร์ติดไวรัสในทันที จากนั้นไวรัสก็จะจะทำการเปิดบริการ DHCP client, DNS client, Network share พร้อมทั้งเปิดพอร์ตสำหรับรอรับคำสั่งการทำงานจากแฮกเกอร์ที่เป็นผู้พัฒนาไวรัส
อนึ่ง มัลแวร์ที่ใช้วิธีการปลอมตัวโดยใช้ไอคอนของแอพพลิเคชันที่ได้รับความนิยมในการแพร่ระบาดนี้ถูกพัฒนาขึ้นด้วยโปรแกรม Microsoft Visual Basic และถูกตรวจพบโดยโปรแกรม Bkav ในชื่อ W32.Fakeupver.trojan
สำหรับรูปที่ 1 เป็นตัวอย่างมัลแวร์ที่ปลอมตัวเป็นโปรแกรม Acrobat Reader 9 โดยมัลแวร์จะทำการเขียนทับไฟล์ AdobeUpdater.exe ในโฟลเดอร์ Adobe/Reader 9.0/Reader ซึ่งจากการวิเคราะห์พบว่ามัลแวร์จะใช้เทคนิคใหม่ในการเขียนทับไฟล์อัพเดท
โดยมัลแวร์ที่ปลอมตัวเป็นอัพเดท (Update) ของโปรแกรมแอพพลิเคชันนี้มีข้อสังเกตคือ ข้อมูลเวอร์ชันจะไม่ตรงกับเวอร์ชันของซอฟต์แวร์ที่มันปลอมตัว ตัวอย่างเช่น การปลอมตัวเป็น Acrobat Reader 9 แต่เวอร์ชันของไฟล์จะเป็น 7.2.0.0 เป็นต้น
สำหรับรูปที่ 2 เป็นตัวอย่างมัลแวร์ที่ปลอมตัวเป็นอัพเดทของโปรแกรม Java
สำหรับคำแนะเพื่อความปลอดภัยที่ดีที่สุด คือให้ผู้ใช้ทำการอัพเดทไวรัสซิกเนเจอร์ (หรือบางครั้งเรียกว่าไวรัสเดฟินิชัน) ของโปรแกรมป้องกันไวรัสให้เป็นปัจจุบันเสมอ เพื่อให้โปรแกรมมีประสิทธิภาพสูงสุดในการป้องกันไวรัส
แหล่งข้อมูลอ้างอิง
• BKIS
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
มีเรื่องเกี่ยวกับความปลอดภัยทางด้านคอมพิวเตอร์มาเตือนให้ทุกๆ ท่านระมัดระวังกันอีกแล้ว เนื่องจากมีรายงานว่าได้มีการตรวจพบมัลแวร์ที่ปลอมตัวมาในรูปแบบอัพเดท (Update) ของโปรแกรมแอพพลิเคชันที่ได้รับความนิยมใช้งานจำนวนมาก ตัวอย่างเช่น โปรแกรม Adobe, Java, DeepFreeze หรือแม้แต่ Windows
โดยมัลแวร์ดังกล่าวนี้จะใช้วิธีการปลอมตัวโดยใช้ไอคอนของแอพพลิเคชันที่ได้รับความนิยมใช้งานจำนวนมาก เพื่อหลอกให้ผู้ใช้หลงเชื่อและทำการรันไฟล์มัลแวร์ ถ้าผู้ใช้ทำการรันไฟล์มัลแวร์ดังกล่าวด้วยความรู้เท่าไม่ถึงการก็จะทำให้เครื่องคอมพิวเตอร์ติดไวรัสในทันที จากนั้นไวรัสก็จะจะทำการเปิดบริการ DHCP client, DNS client, Network share พร้อมทั้งเปิดพอร์ตสำหรับรอรับคำสั่งการทำงานจากแฮกเกอร์ที่เป็นผู้พัฒนาไวรัส
อนึ่ง มัลแวร์ที่ใช้วิธีการปลอมตัวโดยใช้ไอคอนของแอพพลิเคชันที่ได้รับความนิยมในการแพร่ระบาดนี้ถูกพัฒนาขึ้นด้วยโปรแกรม Microsoft Visual Basic และถูกตรวจพบโดยโปรแกรม Bkav ในชื่อ W32.Fakeupver.trojan
สำหรับรูปที่ 1 เป็นตัวอย่างมัลแวร์ที่ปลอมตัวเป็นโปรแกรม Acrobat Reader 9 โดยมัลแวร์จะทำการเขียนทับไฟล์ AdobeUpdater.exe ในโฟลเดอร์ Adobe/Reader 9.0/Reader ซึ่งจากการวิเคราะห์พบว่ามัลแวร์จะใช้เทคนิคใหม่ในการเขียนทับไฟล์อัพเดท
โดยมัลแวร์ที่ปลอมตัวเป็นอัพเดท (Update) ของโปรแกรมแอพพลิเคชันนี้มีข้อสังเกตคือ ข้อมูลเวอร์ชันจะไม่ตรงกับเวอร์ชันของซอฟต์แวร์ที่มันปลอมตัว ตัวอย่างเช่น การปลอมตัวเป็น Acrobat Reader 9 แต่เวอร์ชันของไฟล์จะเป็น 7.2.0.0 เป็นต้น
รูปที่ 1. Fake AdobeUpdater (Credit: BKIS)
สำหรับรูปที่ 2 เป็นตัวอย่างมัลแวร์ที่ปลอมตัวเป็นอัพเดทของโปรแกรม Java
รูปที่ 1. Fake Java’s update (Credit: BKIS)
สำหรับคำแนะเพื่อความปลอดภัยที่ดีที่สุด คือให้ผู้ใช้ทำการอัพเดทไวรัสซิกเนเจอร์ (หรือบางครั้งเรียกว่าไวรัสเดฟินิชัน) ของโปรแกรมป้องกันไวรัสให้เป็นปัจจุบันเสมอ เพื่อให้โปรแกรมมีประสิทธิภาพสูงสุดในการป้องกันไวรัส
แหล่งข้อมูลอ้างอิง
• BKIS
© 2010 TWA Blog. All Rights Reserved.
