Càng nghiên cứu càng phát hiện con này có nhiều động thái rất hay:
1> Thay đổi Registry, đang ký key run tự động khi đăng nhập Windows (cái này ta có thể phát hiện dễ dàng)
2> Thay đổi
Indexing Service bằng cách tạo 1 key tên là
ClHelp trong Registry và key này sẽ khống chế hoàn toàn
Indexing Service (cũng hơi khó phát hiện 1 chút)
3> Sau khi virus nhiễm vào máy tính, nếu có bất cứ file
.EXE nào chạy thì lập tức bị biến thành virus, bằng cách đổi tên file
.EXE thành đuôi
.PART, còn virus thì biến thành tên trùng với tên file
.EXE khi nảy. Ví dụ:
* Ta chạy file UIMain.exe (là file chạy D-COM 3G) thì sau đó file UIMain.exe sẽ biến thành UIMain.part
* File virus sẽ tự động đổi tên thành UIMain.exe nằm cùng thư mục
* Từ giờ, dùng D-COM 3G là đồng nghĩa với việc kích hoạt virus
Hành động số
3> chính là cái ta khó phát hiện nhất và cũng là nguyên nhân khiến cho máy bị nhiễm đi nhiễm lại nhiều lần dù ta đã diệt hết virus trước đó ---> chỉ cần ta khởi động ứng dụng (là virus mà ta tưởng là ứng dụng) tức là ta đã kích hoạt virus mà mọi chuyện lại đâu vào đấy
---------------------------------
Vậy giải thuật code để diệt virus có thể là:
- Xóa giá trị run tự động trong key Run của Registry
- Stop Indexing Service
- Xóa key ClHelp trong Registry
- Kill các process: " ctfmon.exe", "bkst.exe" (có thể sẽ không kill thành công bkst.exe)
- Duyệt trong toàn bộ các ổ đĩa, nếu tìm thấy có cặp file dạng "tên file.exe" và "tên file.part" thì sẽ xóa "tên file.exe" rồi đổi tên "tên file.part" thành "tên file.exe" (trả lại tên cho "em")
- Xóa toàn bộ file trong thư mục %TEMP% (có vài thư mục temp chứ không chỉ một)
- Xóa toàn bộ file trong Temporary Internet Files (đây là thư mục ẩn)
- Xóa 3 file " ctfmon.exe", "bkst.exe", "bkstsc.acn" trong thư mục System32---> Bước này có thể không xóa thành công mà phải đợi khởi động máy tính và làm lại lần nữa
vân vân....
--------------------------------------------------
Với giải thuật như vậy, code viết chắc cũng khá nhiều. Không biết còn chổ nào thiếu sót không? Đó là ta vẫn chưa bàn đến chuyện UAC trên máy đang set ở mức High thì ta cũng sẽ không làm được gì (nhưng vẫn không hiểu tại sao virus lại làm được rất dễ dàng)
--------------------------------------------------
Các bạn, những ai quan tâm vui lòng góp ý cho tôi với! (chỉ cần góp ý về giải thuât, khỏi cần code)
Cảm ơn!
)
