hp7500
04-11-2006, 07:40 AM
Hơn 10 nghìn máy tính VN nhiễm virus Gaixinh
?ó là con số mà Trung tâm an ninh mạng ?ại h?c Bách khoa Hà Nội BKIS ước đoán trong buổi chi?u qua (10/4). Hiện tại, BKIS đã phát hiện kẻ tình nghi và thử "vài đòn nắn gân", nh? vậy nguồn phát tán virus trên Internet đã được "hạ xuống".
Hình ảnh quá trình giải mã virus (BKIS)
Chi?u qua, sau 10 gi? đồng hồ phân tích, BKIS khẳng định bản thân virus này không phải là botnet (mạng máy tính ma). Nhưng nó có thể được sử dụng để tải botnet xuống. Nguyên lý lây lan của nó chỉ dựa vào sơ hở của ngư?i sử dụng chứ không phải là lỗi của YM và hiện chưa có phần m?m diệt virus nào cập nhật virus này.
Ông Nguyễn Tử Quảng, Giám đốc BKIS, cho biết: "Trong ngày 10/4, có 2 biến thể được tạo ra. Chúng tôi đặt tên nó là GaixinhYMA và GaixinhYMB. Khi lây nhiễm vào một máy tính, virus sẽ tải file xrobots.net/Gift/Robots.exe từ trên mạng Internet v? và ghi thành file Messenger.exe trong thư mục Windows".
Theo mô tả của BKIS, chỉ sau gần chục giây xâm nhập, virus có thể được nạp vào bộ nhớ khi khởi động máy. Như vậy, v? nguyên tắc kẻ phát tán virus có thể cài đặt tùy ý các phần m?m lên máy của nạn nhân.
Gaixinh có khả năng thiết lập vài tham số khác của YM và khóa (Disable) không cho ngư?i sử dụng truy cập vào Regedit, một công cụ để thiết lập tham số hoạt động cho hệ đi?u hành Windows và các phần m?m ứng dụng. Nó sẽ tìm các cửa sổ YM mà nạn nhân đang dùng hội thoại với ngư?i khác, sau đó tự động gửi (send) một cách ngẫu nhiên một trong những nội dung lặp lại sang những ngư?i này.
Nếu là GaixinhYMA, sau mỗi lần gửi, virus “tạm nghỉ? một quãng th?i gian ngẫu nhiên trong khoảng 300 - 900 giây, rồi lặp lại 1.000 lần thao tác lây nhiễm nói trên. ?i?u đó cho thấy gần như bất kỳ ai trao đổi (chat) với nạn nhân cũng đ?u trở thành “con mồi? tiếp theo của virus.
Nếu là GaixinhYMB (xuất hiện vào cuối gi? chi?u 10/4), ngoài cách phát tán như version A, phiên bản này được cải tiến để lây lan kinh khủng hơn. Không những chỉ tìm cách mò sang những máy tính mà chủ của nó đang trực tiếp chat với nạn nhân, GaixinhB còn tìm cách gửi virus tới cả những ngư?i trong sổ địa chỉ YM, bao gồm cả ngư?i đang trực tuyến (online) và không trực tuyến (offline).
"Máy tính của ngư?i bị 'dính' Gaixinh sẽ bị đặt Start Page tr? tới 67.15.40.2/~tr..../forumtp và mỗi khi h? bật trình duyệt IE, địa chỉ này sẽ được mở tự động", ông Quảng mô tả. "?ây là diễn đàn của cựu h?c sinh một trư?ng chuyên của thành phố Hải Phòng. Chúng tôi xác minh được kẻ phát tán virus cũng là thành viên của diễn đàn này".
Ngư?i đứng đầu BKIS cũng tiết lộ sau khi giải mã Gaixinh, Trung tâm đã tìm thấy dấu vết quan tr?ng để có thể lần tìm ra tác giả của virus này. Thậm chí, xác minh được cả danh tính và nhi?u thông tin cá nhân của kẻ bị tình nghi. Việc truy tìm thủ phạm, BKIS sẽ tiếp tục làm việc với các cơ quan An ninh để xử lý.
Trung tâm BKIS đã cập nhật phương án xử lý cả 2 phiên bản của virus này vào Bkav845. ?ối với ngư?i dùng BkavPro, phiên bản mới nhất sẽ tự động cập nhật khi bật máy. Sau đó chỉ cần quét tất cả các file, tất cả các ổ đĩa. Còn những ai dùng Bkav Home, cần tải phiên bản mới nhất. Sau đó chạy Bkav, ch?n quét tất cả các file, tất cả các ổ đĩa.
Những ai chưa cài đặt Bkav hoặc không có kinh nghiệm diệt virus, tuyệt đối tránh không bấm vào các đư?ng dẫn (link) có dạng như sau:
"Xem thu coi, buon cuoi ko the chiu duoc http://67.....2/~neun/?file=sac"
"Em nay xinh lam, nhin ma fe http:// 67.....2/~neun/?file=xgirl"
"Cai gi the nay, Choang http:// 67.....2/~neun/?file=wow"
"Xem thu cai nay di http:// 67.....2/~neun/?file=funfun"
"Hi hi hi http:// 67.....2/~neun/?file=haha"
"Xem thu coi, buon cuoi ko the chiu duoc http://xrobots.../Gift/?file=Embe.jpg"
“Em nay xinh lam, nhin ma fe http://xrobots.../Gift/?file=Gaixinh.jpg"
"Film vui , flim vui : http://xrobots.../Gift/?file=Funny.swf"
"Xem thu cai nay di http://xrobots.../Gift/?file=Anhdep.jpg"
"Tang cho ban nay : http://xrobots...t/Gift/?file=e-card.htm
?ó là con số mà Trung tâm an ninh mạng ?ại h?c Bách khoa Hà Nội BKIS ước đoán trong buổi chi?u qua (10/4). Hiện tại, BKIS đã phát hiện kẻ tình nghi và thử "vài đòn nắn gân", nh? vậy nguồn phát tán virus trên Internet đã được "hạ xuống".