Thursday, February 4, 2010
Fake Firefox comes with Hotbar adware
ระวังเว็บไซต์เถื่อนหลอกให้อัพเดท Firefox แต่แถม Hotbar adware
บทความโดย: Thai Windows Administrator Blog
มีคำเตือนผู้ใช้อินเทอร์เน็ตให้ระวังเว็บไซต์เถื่อนหลอกให้ทำการอัพเดทโปรแกรม Firefox เว็บเบราเซอร์โอเพนซอร์ส (Open Source) ยอดนิยม หากใครหลงเชื่อทำการอัพเดทจะส่งผลให้โปรแกรม Hotbar ซึ่งเป็น adware ถูกติดตั้งลงในระบบทันที
สำหรับเว็บไซต์ดังกล่าวนี้ชื่อ freesoftwaredl (http://freesoftwaredl.com/) เป็นเว็บไซต์ในเครือข่าย Pinball Publisher Network (PPB) ซึ่งจะให้ดาวน์โหลดโปรแกรมติดตั้ง Firefox ที่ถูกทำการปรับแต่งใหม่และมีการแฝง adware ชื่อ Hotbar ไว้ภายใน
โดยโปรแกรมอัพเดท Firefox ที่ให้ดาวน์โหลดโดย PPN นั้น จะหลอกผู้ใช้ว่าได้รับการสนับสนุน (Sponsored) การแจกจ่าย Firefox โดย Hotbar ซึ่งความจริงเป็นโปรแกรม adware เอาไว้ ดังรูปด้านล่าง หากใครทำการอัพเดท Firefox ก็จะทำให้ adware ถูกการติดตั้งลงบนระบบด้วย
อนึ่ง เว็บไซต์ให้ดาวน์โหลดโปรแกรม Firefox อย่างเป็นทางการคือ
http://www.mozilla.com/en-US/firefox/personal.html?from=getfirefox สำหรับเวอร์ชันปัจจุบันของ Firefox คือ 3.6 สามารถอ่านรายละเอียดได้ที่ Download Mozilla Firefox 3.6 Final
แหล่งข้อมูลอ้างอิง
• Sunbelt Blog
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
มีคำเตือนผู้ใช้อินเทอร์เน็ตให้ระวังเว็บไซต์เถื่อนหลอกให้ทำการอัพเดทโปรแกรม Firefox เว็บเบราเซอร์โอเพนซอร์ส (Open Source) ยอดนิยม หากใครหลงเชื่อทำการอัพเดทจะส่งผลให้โปรแกรม Hotbar ซึ่งเป็น adware ถูกติดตั้งลงในระบบทันที
สำหรับเว็บไซต์ดังกล่าวนี้ชื่อ freesoftwaredl (http://freesoftwaredl.com/) เป็นเว็บไซต์ในเครือข่าย Pinball Publisher Network (PPB) ซึ่งจะให้ดาวน์โหลดโปรแกรมติดตั้ง Firefox ที่ถูกทำการปรับแต่งใหม่และมีการแฝง adware ชื่อ Hotbar ไว้ภายใน
โดยโปรแกรมอัพเดท Firefox ที่ให้ดาวน์โหลดโดย PPN นั้น จะหลอกผู้ใช้ว่าได้รับการสนับสนุน (Sponsored) การแจกจ่าย Firefox โดย Hotbar ซึ่งความจริงเป็นโปรแกรม adware เอาไว้ ดังรูปด้านล่าง หากใครทำการอัพเดท Firefox ก็จะทำให้ adware ถูกการติดตั้งลงบนระบบด้วย
อนึ่ง เว็บไซต์ให้ดาวน์โหลดโปรแกรม Firefox อย่างเป็นทางการคือ
http://www.mozilla.com/en-US/firefox/personal.html?from=getfirefox สำหรับเวอร์ชันปัจจุบันของ Firefox คือ 3.6 สามารถอ่านรายละเอียดได้ที่ Download Mozilla Firefox 3.6 Final
แหล่งข้อมูลอ้างอิง
• Sunbelt Blog
© 2010 TWA Blog. All Rights Reserved.
