รู้ทัน ป้องกันไวรัส

สำหรับ หน้านี้ผมตั้งใจเขียนขึ้นมาเพื่อแนะนำอาการ วิธีการของไวรัส รวมทั้งวิธีแก้ไขปัญหาขั้นต้น เท่าที่ผมพอจะทราบ และได้พบเจอมาดังนั้นการนำเสนออาจจะวกวนหรือสับสนไปบ้างก็ต้องขออภัยจริงๆ ครับคือเนื้อหาอาจจะไม่ได้มีการเรียบเรียงที่ดีนัก พูดง่ายๆคือผมเจอหรือรู้อะไรที่คิดว่าน่าสนใจ ก็จะเอามาระบายใส่ไว้ในหน้านี้
ดังนั้น เนื้อหาอาจจะดูกระโดดไปกระโดดมาบ้าง ไว้มีโอกาสผมจะจัดการเรียบเรียงใหม่อีกทีครับ ในขั้นต้นผมจะพยายามแยกเป็นหัวข้อไว้แล้วกันเผื่อใครไม่อยากอ่านทั้งหมดจะ ได้ข้ามๆไปได้ เพราะรู้สึกว่ามันจะยาวขึ้นเรื่อยๆ

สารบัญ

สายพันธุ์ไวรัส

- สายพันธุ์ Autorun

- สายพันธุ์ Folder(ปลอม)

- สายพันธุ์วุ่นวายกับ File ระบบ


เรื่องน่ารู้เกี่ยวกับไวรัส

ไวรัสทำงานอย่างไร

ขั้นตอนการตรวจสอบไวรัสเบื้องต้น

การกำจัดไวรัสขั้นพื้นฐาน



ช่วง นี้ไวรัสที่อาศัยช่องทาง Autorun ของ Windows ระบาดกันเหลือเกิน ออกกันมาไม่ซ้ำเลยจากช่วงแรกๆจะเป็นพวก Hacked By อะไรต่ออะไรเยอะแยะไปหมด แต่ดูแล้วช่วงหลังๆแม้กระทั่งไวรัสตัวอื่นๆที่ไม่ได้แก้ Title ของ IE ก็อาศัยช่องทางนี้กับเค้าด้วยคงเพราะสามารถแพร่ได้รวดเร็ว เพียงอาศัยการเกาะติดไปใน Thumb Drive โดยฝังไฟล์ที่ชื่อ Autorun.inf ไว้ใน Thumb Drive นั้นๆ เมื่อนำไปเสียบที่เครื่อง Windows ก็จะมาอ่านคำสั่งที่อยู่ในไฟล์นี้ว่า จะให้ ดำเนินการอะไรต่อไป ซึ่งหลักๆแล้วก็คือการเรียกตัว Virus(ตัวจริง) ให้ทำงานขึ้นมาเท่านั้นเอง และจะมีการ


ใน ตัว Kill_Autorun ตัวก่อนๆที่ผมสร้างนั้นผมจึงทำการปิด AutoRun ของทุก Drive เพื่อแก้ปัญหาในส่วนนี้ แต่เท่าที่ใช้ในที่ทำงาน มักมีผู้ใช้แจ้งมาว่าไม่สะดวก เนื่องจากบางครั้งใส่แผ่น CD ที่ต้องการใช้ Autorun แล้วมันไม่ขึ้นเมนูมาให้ต้องเข้าไปเรียกเอาเอง และอยากที่จะเสียบ Thumb Drive แล้วอยากที่จะให้มัน Popup ขึ้นมาเลยจะได้ไม่ต้องเข้าไปผ่านทาง My Computer อีก

ผมจึงได้ทำการแก้ไขในส่วนนี้ โดยตัวล่าสุดที่สร้าง ซึ่งเปลี่ยนชื่อเป็น Ultra_Clean ได้ทำการยกเลิกในการปิด AutoRun ไปแล้วครับ และเพื่อเป็นการพบกันครึ่งทาง คือยังคง AutoRun ไว้แต่ป้องกันการติดไวรัสด้วย จึงลองหาข้อมูลดู พอดีไปได้แนวคิดมาจาก Web ของต่างประเทศ ต้องขออภัยเจ้าของ Web ด้วยครับที่ผมจำชื่อไม่ได้จริงๆ