Hình ảnh quá trình giải mã virus (BKIS)
Chi?u qua, sau 10 gi? đồng hồ phân tích, BKIS khẳng định bản thân virus này không phải là botnet (mạng máy tính ma). Nhưng nó có thể được sử dụng để tải botnet xuống. Nguyên lý lây lan của nó chỉ dựa vào sơ hở của ngư?i sử dụng chứ không phải là lỗi của YM và hiện chưa có phần m?m diệt virus nào cập nhật virus này.
Ông Nguyễn Tử Quảng, Giám đốc BKIS, cho biết: "Trong ngày 10/4, có 2 biến thể được tạo ra. Chúng tôi đặt tên nó là GaixinhYMA và GaixinhYMB. Khi lây nhiễm vào một máy tính, virus sẽ tải file xrobots.net/Gift/Robots.exe từ trên mạng Internet v? và ghi thành file Messenger.exe trong thư mục Windows".
Theo mô tả của BKIS, chỉ sau gần chục giây xâm nhập, virus có thể được nạp vào bộ nhớ khi khởi động máy. Như vậy, v? nguyên tắc kẻ phát tán virus có thể cài đặt tùy ý các phần m?m lên máy của nạn nhân.
Gaixinh có khả năng thiết lập vài tham số khác của YM và khóa (Disable) không cho ngư?i sử dụng truy cập vào Regedit, một công cụ để thiết lập tham số hoạt động cho hệ đi?u hành Windows và các phần m?m ứng dụng. Nó sẽ tìm các cửa sổ YM mà nạn nhân đang dùng hội thoại với ngư?i khác, sau đó tự động gửi (send) một cách ngẫu nhiên một trong những nội dung lặp lại sang những ngư?i này.
Nếu là GaixinhYMA, sau mỗi lần gửi, virus “tạm nghỉ? một quãng th?i gian ngẫu nhiên trong khoảng 300 - 900 giây, rồi lặp lại 1.000 lần thao tác lây nhiễm nói trên. ?i?u đó cho thấy gần như bất kỳ ai trao đổi (chat) với nạn nhân cũng đ?u trở thành “con mồi? tiếp theo của virus.
Nếu là GaixinhYMB (xuất hiện vào cuối gi? chi?u 10/4), ngoài cách phát tán như version A, phiên bản này được cải tiến để lây lan kinh khủng hơn. Không những chỉ tìm cách mò sang những máy tính mà chủ của nó đang trực tiếp chat với nạn nhân, GaixinhB còn tìm cách gửi virus tới cả những ngư?i trong sổ địa chỉ YM, bao gồm cả ngư?i đang trực tuyến (online) và không trực tuyến (offline).
"Máy tính của ngư?i bị 'dính' Gaixinh sẽ bị đặt Start Page tr? tới 67.15.40.2/~tr..../forumtp và mỗi khi h? bật trình duyệt IE, địa chỉ này sẽ được mở tự động", ông Quảng mô tả. "?ây là diễn đàn của cựu h?c sinh một trư?ng chuyên của thành phố Hải Phòng. Chúng tôi xác minh được kẻ phát tán virus cũng là thành viên của diễn đàn này".
Ngư?i đứng đầu BKIS cũng tiết lộ sau khi giải mã Gaixinh, Trung tâm đã tìm thấy dấu vết quan tr?ng để có thể lần tìm ra tác giả của virus này. Thậm chí, xác minh được cả danh tính và nhi?u thông tin cá nhân của kẻ bị tình nghi. Việc truy tìm thủ phạm, BKIS sẽ tiếp tục làm việc với các cơ quan An ninh để xử lý.
Trung tâm BKIS đã cập nhật phương án xử lý cả 2 phiên bản của virus này vào Bkav845. ?ối với ngư?i dùng BkavPro, phiên bản mới nhất sẽ tự động cập nhật khi bật máy. Sau đó chỉ cần quét tất cả các file, tất cả các ổ đĩa. Còn những ai dùng Bkav Home, cần tải phiên bản mới nhất. Sau đó chạy Bkav, ch?n quét tất cả các file, tất cả các ổ đĩa.
Những ai chưa cài đặt Bkav hoặc không có kinh nghiệm diệt virus, tuyệt đối tránh không bấm vào các đư?ng dẫn (link) có dạng như sau:
"Xem thu coi, buon cuoi ko the chiu duoc http://67.....2/~neun/?file=sac"
"Em nay xinh lam, nhin ma fe http:// 67.....2/~neun/?file=xgirl"
"Cai gi the nay, Choang http:// 67.....2/~neun/?file=wow"
"Xem thu cai nay di http:// 67.....2/~neun/?file=funfun"
"Hi hi hi http:// 67.....2/~neun/?file=haha"
"Xem thu coi, buon cuoi ko the chiu duoc http://xrobots.../Gift/?file=Embe.jpg"
“Em nay xinh lam, nhin ma fe http://xrobots.../Gift/?file=Gaixinh.jpg"
"Film vui , flim vui : http://xrobots.../Gift/?file=Funny.swf"
"Xem thu cai nay di http://xrobots.../Gift/?file=Anhdep.jpg"
"Tang cho ban nay : http://xrobots...t/Gift/?file=e-card.htm