Tuesday, January 26, 2010
Malware Alert: Win32.Worm.Zimuse.A
ระวังเวิร์ม Win32.Worm.Zimuse.A ติดแล้วอาจจะทำให้ข้อมูลบนฮาร์ดดิสก์เสียหายได้
บทความโดย: Thai Windows Administrator Blog
Bitdefender และ Eset (ผู้พัฒนาโปรแกรมแอนตี้ไวรัส NOD32) บริษัทผู้ผลิตซอฟต์แวร์แอนตี้ไวรัสและสปายแวร์ชื่อดัง ได้ประกาศเตือนให้ผู้ใช้คอมพิวเตอร์ระวังการโจมตีของเวิร์มตัวใหม่ชื่อ Win32.Worm.Zimuse.A ซึ่งสามารถทำให้ข้อมูลบนฮาร์ดดิสก์เสียหายได้
รายละเอียดเวิร์ใ Win32.Worm.Zimuse.A
Virus Name: Win32.Worm.Zimuse.A
Aliases: Trojan.Startpage.G (Symantec), Trojan.Generic.1729691 (BitDefender), W32/Threat-SysVenFakP-based!Maximus (F-Prot)
Type of infiltration: Worm
Size: 195072 B
Affected platforms: Microsoft Windows
ผลกระทบ
Win32.Worm.Zimuse.A นั้นจะทำการเขียนข้อมูลของตัวมันเองลงทับ (Overwirte) ข้อมูล 50KB แรกของ MBR (Master Boot Record) ของทุกๆ ลอจิคัลไดรฟ์ในฮาร์ดดิสก์ทุกตัวที่ติดตั้งอยู่ในเครื่องคอมพิวเตอร์ ส่งผลให้ผู้ใช้ไม่สามารถเข้าถึงข้อมูลที่จัดเก็บในฮาร์ดดิสก์ได้
วิธีการแพร่ระบาด
Win32.Worm.Zimuse.A สามารถแพร่ระบาดได้ทางการดาวน์โหลดจากอินเทอร์เน็ตและผ่านสื่อเก็บข้อมูลแบบพกพา โดยมันจะแฝงตัวอยู่ในไฟล์บีบอัดที่สามารถรันได้ด้วยตัวเอง (PECompact) โดยจะหลอกผู้ใช้ว่าเป็นในโปรแกรมทดสอบไอคิว (IQ Test) ในกรณีที่วันและเวลาของระบบเป็นไปตามเงื่อนไขที่กำหนดไว้ เวิร์มก็จะทำการสำเนาตัวเองในชื่อไฟล์ zipsetup.exe มีขนาด 195072 B ลงใรรูทโฟลเดอร์ของไดรฟ์ A:\, B:\, C:\, D:\, E:\, F:\, G:\, H:\, I:\, J:\, K:\
การทำงาน
เมื่อผู้ใช้ทำการรันไฟล์ zipsetup.exe (ด้วยความเข้าใจว่าเป็นโปรแกรมธรรมดา) เวิร์มก็จะทำการสำเนาไฟล์ autorun.inf ลงเครื่องคอมพิวเตอร์ (ไดเร็กตอรี่ที่เก็บไฟล์ zipsetup.exe) จากนั้นจะทำการสำเนาตัวเองลงในโฟลเดอร์ระบบของวินโดวส์จำนวนระหว่าง 5-11 ไฟล์แล้วแต่กรณี ดังนี้
%system%\drivers\Mstart.sys (13100 B)
%system%\drivers\Mseu.sys (18188 B)
%system%\mseus.exe (69632 B)
%system%\tokset.dll (195072 B)
%system%\ainf.inf (41 B)
จากนั้นจะแสดงหน้าไดอะล็อกบอกซ์ดังรูปด้านล่าง
ทำการติดตั้งตัวเองในโฟลเดอร์ไดรเวอร์ของระบบ ดังนี้
%system%\drivers\Mstart.sys, MSTART
%system%\drivers\Mseu.sys, MSEU
ทำการแก้ไขรีจีสทรี่เพื่อให้ทำงานโดยอัตโนมัติพร้อมระบบวินโดวส์ ดังนี้
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Dump" = "%programfiles%\Dump\Dump.exe"
นอกจากนี้ ยังทำการแก้ไขสร้างรีจีสทรี่เพิ่มขึ้นอีกหลายตัว โดยบางส่วนดังนี้
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSTART\0000\Control]
"*NewlyCreated*" = 0
"ActiveService" = "MSTART"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSTART\0000]
ในกรณีที่วันและเวลาของระบบเป็นไปตามเงื่อนไขที่กำหนดไว้ เวิร์มจะทำการเขียนข้อมูลของตัวมันเองลงทับ (Overwirte) ข้อมูล 50KB แรกของ MBR (Master Boot Record) ของทุกๆ ลอจิคัลไดรฟ์ในฮาร์ดดิสก์ทุกตัวที่ติดตั้งอยู่ในเครื่องคอมพิวเตอร์ และจะแสดงไดอะล็อกบ็อกซ์ ดังรูปด้านล่าง
โดยเวิร์มอาจจะทำการลบไฟล์ต่างๆ ดังนี้
- C:\BOOT.INI
- C:\NTDETECT.COM
- C:\NTLDR
- C:\HYBERFILE.SYS
- C:\BOOTMGR
วิธีการป้องกัน
สำหรับวิีธีการป้องกันนั้นแนะนำว่า อย่าดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ และ ทำการติดตั้งโปรแกรมป้องกันไวรัสและฐานข้อมูลอัพเดทไวรัส (Virus Definition) ให้เป็นปัจจุบันตลอดเวลา
วิธีการกำจัดไวรัส
สามารถกำจัดไวรัส Win32.Worm.Zimuse.A โดยใช้เครื่องมือจาก Eset โดยดาวน์โหลดได้ที่ Download Win32.Worm.Zimuse.A Remover
แหล่งข้อมูลอ้างอิง
