Tôi bị virus Conficker tấn công, ai biết cách diệt virus Conficker mách dùm. Cảm ơn!

Nếu là con này mà mới nhiễm vào USB em có cách sau diệt luôn trong đó khá hữu ích này : B1: Vào folder option chọn view bỏ tích ở ô cuối cùng đi. B2:Nhấn chuột phải vào cái biểu tượng file ẩn (Có thể là Recycle) chọn properties,chọn thẻ security,chọn full control cho tài khoản bạn đang sử dụng. B3 :Mở cái này ra bên trong có 1 cái folder không xóa được nữa,làm y như trên và lại mở nó ra. B4:Hiện ra 1 file %.vmx làm y như trên,xóa nó đi rồi quay trở lại USB xóa cái file ẩn ngoài cùng đi. B5:Reset lại máy,dùng phần mềm diệt virus được cập nhật quét máy 1 phát cho an toàn.

Thấy con này hay hay,thảo luận thêm tí nữa smilie Em vừa search trên google,bên diễn đàn quản trị mạng có viết thế này : [quote] Con worm này lây lan thông qua mạng nội bộ và các thiết bị lưu trữ di động như USB. Nó là một file Window PE DLL. Các thành phần của con worm này có kích thước khác nhau khoảng từ 155KB đến 165KB. Nó được nén lại bằng cách sử dụng UPX. Cài đặt Nó sẽ tự động copy file thực thi của nó với một cái tên ngẫu nhiên như sau: %System%\<rnd>dir.dll %Program Files%\Internet Explorer\<rnd>.dll %Program Files%\Movie Maker\<rnd>.dll %All Users Application Data%\<rnd>.dll %Temp%\<rnd>.dll %System%\<rnd>tmp %Temp%\<rnd>.tmp Trong đó <rnd> là một chuỗi ngẫu nhiên những kí hiệu. Để đảm bảo rằng nó sẽ được khởi động trong lần tiếp theo khi hệ thống được khởi động, nó sẽ tạo ra một service hệ thống, service này sẽ khởi động file thực thi của worm này mỗi khi Windows được khởi động. Khóa registry sau sẽ được tạo ra: [HKLM\SYSTEM\CurrentControlSet\Services\netsvcs] Worm này cũng thay đổi giá trị của các khóa registry sau: [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost] "netsvcs" = "<original value> %System%\<rnd>.dll" Sự lây lan Worm này sau đó sẽ khởi động một HTTP server trên một cổng TCP ngẫu nhiên; cổng này sau đó được dùng để tải về file thực thi của con worm này đến các máy tính khác. Worm này sẽ lấy về địa chỉ IP của các máy tính trong mạng của máy tính bị tiêm nhiễm đầu tiên và tấn công chúng thông qua một lỗi tràn bộ đệm trong dịch vụ Server. Worm này cũng gửi một yêu cầu RPC đặc biệt đến hệ thống ở xa. Điều này gây ra lỗi tràn bộ đệm khi hàm wcscpy_s được gọi trong thư viện netapi32.dll; cái này giúp khởi động đoạn mã để tải về file thực thi của worm đến hệ thống của nạn nhân và khởi động nó. Sau đó worm này sẽ được cài đặt vào hệ thống bị tiêm nhiễm mới. Để khai thác lỗ hổng được mô tả ở trên, worm này sẽ cố gắng kết nối đến tài khoản Administrator trên hệ thống ở xa. Worm này dùng các password như dưới đây để tìm kiếm password của account này thông qua phương pháp "brute force": 99999999 9999999 999999 99999 88888888 8888888 888888 88888 8888 888 88 8 77777777 7777777 777777 77777 7777 777 77 7 66666666 6666666 666666 66666 6666 666 66 6 55555555 5555555 555555 55555 5555 555 55 5 44444444 4444444 444444 44444 4444 444 44 4 33333333 3333333 333333 33333 3333 333 33 3 22222222 2222222 222222 22222 2222 222 22 2 11111111 1111111 111111 11111 1111 111 explorer exchange customer cluster nobody codeword codename changeme