ผม จึงแก้ปัญหานี้ด้วยการสร้าง Folder ชื่อ Autorun.inf ไว้ในทุกๆ Drive รวมถึง Thumb Drive ด้วย ทำให้ไวรัสไม่สามารถที่จะสร้างไฟล์ Autorun.inf ขึ้นมาได้ เพราะโดยธรรมชาติของ Windows แล้วจะไม่ยอมให้มีชื่อซ้ำกัน โดยไม่ได้แยกแยะว่าเป็น Folder หรือ File ส่วนสาเหตุที่ใช้การสร้าง Folder แทนที่จะสร้าง File นั้นเพราะถ้าเราสร้าง ไฟล์ที่ชื่อ Autorun.inf นั้น ตัวไวรัสสามารถที่จะทำการสร้างไฟล์ Autorun.inf ของตัวมันเองทับไฟล์ของเราได้ครับ แต่ถ้าเราสร้างเป็น Folder จากที่ลองทดสอบดูมันไม่สามารถทับได้ครับ

แต่ไม่ ได้หมายความว่าเมื่อทำแบบนี้แล้วเครื่องเราจะไม่ติดไวรัสแล้วนะครับ มันเป็นเพียงการป้องกัน การเรียกไวรัสซ้ำขึ้นมา และเป็นการป้องกันอาการ Double Click เรียก Drive ไม่ได้เท่านั้นเอง และที่สำคัญสำหรับตัว Thumb Drive เองนั้นก็จะเป็นการป้องกันการเป็นพาหะนำไวรัสไปยังเครื่องอื่นๆครับ คือเมื่อนำ Thumb Drive ที่ติดไวรัสไปเสียบเครื่องอื่นๆก็จะไม่มีการเรียกตัวไวรัสใน Thumb Drive เพื่อขยายพันธุ์ลงไปในเครื่องนั้นๆครับ แต่ตัวไวรัสยังอยู่ใน Thumb Drive นะครับ เพื่อความปลอดภัยผมแนะนำว่าควรที่จะเปิด Show All File รวมทั้ง File System ด้วยแล้วสังเกตุดูว่ามีไฟล์แปลกๆอยุ่ใน Thumb Drive เราหรือไม่ โดยเฉพาะไฟล์ .VBS และ .Exe ถ้าเจอก็ลบทิ้งไปเลยครับ ไวรัสแน่นอนครับ

เพิ่มเติม:
ตอนนี้ผมได้ทำตัวป้องกันไวรัสตระกูลที่ใช้ Autorun.inf แล้วถ้าสนใจลองดู Ultra_Family นะครับ

หมายเหตุ:
สำหรับ Folder Autorun.inf ที่ผมพูดถึงด้านบนนั้น เพื่อเป็นการหลีกเลี่ยงความสับสนที่อาจ จะเกิดขึ้น กับไวรัสบางตัวที่ใช้ Icon เป็นรูป Folder เหมือนกัน ผมจึงได้ทำให้เป็นรูป Ultraman ไว้นะครับ ถ้าเปิดดูใน Drive แล้วเจอ Autorun.inf ที่เป็นรูป Ultraman ก็ไม่ต้องตกใจนะครับ ไม่ใช่ไวรัสครับ เป็น Folder ที่ผมกล่าวถึง ในด้านบน นั่นเอง ซึ่งภายในจะประกอบด้วยไฟล์ 2 ไฟล์ คือไฟล์ Ultra.ico ซึ่งก็คือรูปที่แสดงนั่นเอง กับอีกไฟล์ชื่อ Desktop.ini เป็นไฟล์ที่กำหนดให้ Folder แสดงรูปครับ ไม่ใช่ไวรัสแต่อย่างใดครับ ไม่ต้องลบทิ้งครับผม



