Virus Alert: Trojan-Win32/Winwebsec

ระวังโทรจัน Win32/Winwebsec
บทความโดย: Thai Windows Administrator Blog

ชื่อไวรัส: Trojan-Win32/Winwebsec
วันที่ออกระบาด: 21 เมษายน 2552
ชื่ออื่นๆ:
System Security (other)
Winweb Security (other)
FakeAlert-WinwebSecurity.gen (McAfee)
Mal/FakeAV-AK (Sophos)
Troj/FakeVir-LB (Sophos)
Adware/AntiSpywarePro2009 (Panda)
Adware/UltimateCleaner (Panda)
Adware/Xpantivirus2008 (Panda)
Win32/Adware.SystemSecurity (ESET)
Win32/Adware.WinWebSecurity (ESET)
AntiVirus2008 (Symantec)
SecurityRisk.Downldr (Symantec)
W32/AntiVirus2008.AYO (Norman)

รายละเอียด:
Trojan-Win32/Winwebsec เป็นไวรัสที่ปลอมตัวเป็นโปรแกรมป้องกันไวรัส เพื่อหลอกผู้ใช้ให้ติดตั้งลงบนเครื่อง จากนั้นมันก็จะทำการแสดงข้อความเตือนเพื่อหลอกผู้ใช้ว่ามีการพบไวรัสอยู่บนเครื่องคอมพิวเตอร์ พร้อมกับแจ้งผู้ใช้ว่าหากจะทำการลบไวรัสที่พบออกจากเครื่อง จะต้องทำการลงทะเบียนและจ่ายค่าบริการในการกำจัดไวรัส (ซึ่งไม่มีอยู่จริงบนเครื่อง) โดย Trojan-Win32/Winwebsec จะแพร่ระบาดในชื่อต่างๆ หลายชื่อ ในอินเทอร์เฟชที่แตกต่างกันหลายๆ แบบ

อาการเมื่อติดไวรัส
เมื่อเครื่องคอมพิวเตอร์ติด Trojan-Win32/Winwebsec จะมีหรือแสดงอาการต่างๆ ดังนี้
1. มีไฟล์ในชื่อและตำแหนงต่างๆ ดังนี้ (ชื่อไฟล์อาจจะแตกต่างไปจากนี้)
%COMMON_APPDATA%\WinwebSecurity\WinwebSecurity.exe
%COMMON_APPDATA%\WinwebSecurity\config.udb
%COMMON_APPDATA%\WinwebSecurity\init.udb
%COMMON_APPDATA%\WinwebSecurity\Languages\English.lng

2. มีการแก้ไขรีจีสทรีดังนี้ (ชื่อไฟล์อาจจะแตกต่างไปจากนี้)
- เพิ่มค่า "" (เหมือนกับชื่อไฟล์หลอกๆ เช่น 1677291695) มีข้อมูลเป็น: "" (e.g. C:\Documents and Settings\All Users\Application Data\922926319\1677291695.exe) เข้าใน subkey: HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

- เพิ่มค่า WinwebSecurity มีข้อมูลเป็น: "%COMMON_APPDATA%\WinwebSecurity\WinwebSecurity.exe" เข้าใน subkey: HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

- เพิ่มค่า: adpws มีข้อมูลเป็น: "%COMMON_APPDATA%\.exe" (e.g. "%COMMON_APPDATA%\5689887B.exe") เข้าใน subkey: HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

3. แสดงภาพหรือไดอะล็อกบ็อกซ์หรือข้อความเตือนผู้ใช้ว่ามีการพบไวรัสอยู่บนเครื่องคอมพิวเตอร์ ลักษณะดังรูปด้านล่าง


ตัวอย่างของข้อความเตือนที่ 1 ซึ่ง Trojan-Win32/Winwebsec แสดงหลอกผู้ใช้ (ภาพจาก MMPC)


ตัวอย่างของข้อความเตือนที่ 2 ซึ่ง Trojan-Win32/Winwebsec แสดงหลอกผู้ใช้ (ภาพจาก MMPC)