• Bitdefender
• Eset
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
Bitdefender และ Eset (ผู้พัฒนาโปรแกรมแอนตี้ไวรัส NOD32) บริษัทผู้ผลิตซอฟต์แวร์แอนตี้ไวรัสและสปายแวร์ชื่อดัง ได้ประกาศเตือนให้ผู้ใช้คอมพิวเตอร์ระวังการโจมตีของเวิร์มตัวใหม่ชื่อ Win32.Worm.Zimuse.A ซึ่งสามารถทำให้ข้อมูลบนฮาร์ดดิสก์เสียหายได้
รายละเอียดเวิร์ใ Win32.Worm.Zimuse.A
Virus Name: Win32.Worm.Zimuse.A
Aliases: Trojan.Startpage.G (Symantec), Trojan.Generic.1729691 (BitDefender), W32/Threat-SysVenFakP-based!Maximus (F-Prot)
Type of infiltration: Worm
Size: 195072 B
Affected platforms: Microsoft Windows
ผลกระทบ
Win32.Worm.Zimuse.A นั้นจะทำการเขียนข้อมูลของตัวมันเองลงทับ (Overwirte) ข้อมูล 50KB แรกของ MBR (Master Boot Record) ของทุกๆ ลอจิคัลไดรฟ์ในฮาร์ดดิสก์ทุกตัวที่ติดตั้งอยู่ในเครื่องคอมพิวเตอร์ ส่งผลให้ผู้ใช้ไม่สามารถเข้าถึงข้อมูลที่จัดเก็บในฮาร์ดดิสก์ได้
วิธีการแพร่ระบาด
Win32.Worm.Zimuse.A สามารถแพร่ระบาดได้ทางการดาวน์โหลดจากอินเทอร์เน็ตและผ่านสื่อเก็บข้อมูลแบบพกพา โดยมันจะแฝงตัวอยู่ในไฟล์บีบอัดที่สามารถรันได้ด้วยตัวเอง (PECompact) โดยจะหลอกผู้ใช้ว่าเป็นในโปรแกรมทดสอบไอคิว (IQ Test) ในกรณีที่วันและเวลาของระบบเป็นไปตามเงื่อนไขที่กำหนดไว้ เวิร์มก็จะทำการสำเนาตัวเองในชื่อไฟล์ zipsetup.exe มีขนาด 195072 B ลงใรรูทโฟลเดอร์ของไดรฟ์ A:\, B:\, C:\, D:\, E:\, F:\, G:\, H:\, I:\, J:\, K:\
การทำงาน
เมื่อผู้ใช้ทำการรันไฟล์ zipsetup.exe (ด้วยความเข้าใจว่าเป็นโปรแกรมธรรมดา) เวิร์มก็จะทำการสำเนาไฟล์ autorun.inf ลงเครื่องคอมพิวเตอร์ (ไดเร็กตอรี่ที่เก็บไฟล์ zipsetup.exe) จากนั้นจะทำการสำเนาตัวเองลงในโฟลเดอร์ระบบของวินโดวส์จำนวนระหว่าง 5-11 ไฟล์แล้วแต่กรณี ดังนี้
%system%\drivers\Mstart.sys (13100 B)
%system%\drivers\Mseu.sys (18188 B)
%system%\mseus.exe (69632 B)
%system%\tokset.dll (195072 B)
%system%\ainf.inf (41 B)
จากนั้นจะแสดงหน้าไดอะล็อกบอกซ์ดังรูปด้านล่าง
(Credit: Eset.eu)
ทำการติดตั้งตัวเองในโฟลเดอร์ไดรเวอร์ของระบบ ดังนี้
%system%\drivers\Mstart.sys, MSTART
%system%\drivers\Mseu.sys, MSEU
ทำการแก้ไขรีจีสทรี่เพื่อให้ทำงานโดยอัตโนมัติพร้อมระบบวินโดวส์ ดังนี้
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Dump" = "%programfiles%\Dump\Dump.exe"
นอกจากนี้ ยังทำการแก้ไขสร้างรีจีสทรี่เพิ่มขึ้นอีกหลายตัว โดยบางส่วนดังนี้
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSTART\0000\Control]
"*NewlyCreated*" = 0
"ActiveService" = "MSTART"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSTART\0000]
ในกรณีที่วันและเวลาของระบบเป็นไปตามเงื่อนไขที่กำหนดไว้ เวิร์มจะทำการเขียนข้อมูลของตัวมันเองลงทับ (Overwirte) ข้อมูล 50KB แรกของ MBR (Master Boot Record) ของทุกๆ ลอจิคัลไดรฟ์ในฮาร์ดดิสก์ทุกตัวที่ติดตั้งอยู่ในเครื่องคอมพิวเตอร์ และจะแสดงไดอะล็อกบ็อกซ์ ดังรูปด้านล่าง
Click to enlarge (Credit: Eset.eu)
โดยเวิร์มอาจจะทำการลบไฟล์ต่างๆ ดังนี้
- C:\BOOT.INI
- C:\NTDETECT.COM
- C:\NTLDR
- C:\HYBERFILE.SYS
- C:\BOOTMGR
วิธีการป้องกัน
สำหรับวิีธีการป้องกันนั้นแนะนำว่า อย่าดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ และ ทำการติดตั้งโปรแกรมป้องกันไวรัสและฐานข้อมูลอัพเดทไวรัส (Virus Definition) ให้เป็นปัจจุบันตลอดเวลา
วิธีการกำจัดไวรัส
สามารถกำจัดไวรัส Win32.Worm.Zimuse.A โดยใช้เครื่องมือจาก Eset โดยดาวน์โหลดได้ที่ Download Win32.Worm.Zimuse.A Remover
แหล่งข้อมูลอ้างอิง
• Bitdefender
• Eset
© 2010 TWA Blog. All Rights Reserved.