เพื่อไม่ให้เป็นการเสียเวลาผู้อ่านมากผมขอเข้าเรื่องเลยละกันครับ เรื่องของเรื่องก็คือช่วงหลังๆนี่เห็นไวรัสหลายตัวที่ใช้ Option ของ Windows ที่สามารถปิดการแสดงนามสกุลไฟล์ที่ตัว Windows เองรู้จักโดยการแสดงเพียงชื่อเท่านั้น ซึ่งแน่นอน ครับว่าหนึ่งในนั้นมีไฟล์ .Exe รวมอยู่ด้วยแน่นอนเพราะเป็นไฟล์พื้นฐานอยู่แล้ว เจ้าไวรัสใช้ Option นี้ล่ะครับ เป็นโอกาส ในการหลอกล่อเราให้ตกหลุมพราง วิธีการก็ไม่ยุ่งยากซับซ้อนอะไรมากมายเกินความเข้าใจครับ คือเจ้าคนเขียนไวรัสเนี่ยจะใช้วิธีการกำหนดให้ Icon ของตัวไวรัส(เฉพาะไวรัสที่เป็น .exe นะครับ) เป็นรูป Folder ครับ แต่ปัญหาของมันก็คือถึงแม้ Icon จะเป็นรูป Folder แต่ตัวมันจริงๆเป็นไฟล์ครับ ไม่ใช่ Folder จึงมีนามสกุล .exe ห้อยท้ายมาด้วย แอบไม่มิดครับ นอกจากผู้ใช้งานมองแบบไม่ละเอียด คือมองผ่านๆแค่ Icon
คำ ถามคือแล้วจะทำไงให้มันแอบมิดชิดล่ะครับ คำตอบก็คือใช้ Option ที่ผมกล่าวถึงในขั้นต้นนั่นล่ะครับ ปิดการแสดงนามสกุลมันซะเลย ซึ่งอย่างที่บอกว่า .exe นั้น ตัว Windows รู้จักอยู่แล้วก็ไม่ต้องแสดงนามสกุล .exe ต่อท้ายชื่อไฟล์ เท่านี้เองก็แยกแยะไม่ออกแล้วล่ะว่าอันไหนเป็นไฟล์(ไวรัส) อันไหนเป็น Folder เพราะ Icon เหมือนกันนี่ครับ ลองดูรูปประกอบนะครับ


เมื่อ ปิดการแสดงนามสกุลแล้วทำไงต่อล่ะครับให้ผู้ใช้หลวมตัวไป Double Click เรียกมันขึ้นมาได้ เท่าที่เจอมี 2 วิธีครับ คือตั้งชื่อไวรัส(ซึ่ง Icon เป็นรูป Folder) ให้น่าสนใจ เช่น Sex.exe Games.exe ฯลฯ ซึ่งเมื่อผู้ใช้เห็นก็จะเผลอตัว เปิดเข้าไป ดูเพราะคิดว่าเป็นแค่ Folder ซึ่งผู้ใช้หลายคนค่อนข้างมั่นใจว่าเปิดได้โดยไม่มีผลเสียอะไร เพราะไม่ใช่ไฟล์ ยังไงซะก็ไม่มี อันตรายแน่นอน ถ้ามีไฟล์แปลกๆด้านในค่อยว่ากันอีกที ซึ่งหารู้ไม่ว่าที่คุณ Double Click เข้าไปนั้นนั่นล่ะครับ ไฟล์ .exe เต็มๆตัวเลย

กับ อีกพวกหนึ่ง พวกนี้เจ้าคนเขียนไวรัสนี่คิดแบบลึกซึ้งหน่อย(ช่างคิดจริงๆพ่อคุณ) ว่าถ้าเกิดผู้ใช้งานบางคนซึ่งรอบคอบล่ะ ไม่เปิดแน่ แม้จะเป็นแค่ Folder แต่ถ้าเป็น Folder ที่ชื่อไม่คุ้น คือมั่นใจว่าตนเองไม่ได้สร้างหรือ Copy มาเองแน่นอน แผนแรกก็ใช้ไม่ได้ครับ แล้วทำไงล่ะ เจ้าพวกนี้ก็ใช้วิธีอ่านชื่อ Folder ใน Drive ที่มันติดเข้าไปนั่นครับ แล้วเอาชื่อพวกนี้ล่ะ มาตั้งชื่อให้ไวรัสตัวเอง ซึ่งแน่นอนครับมี .exe ต่อท้าย หลังจากนั้นก็ใช้วิธีเดิมล่ะครับปิดการแสดงนามสกุลไฟล์ซะ แต่ก็ยังไม่ เนียนมากพอ เพราะจะกลายเป็นมองเหมือนมี Folder ชื่อเดียวกันอยู่ 2 Folder เจ้าไวรัสก็ใช้มุขยอดนิยมล่ะครับคือทำการ Set Attribute ของ Folder ตัวจริงให้เป็น Hidden ซะแล้วปิดการ Show Hidden File ซะ เท่านี้เราก็มองไม่เห็น Folder จริงๆของเราแล้ว มองเห็นแต่เจ้าตัวไวรัส ซึ่งไม่แสดงนามสกุล และเป็นชื่อเดียวกับ Folder เรา แน่นอนครับมองผ่านๆ เราก็คิดว่านั่นเป็น Folder ของเรา เมื่อเราไป Double Click เรียกก็ตกหลุมพรางเจ้าไวรัสไปเรียบร้อยครับ