วิธีการกำจัดไวรัส
เมื่อเครื่องคอมพิวเตอร์ติดไวรัส Trojan-Win32/Winwebsec สามารถกำจัดหรือแก้ไขได้โดยการสแกนด้วยโปรแกรม Microsoft Windows Defender หรือสแกนผ่านทางออนไลน์ที่เว็บไซต์ Windows Live safety scanner (http://onecare.live.com/site/en-us/default.htm) หรือทำการสแกนด้วยโปรแกรมป้องกันไวรัสตัวที่ติดตั้งอยู่บนเครื่อง (อย่าลืมทำการอัพเดท Virus Definition ก่อนทำการสแกนนะครับ)

แหล่งข้อมูลอ้างอิง
• Trojan:Win32/Winwebsec - MMPC

© 2009 TWAB. All Rights Reserved.

Read More

Advanced Group Policy Management (AGPM)

ภาพรวมของ Advanced Group Policy Management (AGPM)
บทความโดย: Thai Windows Administrator Blog

สำหรับ Administrator ที่ดูแลระบบ Windows Server 2003 คงจะพอคุ้นเคยกับเครื่องมือ Group Policy Management Console (GPMC) ซึ่งเป็นเครื่องมือเพิ่มเติมสำหรับใช้จัดการเกี่ยวกับ GPOs ซึ่งช่วยให้ Administrator สามารถบริหารจัดการ GPOs ได้อย่างมีประสิทธิภาพ (อ่านรายละเอียดวิธีการใช้งาน GPMC ได้ที่เว็บไซต์ Windows Server 2003 Group Policy & GPMC)

สำหรับ Microsoft Advanced Group Policy Management (AGPM) นั้นเป็นเครื่องมือที่ได้ขยายความสามารถของ GPMC ให้สามารถควบคุมการเปลี่ยนแปลง GPOs ได้กว้างขวางขึ้น และปรับปรุงการจัดการ GPOs ให้ดียิ่งขึ้น โดย AGPM นั้นจะเป็นส่วนหนึ่งของชุด Microsoft Desktop Optimization Pack (MDOP) ซึ่งมีให้เฉพาะลูกค้าแบบ Software Assurance เท่านั้น

AGPM สามารถรองรับการใช้งานในด้านต่างๆ ดังนี้
1. ทำการแก้ไข GPO แบบออฟไลน์ ทำให้ Admin สามารถสร้างและทดสอบ GPO ก่อนที่จะทำการปรับใช้ในสภาพแวดล้อมการใช้งานจริง
2. บำรุงรักษา GPO หลายๆ เวอร์ชัน จากจุดเดียว ทำให้สามารถย้อนกลับได้ในกรณีเกิดปัญหาในการใช้งาน
3. สามารถแบ่งความรับผิดชอบในการแก้ไข อนุมัติ หรือทบทวน GPO ระหว่าง Admin แต่ละท่านโดยใช้ role-based delegation
4. ขจัดปัญหาการแก้ไข Group Policy ที่ซ้ำซ้อนระหว่าง Admin หลายคน โดยเพิ่มความสามารถ check-in และ check-out ในการแก้ไข GPOs
5. วิเคราะห์การเปลี่ยนแปลงของ GPO เปรียบเทียบระหว่าง GPO แต่ละชุด หรือแต่ละเวอร์ชันของ GPO ชุดเดียวกัน โดยใช้ difference reporting
6. สามารถสร้าง GPOs ใหม่ได้ง่าย เนื่องจากมีเท็มเพลตซึ่งเก็บการตั้งค่านโยบายทั่วไปและการตั้งค่าพื้นฐาน เพื่อใช้เป็นจุดเริ่มต้นของ GPOs ใหม่