Monday, January 11, 2010
10 อันดับ Virus Computer ที่ระบาดทั่วโลก (ธ.ค. 52)
10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนธันวาคม 2552
บทความโดย: Thai Windows Administrator Blog
นำ 10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนธันวาคมปีที่แล้วมารายงานให้ทราบเพื่อเป็นข้อมูลอ้างอิง ซึ่งเป็นรายงานที่จัดทำโดยอ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของ Trend Micro จำนวน 3 โปรแกรม ด้วยกันดังต่อไปนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบส (Web Base) สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
ภาพรวมในเดือนธันวาคม 2552 นั้นมีจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัสเพิ่มขึ้น ซึ่งไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนตุลาคมโดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 19,382,191 เครื่อง ส่วนอันดับ 2 ไวรัส CRYP_MANGLED แซงกลับขึ้นมาอีกครั้งด้วยจำนวนคอมพิวเตอร์ที่ติดถึง2,336,031 เครื่อง สำหรับอันดับอื่นๆ มีรายละเอียดดังต่อไปนี้
1. MAL_OTORUN2 (19,382,191)
2. CRYP_MANGLED (2,336,031)
3. CRYP_KRAP (2,215,888)
4. MAL_OTORUN1 (1,857,084)
5. MAL_NAIX-7 (983,014)
6. CRYP_KRAP-5 (979,896)
7. CRYP_YODAP (742,987)
8. CRYP_FAKEAL-3 (689,227)
9. MAL_HIFRM (688,428)
10. MAL_VUNDO-19 (678,241)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนธันวาคม 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 แต่อันดับ 2 เปลี่ยนเป็นไวรัส WORM_DOWNAD.AD ครับ
ที่มา
• Trendmicro Virus Map
© 2010 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
นำ 10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนธันวาคมปีที่แล้วมารายงานให้ทราบเพื่อเป็นข้อมูลอ้างอิง ซึ่งเป็นรายงานที่จัดทำโดยอ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของ Trend Micro จำนวน 3 โปรแกรม ด้วยกันดังต่อไปนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบส (Web Base) สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
ภาพรวมในเดือนธันวาคม 2552 นั้นมีจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัสเพิ่มขึ้น ซึ่งไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนตุลาคมโดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 19,382,191 เครื่อง ส่วนอันดับ 2 ไวรัส CRYP_MANGLED แซงกลับขึ้นมาอีกครั้งด้วยจำนวนคอมพิวเตอร์ที่ติดถึง2,336,031 เครื่อง สำหรับอันดับอื่นๆ มีรายละเอียดดังต่อไปนี้
1. MAL_OTORUN2 (19,382,191)
2. CRYP_MANGLED (2,336,031)
3. CRYP_KRAP (2,215,888)
4. MAL_OTORUN1 (1,857,084)
5. MAL_NAIX-7 (983,014)
6. CRYP_KRAP-5 (979,896)
7. CRYP_YODAP (742,987)
8. CRYP_FAKEAL-3 (689,227)
9. MAL_HIFRM (688,428)
10. MAL_VUNDO-19 (678,241)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนธันวาคม 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 แต่อันดับ 2 เปลี่ยนเป็นไวรัส WORM_DOWNAD.AD ครับ
ที่มา
• Trendmicro Virus Map
© 2010 TWA Blog. All Rights Reserved.
