Hider.I Trojan ( tên gọi theo ESET NOD32) ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ A. PHÂN TÍCH 1. Trojan được viết bằng ngôn ngữ Borland C++, pack bằng ASPack2.0 2. Tên gọi: Hide.I Trojan hay còn được gọi là "Phim nguoi lon.exe" 3. Đặc điểm: Khóa các thuộc tính trong Folder Option, làm ẩn tòan bộ các folder trong máy và USB. B. CÁCH THỨC HỌAT ĐỘNG 1. Sao chép bản thân và tạo giá trị trong registry để khởi động cùng windows Khi trojan họat động, nó copy chính nó và đổi tên bản sao của nó thành tên "isass.exe" nằm trong thư mục %systemroot%\system32\ (thường là C:\WINDOWS\system32\isass.exe). Mọi nguồn gốc, mọi việc lây lan cũng đều bắt đầu từ file "isass.exe" này. Kế đến, trojan tạo thêm 1 valua "isass.exe" của KEY phía dưới để lúc nào máy khởi động lên thì "isass.exe" cũng chạy và sẵn sàng tác chiến: [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "isass.exe"="C:\\WINDOWS\\system32\\isass.exe" Mặc định là con trojan "isass.exe" này chạy ngầm định (bạn có thể ấn CTRL + ALT + DEL mở taskbar lên xem, nhưng không thể kill được nó) ngòai nhiệm vụ duy trì các giá trị valua trong REGISTRY, nó còn có nhiệm vụ "dò xét" xem máy bạn có cắm USB không, nếu có thì nó sẽ lây nhiễm và biến đổi thuộc tính các folder thành Hidden + System + Readonly (bởi vậy, bạn vẫn thường thấy câu hỏi đại lọai thế này "USB của em không có chứa gì, sao tự nhiên dung lượng còn rất ít ." xuất hiện không chỉ trên các diễn đàn mà còn là câu cửa miệng của nhiều em). Hơn thế nữa, nó lại copy bản thân nó (file "isass.exe") tạo ra 1 file có tên "y chang" cái tên thư mục bị ẩn - chỉ khác là file này có thêm phần mở rộng .exe (ví dụ: "New folder.exe"). 2. Kế đến, nó thực hiện lệnh để đổi giá trị các nhánh trong Regedit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\ClassicViewSta te] "UncheckedValue"=dword:00000000 Nó đổi thành dword:00000001 để đánh dấu vào mục [x] Do not show hidden files and folders trong folder option. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt] "UncheckedValue"=dword:00000000 Nó đổi thành dword:00000001 để đánh dấu check vào [v] Hide extensions for known file types trong folder option. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden] "UncheckedValue"=dword:00000001 Nó đổi thành dword:00000000. Với việc thay đổi các giá trị này, thì Trojan đã khóa hòan tòan Folder Option (bạn thay đổi các mục trong folder option, nhưng nó vẫn hòan trả về như cũ). 3. Shutdown máy tính khi cần: Nếu hòan tất hết các bước trên, thì nguy hiểm hơn process làm máy tính shutdown đột ngột buộc bạn phải khởi động lại để các thiết lập vừa tạo ra trong registry được thực thi. B. CÁCH VÔ HIỆU HÓA Như vậy, để diệt được con trojan này, thì bạn phải lần lượt làm theo các bước sau: 1. Dùng trình duyệt quýet virus để nó xóa sạch các file do virus này tạo ra. Tuy nhiên, sau khi tiêu diệt thì trình quýet virus cũng không thể giúp máy tính hồi phục lại sức lực được. Các file ẩn vẫn hòan ẩn, cho dù bạn có mở properties lên, thì dấu check cũng bị vô hiệu hóa do file có thuộc tính [system]. Bạn phải hòan tất thêm các bước sau. 2. Bạn phải vô hiệu hóa file "isass.exe" trong %systemroot%\system32, vô hiệu hóa bằng cách đổi thành tên khác, ví dụ "isass.tmp" chứ không thể del file này được vì file đang thực thi nên bị cấm. 3. Hiệu chỉnh Registry (bạn có thể hiệu chỉnh bằng tay, tuy nhiên tôi có kèm theo file *.exe để khôi phục, bạn chay nó sẽ mau hơn) khôi phục các giá trị "UncheckedValue" cũng như xóa bỏ valua "isass.exe" trong [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 4. Dùng tool SetAttributes.exe để thiết lập lại thuộc tính file và folder (làm file ẩn hiển thị lên). * Bước 2->4, bạn dùng tools của tôi kèm theo để làm (download here). . Hider. I Trojan ( tên g i theo ESET NOD32) ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ A. PHÂN TÍCH 1. Trojan được viết bằng ngôn ngữ Borland. bằng ASPack2.0 2. Tên g i: Hide .I Trojan hay còn được g i là "Phim nguoi lon.exe" 3. Đặc i m: Khóa các thuộc tính trong Folder Option, làm ẩn tòan