ปัจจุบัน AGMP นั้น พัฒนามาถึงเวอร์ชัน 3.0 แล้ว โดยมีฟีเจอร์ใหม่ดังนี้

1. รองรับ Windows Server® 2008 และ Windows Vista® ที่ติดตั้ง Service Pack 1 ทั้งเวอร์ชัน 32-bit และ 64-bit
2. ปรับปรุงกระบวนการติดตั้งให้ดีขึ้น
3. ขั้นตอนการประยุกต์การแก้ไขหมายเลขพอร์ตที่ AGPM Server ใช้ในการติดต่อ
4. มีคำอธิบายและข้อมูลแสดงรายละเอียดในประวัติของ GPO แต่ละตัว
5. สามารถในการทำ delegate
6. สามารถจำกัดจำนวนเวอร์ชันของ GPO ที่จะทำการจัดเก็บไว้ได้
7. สามารถทำการคอนฟิก e-mail security สำหรับ AGPM
8. ชื่อของการตั้งค่านโยบาย AGPM ที่ใช้งานง่าย
9. การลบ GPOs จากที่จัดเก็บไว้โดย Editor จะต้องได้รับอนุญาตก่อน

สำหรับรายละเอียดการใช้งานสามารถอ่านได้จากเว็บไซต์ต่างๆ ที่แสดงไว้ในแหล่งข้อมูลอ้างอิง

แหล่งข้อมูลอ้างอิง
• Step-by-Step Guide for Microsoft Advanced Group Policy Management 2.5
• Step-by-Step Guide for Microsoft Advanced Group Policy Management 3.0

© 2009 TWAB. All Rights Reserved.

Read More

วิธีตรวจสอบว่าเครื่องติดไวรัส Conficker หรือไม่?

วิธีตรวจสอบว่าเครื่องติดไวรัส W32.Conficker.C หรือ W32.Downadup.C หรือไม่?
บทความโดย: Thai Windows Administrator Blog

ถึงแม้ว่าจะผ่านมากว่า 8 เดือนแล้ว นับตั้งแต่เกิดการระบาดของไวรัส W32.Conficker.A หรือ W32.Downadup.A แต่ถึงปัจจุบันดูเหมือนว่าการระบาดไม่เพียงจะไม่ลดลงแต่ยังคงเพิ่มขึ้นเรื่อยๆ โดยตัวผมเองได้รับการแจ้งจากผู้ใช้อย่างน้อย 1 คนต่อวันว่าโดยไวรัสสายพันธ์นี้เล่นงาน ซึ่งตัวปัจจุบันที่พบระบาดมากคือ W32.Conficker.C หรือ W32.Downadup.C

ก็อย่างที่ทราบกันแล้วว่า W32.Conficker.C หรือ W32.Downadup.C จะแพร่กระจายผ่านทางการแชร์โฟลเดอร์ การแชร์เครื่องพิมพ์ และการสื่อเก็บข้อมูลแบบยูเอสบี โดยโดยใช้จุดพกพร่อง Server Service (SVCHOST.EXE) ของวินโดวส์ซึ่งไมโครซอฟท์ออกซีเคียวริตี้อัพเดทหมายเลข MS08-067 เพื่อปิดช่องโหว่ดังกล่าวนี้ตั้งแต่วันที่ 23 เดือนตุลาคมปี 2551 ที่ผ่านมาแล้ว แต่เนื่องจากยังมีเครื่องคอมพิวเตอร์เป็นจำนวนมากที่ยังไม่ได้ทำการติดตั้งแพตช์ จึงเป็นช่องทางให้ไวรัสตัวนี้ยังคงแพร่ระบาดอย่างต่อเนื่อง

หมายเหตุ: มีรายงานว่า ไวรัสสายพันธุ์ Conficker บางตัว สามารถทำการโจมตีระบบได้ถึงแม้ว่าระบบนั้นจะทำการติดตั้งแพตช์หมายเลข MS08-067 แล้วก็ตาม