Friday, December 4, 2009
10 อันดับ Virus Computer ที่ระบาดทั่วโลก (พ.ย. 52)
10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนพฤศจิกายน 2552
บทความโดย: Thai Windows Administrator Blog
รายงานสรุปรายชื่อไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับแรกในระหว่างเดือนพฤศจิกายน 2552 ซึ่งเป็นรายงานที่จัดทำโดยอ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของโปรแกรม 3 ตัวของ Trend Micro ด้วยกันดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบส (Web Base) สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
ในเดือนพฤศจิกายน 2552 โดยรวมแล้วจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัสมีจำนวนลดลง ซึ่งไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนตุลาคมโดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 18,950,510 เครื่อง ส่วนอันดับ 2 ไวรัส CRYP_KRAP แซงกลับขึ้นมาอีกครั้งด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 2,497,590 เครื่อง สำหรับอันดับอื่นๆ มีรายละเอียดดังนี้
1. MAL_OTORUN2 (18,950,510)
2. CRYP_KRAP (2,497,590)
3. CRYP_MANGLED (2,196,746)
4. MAL_OTORUN1 (1,866,196)
5. CRYP_NAIX-7 (1,863,783)
6. CRYP_KRAP-5 (1,171,730
7. CRYP_YODAP (1,140,872)
8. MAL_VUNDO-9 (667,717)
9. POSSIBLE_HIFRM-5 (594,450)
10. TROJ_VB.JOB (533,382)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนพฤศจิกายน 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 แต่อันดับ 2 เปลี่ยนเป็นไวรัส TSPY_KATES.SMB ครับ
ที่มา
• Trendmicro Virus Map
© 2009 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
รายงานสรุปรายชื่อไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับแรกในระหว่างเดือนพฤศจิกายน 2552 ซึ่งเป็นรายงานที่จัดทำโดยอ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของโปรแกรม 3 ตัวของ Trend Micro ด้วยกันดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบส (Web Base) สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
ในเดือนพฤศจิกายน 2552 โดยรวมแล้วจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัสมีจำนวนลดลง ซึ่งไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนตุลาคมโดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 18,950,510 เครื่อง ส่วนอันดับ 2 ไวรัส CRYP_KRAP แซงกลับขึ้นมาอีกครั้งด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 2,497,590 เครื่อง สำหรับอันดับอื่นๆ มีรายละเอียดดังนี้
1. MAL_OTORUN2 (18,950,510)
2. CRYP_KRAP (2,497,590)
3. CRYP_MANGLED (2,196,746)
4. MAL_OTORUN1 (1,866,196)
5. CRYP_NAIX-7 (1,863,783)
6. CRYP_KRAP-5 (1,171,730
7. CRYP_YODAP (1,140,872)
8. MAL_VUNDO-9 (667,717)
9. POSSIBLE_HIFRM-5 (594,450)
10. TROJ_VB.JOB (533,382)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนพฤศจิกายน 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 แต่อันดับ 2 เปลี่ยนเป็นไวรัส TSPY_KATES.SMB ครับ
ที่มา
• Trendmicro Virus Map
© 2009 TWA Blog. All Rights Reserved.
Sunday, November 8, 2009
10 อันดับ Virus Computer ที่ระบาดทั่วโลก (ต.ค. 52)
10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนตุลาคม 2552
บทความโดย: Thai Windows Administrator Blog
นำมารายงานให้ทราบเพื่อเป็นข้อมูลอ้างอิงเช่นเคยครับ สำหรับสรุปไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับของเดือนตุลาคม 2552 ซึ่งเป็นรายงานที่จัดทำโดยอ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของ Trend Micro จำนวน 3 โปรแกรม ด้วยกันดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบส (Web Base) สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
สำหรับไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนกันยายน โดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 26,893,935 เครื่อง ส่วนอันดับ 2 เปลี่ยนเป็นไวรัส CRYP_MANGLED ซึ่งมีจำนวนคอมพิวเตอร์ที่ติดถึง 2,416,874 เครื่อง สำหรับอันดับอื่นๆ มีรายละเอียดดังนี้
1.MAL_OTORUN2 (26,893,935)
2.CRYP_MANGLED (2,416,874)
3.CRYP_KRAP (2,332,545)
4.MAL_OTORUN1 (2,075,906)
5.CRYP_TDSS-6 (1,746,194)
6.CRYP_NAIX-7 (1,556,722)
7.MAL_VUNDO-9 (1,280,494)
8.CRYP_VUNDO-19 (713,248)
9.POSSIBLE_HIFRM-5 (578,291)
10.CRYP_OPET-3 (575,870)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนตุลาคม 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 และในอันดับ 2 ยังคงเป็นไวรัส CRYP_KRAP เหมือนเดิมครับ
ที่มา
• Trendmicro Virus Map
© 2009 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
นำมารายงานให้ทราบเพื่อเป็นข้อมูลอ้างอิงเช่นเคยครับ สำหรับสรุปไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับของเดือนตุลาคม 2552 ซึ่งเป็นรายงานที่จัดทำโดยอ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของ Trend Micro จำนวน 3 โปรแกรม ด้วยกันดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบส (Web Base) สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
สำหรับไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนกันยายน โดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 26,893,935 เครื่อง ส่วนอันดับ 2 เปลี่ยนเป็นไวรัส CRYP_MANGLED ซึ่งมีจำนวนคอมพิวเตอร์ที่ติดถึง 2,416,874 เครื่อง สำหรับอันดับอื่นๆ มีรายละเอียดดังนี้
1.MAL_OTORUN2 (26,893,935)
2.CRYP_MANGLED (2,416,874)
3.CRYP_KRAP (2,332,545)
4.MAL_OTORUN1 (2,075,906)
5.CRYP_TDSS-6 (1,746,194)
6.CRYP_NAIX-7 (1,556,722)
7.MAL_VUNDO-9 (1,280,494)
8.CRYP_VUNDO-19 (713,248)
9.POSSIBLE_HIFRM-5 (578,291)
10.CRYP_OPET-3 (575,870)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนตุลาคม 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 และในอันดับ 2 ยังคงเป็นไวรัส CRYP_KRAP เหมือนเดิมครับ
ที่มา
• Trendmicro Virus Map
© 2009 TWA Blog. All Rights Reserved.