desktop security secure public system shadow office supervisor superuser share super secret server computer owner backup database lotus oracle business manager temporary ihavenopass nothing nopassword nopass Internet internet example sample love123 boss123 work123 home123 mypc123 temp123 test123 qwe123 abc123 pw123 root123 pass123 pass12 pass1 admin123 admin12 admin1 password123 password12 password1 9999 999 99 9 11 1 00000000 0000000 00000 0000 000 00 0987654321 987654321 87654321 7654321 654321 54321 4321 321 21 12 fuck zzzzz zzzz zzz xxxxx xxxx xxx qqqqq qqqq qqq aaaaa aaaa aaa sql file web foo job home work intranet controller killer games private market coffee cookie forever freedom student account academia files windows monitor unknown anything letitbe letmein domain access money campus default foobar foofoo temptemp temp testtest test rootroot root adminadmin mypassword mypass pass Login login Password password passwd zxcvbn zxcvb zxccxz zxcxz qazwsxedc qazwsx q1w2e3 qweasdzxc asdfgh asdzxc asddsa asdsa qweasd qwerty qweewq qwewq nimda administrator Admin admin a1b2c3 1q2w3e 1234qwer 1234abcd 123asd 123qwe 123abc 123321 12321 123123 1234567890 123456789 12345678 1234567 123456 12345 1234 123 Lây lan thông qua thiết bị lưu trữ di động Worm này sẽ sao chép file thực thi của nó đến tất cả các ổ đĩa di động như dưới đây: <X>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-%d%>\<rnd>.vmx, Đồng thời nó cũng tạo ra file sau đây trong thư mục gốc của mỗi ổ đĩa: <X>:\autorun.inf File này giúp khởi động file thực thi của worm mỗi khi cửa sổ Windows Explorer được dùng để mở ổ đĩa bị tiêm nhiễm. Hoạt động Khi khởi động, worm sẽ tiêm nhiễm đoạn code của nó vào không gian địa chỉ của một trong các tiến trình hệ thống thống "svchost.exe". Đoạn code này sẽ: - Vô hiệu hóa các service sau: wuauserv BITS - Cấm truy cập đến các địa chỉa bao gồm một chuỗi bất kì trong danh sách sau: indowsupdate wilderssecurity threatexpert castlecops spamhaus cpsecure arcabit emsisoft sunbelt securecomputing rising prevx pctools norman k7computing ikarus hauri hacksoft gdata fortinet ewido clamav comodo quickheal avira avast esafe ahnlab centralcommand drweb grisoft eset nod32 f-prot jotti kaspersky f-secure computerassociates networkassociates etrust panda sophos trendmicro mcafee norton symantec microsoft defender rootkit malware spyware virus Worm này cũng tải về các file từ đường dẫn sau: http://<URL>/search?q=<%rnd2%> Với rnd2 là một số ngẫu nhiên; URL là một liên kết được tạo ra bởi một thuật toán đặc biệt, được dùng trong ngày hiện tại. Worm lấy ngày hiện tại từ một trong các site dưới đây: http://www.w3.org http://www.ask.com http://www.msn.com http://www.yahoo.com http://www.google.com http://www.baidu.com Tải về các file được lưu vào thư mục hệ thống của Windows dưới những tên gốc của chúng. Hướng dẫn xóa Nếu máy tính của bạn không có một trình antivirus được cập nhật thường xuyên, hoặc không có một giải pháp antivirus hiệu quả, bạn có thể làm theo hướng dẫn dưới đây để xóa nó: 1. Xóa các khóa registry sau: [HKLM\SYSTEM\CurrentControlSet\Services\netsvcs] 2. Xóa "%Sytem%\<rnd>.dll" từ giá trị khóa registry như