อาการที่เกิดจากการติดไวรัส W32.Conficker.C หรือ W32.Downadup.C
เมื่อติดไวรัส W32.Conficker.C หรือ W32.Downadup.C เครื่องคอมพิวเตอร์จะมีอาการต่างๆ ดังนี้
1. เครื่องคอมพิวเตอร์ทำงานผิดพลาด เนื่องจากไวรัสได้ทำการแก้ไขค่าในรีจิสทรี สร้างไฟล์มัลแวร์ รวมทั้งมีทำการหยุดการทำงานของบางเซอร์วิสของระบบและโปรแกรมรักษาความปลอดภัยด้วย
2. ไม่สามารถใช้งานอินเทอร์เน็ตได้ หรือใช้งานได้แต่ว่าช้าผิดปรกติ
3. ไม่สามารถใช้งานแชร์โฟลเดอร์บนระบบเครือข่าย (Shared Folder) ได้ตามปกติ
4. ไม่สามารถใช้งานเครื่องพิมพ์ที่แชร์บนระบบเครือข่าย (Shared Printer) ได้ตามปกติ

นอกจากอาการดังกล่าวด้านบนแล้ว จะมีการเชื่อมต่อด้วยโปรโตคอล TCP ที่พอร์ตหมายเลข 139 หรือ 445 มากผิดปกติ ซึ่งสามารถตรวจสอบโดยการใช้คำสั่ง netstat -n ที่คอมมานด์พร้อมท์ หากผลที่ได้มีลักษณะดังรูปด้านล่าง ซึ่งมีการเชื่อมต่อผ่านทางพอร์ตหมาย 445 ไปยังเครื่องอื่นถึง 11 เครื่อง มีความเป็นไปได้สูงมากที่เครื่องจะติดไวรัส W32.Conficker.C หรือ W32.Downadup.C เข้าแล้ว


รูปที่ 1 การเชื่อมต่อด้วยพอร์ตหมายเลข 445 มากผิดปกติ

สำหรับท่านที่ตรวจสอบแล้ว พบว่าเครื่องติดไวรัส Conficker สามารถอ่านวิธีแก้ไขได้ที่เว็บไซต์ ดังนี้
• วิธีการลบไวรัส W32.Conficker หรือ W32.Downadup ด้วยตนเอง
• Removal Tool สำหรับแก้ไวรัส Conficker หรือ Downadup

ข้อมูลที่เกี่ยวข้อง
• ระวังเวิร์ม Conficker หรือ Downadup ระบาด

© 2009 TWAB. All Rights Reserved.

Read More

Cross Reference List of Virus Names

เอกสารอ้างอิงชื่อไวรัสของโปรแกรมป้องกันไวรัสแต่ละยี่ห้อ
บทความโดย: Thai Windows Administrator Blog

ผมเป็นคนหนึ่งที่ประสบกับความสับสนในการเรียกชื่อไวรัส ของบริษัทผู้พัฒนาโปรแกรมป้องกันไวรัสแต่ละยี่ห้อ ซึ่งมีการเรียกชื่อไวรัสที่แตกต่างกัน โดยแต่ละยี่ห้อพยายามตั้งชื่อให้เป็นเอกลักษณ์ของตนเอง เพื่อสร้างจุดเด่นและผลทางการค้า ถึงแม้ว่าบางยี่ห้ออาจจะใ้ห้ข้อมูลถึงชื่ออ้างอิงไว้บนเว็บไซต์แต่ก็ช่วยได้ไม่มากนัก

สำหรับวิธีการลดความสับสนเรื่องชื่อของไวรัสนั้น ผมพบว่าเอกสารเรื่อง Cross Reference List of Virus Names ที่จัดทำโดย AV-Test ซึ่งเป็นองค์กรที่ทำการทดสอบโปรแกรมป้องกันไรัสอิสระที่ไม่หวังผลกำไร เพื่อใช้ในการอ้างอิงถึงชื่อไวรัสของโปรแกรมป้องกันไวรัสยี่ห้อต่างๆ จำนวน 27 โปรแกรม (โปรแกรมหลายตัวที่ผมไม่เคยรูจัก) ตามรายชื่อด้านล่าง