Saturday, November 7, 2009
VIrus Alert: Trojan.StartPage.CloneCashSystem
โทรจันหลอกชื้อโครงการ "get-rich-quick"
บทความโดย: Thai Windows Administrator Blog
Tom Kelchner ได้โพสต์ในในบล็อกของ SUNBelt ว่าพบโทรจัน (Trojan) ตัวใหม่บนเว็บไซต์ VX Catus โดยโทรจันดังกล่าวนี้จะอยู่ในไฟล์ชื่อ bookmark.exe ซึ่งอยู่บนเซิร์ฟเวอร์ dl.guarddog2009.com
โดยไฟล์ bookmark.exe นั้นมีขนาด 3KB และจะทำหน้าที่เปลี่ยนหน้าเริ่มต้นของอินเทอร์เน็ตเว็บเบราเซอร์ไปเป็น "http://www.clonecashsystem.com/?nats=NjU1ODMuMjYuMzEuMzUuMC4wLjAuMC4w" ซึ่งเว็บไชต์นี้จะพยายามให้ผู้เข้าชมชื้อโครงการ "get-rich-quick"
สำหรับหน้าแรกของเว็บไซต์นี้จะมีลักษณะคล้ายกับหน้าแรกของโทรจัน CWS hijacking และโทรจันตัวนี้ได้รับการตั้งชื่อว่า "Trojan.StartPage.CloneCashSystem"
ที่มา
• SUNBelt Blog
© 2009 TWA Blog. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
Tom Kelchner ได้โพสต์ในในบล็อกของ SUNBelt ว่าพบโทรจัน (Trojan) ตัวใหม่บนเว็บไซต์ VX Catus โดยโทรจันดังกล่าวนี้จะอยู่ในไฟล์ชื่อ bookmark.exe ซึ่งอยู่บนเซิร์ฟเวอร์ dl.guarddog2009.com
โดยไฟล์ bookmark.exe นั้นมีขนาด 3KB และจะทำหน้าที่เปลี่ยนหน้าเริ่มต้นของอินเทอร์เน็ตเว็บเบราเซอร์ไปเป็น "http://www.clonecashsystem.com/?nats=NjU1ODMuMjYuMzEuMzUuMC4wLjAuMC4w" ซึ่งเว็บไชต์นี้จะพยายามให้ผู้เข้าชมชื้อโครงการ "get-rich-quick"
สำหรับหน้าแรกของเว็บไซต์นี้จะมีลักษณะคล้ายกับหน้าแรกของโทรจัน CWS hijacking และโทรจันตัวนี้ได้รับการตั้งชื่อว่า "Trojan.StartPage.CloneCashSystem"
ที่มา
• SUNBelt Blog
© 2009 TWA Blog. All Rights Reserved.
Friday, October 2, 2009
10 อันดับ Virus Computer ที่ระบาดทั่วโลก (ก.ย. 52)
10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนกันยายน 2552
บทความโดย: Thai Windows Administrator Blog
รายงานสรุปรายชื่อไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับแรกในระหว่างเดือนกันยายน 2552 ซึ่งรายงานนี้อ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของโปรแกรม 3 ตัวของ Trend Micro ดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบ Web Base สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
สำหรับไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนสิงหาคม โดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 34,581,298 เครื่อง ส่วนอันดับ 2 เปลี่ยนเป็นไวรัส CRYP_KRAP ซึ่งมีจำนวนคอมพิวเตอร์ที่ติดถึง 23,320,096 เครื่อง สำหรับอันดับอื่นมีรายละเอียดดังนี้
1. MAL_OTORUN2 (34,581,298)
2. CRYP_KRAP (23,320,096)
3. CRYP_VUNDO-19 (4,797,073)
4. CRYP_MANGLED (2,483,628)
5. MAL_OTORUN1 (2,125,185)
6. MAL_VUNDO-9 (1,612,760)
7. CRYP_OPET-3 (1,290,098)
8. CRYP_NAIX-7 (1,130,069)
9. CRYP_VUNDO-23 (900,943)
10. CRYP_VUNDO-24 (794,813)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนกันยายน 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 และในอันดับ 2 ยังคงเป็นไวรัส CRYP_KRAP นั่นเอง
• ที่มา: Trendmicro Virus Map
© 2009 TWAB. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
รายงานสรุปรายชื่อไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับแรกในระหว่างเดือนกันยายน 2552 ซึ่งรายงานนี้อ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของโปรแกรม 3 ตัวของ Trend Micro ดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบ Web Base สำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันระบบป้องกันไวรัสสำหรับองค์กร
สำหรับไวรัสตัวที่มีการพบมากในอันดับ 1 ไม่มีการเปลี่ยนแปลงจากเดือนสิงหาคม โดยยังคงเป็นไวรัส MAL_OTORUN2 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 34,581,298 เครื่อง ส่วนอันดับ 2 เปลี่ยนเป็นไวรัส CRYP_KRAP ซึ่งมีจำนวนคอมพิวเตอร์ที่ติดถึง 23,320,096 เครื่อง สำหรับอันดับอื่นมีรายละเอียดดังนี้
1. MAL_OTORUN2 (34,581,298)
2. CRYP_KRAP (23,320,096)
3. CRYP_VUNDO-19 (4,797,073)
4. CRYP_MANGLED (2,483,628)
5. MAL_OTORUN1 (2,125,185)
6. MAL_VUNDO-9 (1,612,760)
7. CRYP_OPET-3 (1,290,098)
8. CRYP_NAIX-7 (1,130,069)
9. CRYP_VUNDO-23 (900,943)
10. CRYP_VUNDO-24 (794,813)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนกันยายน 2552 นั้น โดยอันดับ 1 ยังคงเป็นไวรัส Mal_Otorun2 และในอันดับ 2 ยังคงเป็นไวรัส CRYP_KRAP นั่นเอง
• ที่มา: Trendmicro Virus Map
© 2009 TWAB. All Rights Reserved.