dưới đây: [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost] "netsvcs" 3. Khởi động lại máy tính 4. Xóa file gốc của worm này (đường dẫn của worm này tùy thuộc vào việc nó lây nhiễm vào hệ thống như thế nào) 5. Xóa các bản sao của nó: %System%\<rnd>dir.dll %Program Files%\Internet Explorer\<rnd>.dll %Program Files%\Movie Maker\<rnd>.dll %All Users Application Data%\<rnd>.dll %Temp%\<rnd>.dll %System%\<rnd>tmp %Temp%\<rnd>.tmp <rnd> là một chuỗi ngẫu nhiên của những kí hiệu 6. Xóa các file sau trong tất cả các thiết bị lưu trữ di động <X>:\autorun.inf <X>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-%d%>\<rnd>.vmx, 7. Tải về và cài đặt bản cập nhật của windows. Cập nhật cơ sở dữ liệu của trình antivirus và thực hiện quét "full scan". [/quote]

Cách diệt Conficker Một khi PC đã lây nhiễm sâu Conficker thì có thể nói các phần mềm diệt virus gần như bị vô hiệu hóa hoàn toàn không thể tiêu diệt được nó. Chính vì thế mà các hãng bảo mật đã phát triển những công cụ diệt virus độc lập dành riêng cho từng loại mã độc riêng biệt. Để tiêu diệt dưới đây xin giới thiệu đến độc giả công cụ diệt Conficker của hãng bảo mật Symantec – một trong những công cụ đơn giản và dễ sử dụng nhất. Bước 1: Người dùng hãy tải về công cụ này [url=http://www.symantec.com/content/en/us/global/removal_tool/threat_writeups/FixDownadup.exe]tại đây[/url]. Nhắp chuột phải và chọn “Save Link As” với trình duyệt Firefox và “Save Target As” đối với Internet Explorer. Người dùng nên lưu tệp tin này ở vị trí dễ tìm thấy như màn hình Desktop chẳng hạn. Bước 2: Đóng mọi chương trình đang chạy, ngắt hoàn toàn kết nối Internet và vô hiệu hóa tính năng System Restore của hệ thống. Bước 3: Chạy chương trình vừa tải ở trên. Bước 4: Sau khi chương trình chạy xong khởi động lại PC. Người dùng nên chạy lại chương trình một lần nữa để bảo đảm hệ thống sạch. Bước 5: Tải về và cài đặt bản cập nhật bảo mật MS08-067 của Microsoft [url=http://support.microsoft.com/kb/967715]http://support.microsoft.com/kb/967715.[/url] Đơn giản nhất là dùng tính năng Automatic Updates của Windows để cập nhật. Tự bảo vệ Nếu như may mắn chưa bị lây nhiễm sâu Conficker thì người dùng cũng nên triển khai các biện pháp để bảo vệ mình trước không chỉ sâu Conficker mà cả các loại mã độc khác. Đối với sâu Conficker thì người dùng nên nhanh chóng tải về và cài đặt bản cập nhật MS08-067 sớm chừng nào hay chừng đó. Tốt nhất người dùng nên bật tính năng tự động cập nhật Automatic Updates để cho Windows tự động tải về và cài đặt mọi bản cập nhật cần thiết. Bên cạnh đó người dùng cũng nên sử dụng các chương trình chống virus danh tiếng như Kaspersky, Symantec Norton … để bảo vệ hệ thống. Vô hiệu hóa hoàn toàn tính năng AutoRun của Windows bằng cách sử dụng bản cập nhật có tại địa chỉ[url=http://ketnoibanbe.org/forum/redirector.php?url=http%3A%2F%2Fsupport.microsoft.com%2Fkb%2F967715] http://support.microsoft.com/kb/967715[/url]. Ngoài ra người dùng cũng nên áp dụng các biện pháp sử dụng Internet an toàn như không nên mở các tệp tin đính kèm từ các email không rõ nguồn gốc, nên tập thói quen quét các ổ đĩa USB khi kết nối vào hệ thống, nên sử dụng mật khẩu bảo vệ Windows …