สามารถดาวน์โหลดไฟล์ Cross Reference List of Virus Names ได้จากเว็บไซต์ Cross-reference list of all virus names โดยเป็นไฟล์เอ็กเซลมีขนาดประมาณ 533 KB หลังจากดาวน์โหลดเสร็จแล้วให้ทำการแตกไฟล์แล้วเปิดด้วยโปรแกรม Microsoft Excel

1. AntiVir
2. Avast!
3. AVG
4. BitDefender
5. CA-AV
6. ClamAV
7. Dr Web
8. Fortinet
9. F-Prot
10. F-Secure
11. Ikarus
12. K7 Computing
13. Kaspersky
14. McAfee และ McAfee (Online)
15. Microsoft
16. Nod32
17. Norman
18. Panda และ Panda (Online)
19. QuickHeal
20. Rising
21. SecureWeb-GW
22. Sophos
23. Sunbelt
24. Symantec
25. Trend Micro
26. VBA32
27. VirusBuster

แหล่งข้อมูลอ้างอิง
• AV-Test.org

© 2009 TWAB. All Rights Reserved.

Read More

Windows 7 RC: User Account Control

สำรวจฟีเจอร์ User Account Control (UAC) ใน Windows 7 RC
บทความโดย: Thai Windows Administrator Blog

ไมโครซอฟท์ปรับปรุงการทำงานของฟีเจอร์ User Account Control (UAC) ใน Windows 7 RC ให้ทำงานที่Integrity process ที่สูงขึ้น และการเปลี่ยนแปลงการตั้งค่า UAC จะแสดงพร็อมพ์ให้ผู้ใช้เป็นทำการยืนยันทุกครั้งในกรณีเป็น Administrator หรือป้อนครีเดนเชียล (Credential) กรณีเป็น Standard user

สำหรับในการทำงานนั้น UAC ไม่มีข้อแตกต่างจากใน Windows 7 Beta มากนัก โดยสามารถกำหนดระดับการควบคุมได้ 4 ระดับ ดังนี้
1. Never notify me when:
• Programs try to install software or make changes to my computer
• I make changes to Windows Settings

2. Notify me only when programs try to make changes to my computer (do not dim my desktop)
• Don't notify me when I make changes to Windows Settings

3. Default - Notify me only when programs try to make changes to my computer
• Don't notify me when I make changes to Windows Settings

4. Always notify me when:
• Programs try to install software or make changes to my computer
• I make changes to Windows Settings

การคอนฟิก User Account Control
วิธีการคอนฟิก User Account Control ของ Windows 7 RC มีขั้นตอนดังนี้
1. คลิก Start คลิก Control Panel
2. ในหน้าต่าง Control Panel ให้คลิก System and Security
3. ในหน้าต่าง System and Security ในหัวข้อ Action Center ให้คลิก Change User Account Control settings
4. จากนั้นทำการปรับระดับการทำงานของ UAC โดยการเลื่อนสไลด์บาร์ เลือกระดับที่ต้องการ เสร็จแล้วคลิก OK


• Windows 7 User Account Control (UAC)

5. ในหน้าไดอะล็อกบ็อกซ์ User Account Control ให้คลิก Yes เพื่อยืนยันการเปลี่ยนแปลง


• User Account Control prompt

หมายเหตุ: กรณีที่ทำการปรับระดับ UAC เป็น Never notify (ปิดการใช้งาน UAC) วินโดวส์จะแจ้งเตือนให้ทำการรีสตาร์ทระบบเพื่อให้การตั้งค่ามีผล

สรุป
ฟีเจอร์ User Account Control ที่ได้รับการปรับปรุงใหม่ใน Windows 7 RC ได้รับการปรังปรุงการทำงานให้มีความน่าเชื่อถือมากขึ้น จะแสดงพร็อมพ์ให้ผู้ใช้ทำการยืนยันทุกครั้งโดยกรณีเป็น Administrator หรือป้อนครีเดนเชียล (Credential คือ User name และ Password) กรณีเป็น Standard user

ลิงก์ที่เกี่ยวข้อง
• "สำรวจฟีเจอร์ User Account Control ใน Windows 7 Beta"

© 2009 TWAB. All Rights Reserved.

Read More