Tuesday, September 1, 2009
10 อันดับ Virus Computer ที่ระบาดทั่วโลก (ส.ค. 52)
10 อันดับ Virus Computer ที่ระบาดทั่วโลกเดือนสิงหาคม 2552
บทความโดย: Thai Windows Administrator Blog
นำมารายงานให้ทราบเพื่อเป็นข้อมูลอ้างอิงเช่นเคยครับ สำหรับสรุปไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับแรกในระหว่างเดือนสิงหาคม 2552 ซึ่งรายงานนี้อ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของโปรแกรม 3 ตัวของ Trend Micro ดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบสสำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันป้องกันไวรัสสำหรับองค์กร
สำหรับไวรัสตัวที่มีการพบมากเป็นอันดับ 1 และอันดับ 2 มีการเปลี่ยนแปลงจากเดือนกรกฎาคม โดยไวรัส MAL_OTORUN2 แซงกลับมาในอันดับ 1 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 45,794,860 เครื่อง และอันดับ 2 ได้แก่ไวรัส MAL_VUNDO-9 ซึ่งมีจำนวนคอมพิวเตอร์ที่ติดถึง 4,781,930 เครื่อง สำหรับอันดับอื่นมีรายละเอียดดังนี้
1. MAL_OTORUN2 (45,794,860)
2. CRYP_VUNDO-19 (4,781,930)
3. CRYP_KRAP (3,111,168)
4. CRYP_MANGLED (3,033,447)
5. MAL_OTORUN1 (2,610,643)
6. MAL_VUNDO-9 (2,239,783)
7. MAL_HIFRM (1,256,923)
8. CRYP_VUNDO-23 (989,814)
9. POSSIBLE_HIFRM-5 (924,583)
10. CRYP_XED-12 (749,778)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนสิงหาคม 2552 นั้น โดย Mal_Otorun2 แซงกลับมาเป็นอันดับ 1 ยังคงเป็น โดยอันดับ 2 เป็นแชมป์เก่าเดือนกรกฎาคมคือ CRYP_KRAP นั่นเอง
• ที่มา: Trendmicro Virus Map
© 2009 TWAB. All Rights Reserved.
บทความโดย: Thai Windows Administrator Blog
นำมารายงานให้ทราบเพื่อเป็นข้อมูลอ้างอิงเช่นเคยครับ สำหรับสรุปไวรัสคอมพิวเตอร์ที่ระบาดทั่วโลก 10 อันดับแรกในระหว่างเดือนสิงหาคม 2552 ซึ่งรายงานนี้อ้างอิงตามข้อมูลการตรวจพบไวรัสคอมพิวเตอร์ของโปรแกรม 3 ตัวของ Trend Micro ดังนี้
1. โปรแกรม HouseCall ซึ่งเป็นระบบบริการสแกนไวรัสแบบเว็บเบสสำหรับองค์กร
2. การให้บริการ Free on-line virus scanner (http://housecall.trendmicro.com/) บนอินเทอร์เน็ต
3. Trend Micro Control Manager (TMCM) ซึ่งเป็นโซลูชันป้องกันไวรัสสำหรับองค์กร
สำหรับไวรัสตัวที่มีการพบมากเป็นอันดับ 1 และอันดับ 2 มีการเปลี่ยนแปลงจากเดือนกรกฎาคม โดยไวรัส MAL_OTORUN2 แซงกลับมาในอันดับ 1 ด้วยจำนวนคอมพิวเตอร์ที่ติดถึง 45,794,860 เครื่อง และอันดับ 2 ได้แก่ไวรัส MAL_VUNDO-9 ซึ่งมีจำนวนคอมพิวเตอร์ที่ติดถึง 4,781,930 เครื่อง สำหรับอันดับอื่นมีรายละเอียดดังนี้
1. MAL_OTORUN2 (45,794,860)
2. CRYP_VUNDO-19 (4,781,930)
3. CRYP_KRAP (3,111,168)
4. CRYP_MANGLED (3,033,447)
5. MAL_OTORUN1 (2,610,643)
6. MAL_VUNDO-9 (2,239,783)
7. MAL_HIFRM (1,256,923)
8. CRYP_VUNDO-23 (989,814)
9. POSSIBLE_HIFRM-5 (924,583)
10. CRYP_XED-12 (749,778)
หมายเหตุ: ตัวเลขในวงเล็บคือจำนวนเครื่องคอมพิวเตอร์ที่ติดไวรัส
สำหรับไวรัสคอมพิวเตอร์ที่มีการระบาดมากที่สุดในประเทศไทยในระหว่างเดือนสิงหาคม 2552 นั้น โดย Mal_Otorun2 แซงกลับมาเป็นอันดับ 1 ยังคงเป็น โดยอันดับ 2 เป็นแชมป์เก่าเดือนกรกฎาคมคือ CRYP_KRAP นั่นเอง
• ที่มา: Trendmicro Virus Map
© 2009 TWAB. All Rights Reserved.