เอา ล่ะครับเมื่อทราบที่มาที่ไปของเจ้าไวรัสรูปแบบนี้กันแล้วมาดูวิธีป้องกัน กันดีกว่า วิธีการก็ไม่ยากอะไรครับ ผมแนะนำว่าให้ไปปิดเจ้าตัว Option ในการซ่อนนามสกุลไฟล์ซะ ต้องขออภัยจริงๆครับที่ผมจำไม่ได้ว่าโดย Default ของ Windows แล้วเจ้าตัวนี้เปิดหรือปิดอยู่ เอาเป็นว่าถ้ามันเปิดใช้อยู่ก็ไปปิดมันซะ จะได้แยกแยะได้ว่าอันไหน Folder อันไหน File ถ้าเกิดมีโอกาสไปเจอเจ้าไวรัสพวกนี้เข้า เท่านี้เราก็ปลอดภัยจากการตกหลุมพราง เจ้าไวรัสไปอีกขั้น ล่ะครับ ถ้าเป็นไปได้ผมอยากแนะนำให้เปิด Show Hidden Files ซะด้วยเลย จะได้ตรวจสอบได้ง่ายๆเมื่อมีไฟล์ แปลก ปลอมโผล่เข้ามา แต่บางคนอาจจะรุ้สึกรำคาญที่เห็นไฟล์ Hidden ซึ่งเป็นสีจางๆ ยังไงเปิดแค่แสดงนามสกุลไฟล์ก็ยังดีครับ



วัน เสาร์ที่แล้วได้มีโอกาสคุย MSN กับเพื่อนๆที่ติดไวรัสมา ผมเห็นว่าตัวนี้อาการน่าสนใจดีแปลกกว่าตัวอื่นๆ เลยเอามาเล่าสู่กันฟังครับ สำหรับไวรัสช่วงหลังๆที่เราเจอกัน มักจะใช้การป้องกันตัวเองด้วยการห้ามเราใช้พวก Tool ของ Windows ในการไปกำจัดมันไม่ว่าจะเป็น Task Manager,Msconfig,CMD,Regedit ซึ่งโดยส่วนมากที่เจอคือมันจะ Lock ไว้ไม่ให้เราใช้งานเครื่องมือพวกนี้ ไม่ได้ไปวุ่นวายกับตัวไฟล์โดยตรง แต่เจ้าตัว ที่ผมเจอ เมื่อวันเสาร์มันมาแปลกครับคือไม่ Lock สิทธิ์ เราสามารถเรียกคำสั่งจาก Start =>Run ได้เลยโดยไม่มี Error แจ้งอะไรทั้งสิ้น แต่เมื่อเรียกแล้วแทนที่มันจะขึ้นเป็นโปรแกรมที่เราเรียกมันกลับขึ้นเป็น Folder ว่างๆขึ้นมาแทนครับ

มา ดูกันว่าเจ้า Folder ที่ว่ามาได้ยังไง เจ้าไวรัสพวกนี้มันก็ใช้วิธีเดียวกับที่ผมสร้าง Folder ชื่อ Autorun.inf ไว้ในทุก Drive น่ะครับ คือมันจะไปลบไฟล์ตัวจริงออกทั้ง Taskmgr.exe,Msconfig.exe,CMD.exe และ Regedit .exe แล้วสร้าง Folder ที่ชื่อเดียวกันนี้ขึ้นมาแทน เมื่อเราเรียกโปรแกรมเช่น Regedit แทนที่ Windows มันจะเปิดโปรแกรม Regedit ขึ้นมาให้ มันกลับเปิด Folder ขึ้นมาแทนครับ เพราะ Regedit.exe เป็นชื่อของ Folder นี่ครับไฟล์ตัวจริงน่ะโดนลบไปแล้ว ดังนั้นไม่ว่าเราจะเรียกโปรแกรมอะไรตามที่บอกไว้ข้างต้น Windows ก็จะทำการเปิด Folder ว่างๆขึ้นมาให้ครับเพราะชื่อตรงกับที่เราเรียกนี่ Windows มันแยกแยะไม่ออกหรอกครับว่าเราเรียกไฟล์หรือ Folder เห็นชื่อเหมือนกันก็เปิดให้เลย

ลอง ดูตามรูปตัวอย่างนะครับจะเห็นว่า Regedit.exe เป็นรูป Folder และถ้าเราดูในส่วนของ Type จะเห็นว่า เป็นประเภท Folder ไม่ใช่ไฟล์ครับ จะต่างกับตัวไวรัส Folder(ปลอม) ซึ่งเจ้าตัวนั้นตรง Type จะเป็น Application เพราะมันเป็นตัวโปแกรมแต่ใช้ Icon เป็นรูป Folder แต่สำหรับตัวนี้เป็น Folder แท้ๆครับแต่ใส่นามสกุล .Exe ต่อท้าย ชื่อเท่านั้นเอง ไม่งงนะครับ

และ ถ้าถามว่าทำไมเจ้าไวรัสมันไม่ลบทิ้งอย่างเดียวเลยล่ะ จะสร้าง Folder ชื่อเหมือนกันขึ้นมาทำไม อันนี้ผมเดาเอา นะครับ คือใน Windows ตั้งแต่ ME เป็นต้นมาจะมีระบบป้องกันไฟล์สำคัญๆของระบบ ซึ่งเท่าที่ลองศึกษาข้อมูลเบื้องต้นใน Windows ME จะเรียกว่าระบบนี้ว่า SFP(System File Protection) แต่ใน Windows 2000 เป็นต้นไปจะเรียกว่า WFP(Windows File Protection) ซึ่งโดยชื่อน่าจะสื่อความหมายว่าดูแลไฟล์มากขึ้นกว่า Windows ME การทำงานโดยย่อๆของมันก็คือจะมีการสร้าง Process ไว้จับตาดูการเปลี่ยนแปลงของไฟล์สำคัญๆที่ Windows ได้ทำการกำหนดเอาไว้ เมื่อมีการเปลี่ยนแปลงไม่ว่าจะเป็นการโดนลบ โดนทับหรือโดนแก้ไขเจ้าไฟล์พวกนี้ ตัว Windows จะทำการนำเอาไฟล์ต้นฉบับกลับมาทับไฟล์ที่เสียหายหรือโดนลบไปทันทีครับ

แต่เท่าที่ลองดู ถ้าเราลบหรือแก้ใน C:\WINDOWS\system32\dllcache โดยตรงมันจะไม่รู้ครับ ไม่มีการเตือนหรือ ทำการแก้คืนใดๆทั้งสิ้น เพราะตัวมันเองเป็นต้นฉบับอยู่แล้วนี่จะไปเอาจากไหนกลับมาล่ะ จนกว่าเราจะไปแก้หรือลบใน Windows หรือ Windows\System32 นั่นล่ะครับมันถึงเริ่มรู้ตัว และแจ้งว่าไฟล์ระบบมีปัญหาให้เราเอาแผ่น Windows ใส่ให้หน่อย เพราะใน dllcache ไม่มีต้นฉบับแล้ว ซึ่งถ้าเรา Cancel ไปมันก็จะเงียบไม่เตือนอีกเลยครับ เพราะโดย default ตัว Windows ไม่ได้ตั้งไว้ให้ตรวจสอบตอน Boot เพราะอาจจะกลัวช้าครับ

วิธี แก้ปัญหากรณีนี้ก็ตรงไปตรงมาล่ะครับ ไฟล์ไหนโดนทับหรือลบไปก็เอากลับไปใส่คืนมันซะ แต่ก่อนอื่นต้องลบเจ้า Folder ที่ชื่อเดียวกับไฟล์นั้นๆทิ้งก่อนนะครับ ไม่งั้น Windows ก็ไม่ยอมให้ทับ เพราะชื่อเหมือนกัน หรือจะลองโหลดน้องนุชคนสุดท้องเจ้า Ultra_Repairไป ใช้ก็ได้ครับหรืออีกวิธีหนึ่งซึ่งใช้เวลาพอสมควร แต่ถ้าไม่แน่ใจว่ามีไฟล์อื่นๆที่โดนทับหรือแก้ไขอีกนอกเหนือจากที่ผมกล่าวมา และต้องการความมั่นใจ ก็ใช้วิธีการไปที่ Start => Run แล้วพิมพ์ SFC /ScanNow นะครับ Windows จะทำการตรวจสอบไฟล์ระบบซึ่งโดนแก้

โพสต์ยอดนิยมจากบล็อกนี้

I miss you all กับ I miss all of you ต่างกันอย่างไร

ปัญหาและเฉลยวิชาธรรม นักธรรมชั้นตรี สอบในสนามหลวง วันอังคาร ที่ ๒๙ กันยายน พ.ศ.๒๕๕๒

ปัญหาและเฉลยวิชาอนุพุทธประวัติ นักธรรมชั้นโท สอบในสนามหลวง วันอาทิตย์ ที่ ๒๐ พฤศจิกายน พ.ศ. ๒๕๔๘