Cách diệt Virus lây lan qua USB Flash Drive


Tên bài : Cách diệt Virus lây lan qua USB Flash Drive
Ngày viết: June 24, 2007 bởi Hoàng Huỳnh
Thể loại : Anti-virus
Độ Khó : Trung bình
Công cụ : Tay, không cần CT Anti-virus
Hệ ĐHành : Windows anything


Thực trạng

Ở bài trước, tôi đã nói sơ về các cơ chế lây lan cơ bản của các Virus hay xuất hiện trên USB Flash Drive (trong bài này gọi tắt là virus). Tôi cũng đã nói chi tiết về cách phòng chống các virus này. Như vậy, nếu các bạn thực hiện tốt các phương án phòng chống thì có thể yên tâm là máy không bị nhiễm thêm virus nữa.
Nhưng nếu máy bạn đã bị nhiễm virus từ trước? Trong bài này chúng ta tìm hiểu cách vô hiệu hóa chúng.

Mục đích

Như tên bài viết, chúng ta sẽ đi trực tiếp vào cách diệt virus: xuất phát từ cách mở khóa các CT bị virus cô lập (regedit, folder options, cmd etc.), sau đó chúng ta cô lập virus và đánh trả.

Khuyến cáo

Bài viết hướng dẫn gỡ bỏ virus bằng tay, việc làm này liên quan đến việc cấu hình những thành phần quan trọng trong Windows, nếu thực hiện không cẩn thận có thể sẽ gây nên những hậu quả nguy hại. Bạn nên chắc chắn là đã sao lưu các dữ liệu quan trọng trước khi thực hiện. Use it as your own risk.

Thủ thuật của virus

Thử tưởng tượng một ngày đẹp trời bạn tìm thấy một rương gỗ, với tài năng + ổ khóa lỏng lẻo của cái rương bạn nhanh chóng mở được khóa và tìm thấy bên trong 1 kho báu kết sù. Kho báu quá lớn nên bạn quyết định lần này chỉ vơ vét 1 phần, rồi làm gì tiếp theo? Tât nhiên bạn sẽ khóa nó lại với ổ khóa mới của bạn, đảm bảo rằng chủ nhân thực sự của chiếc rương cũng không thể tách bạn ra khỏi cái rương.
Virus cũng vậy, nó khóa windows của bạn lại để độc chiếm. Bạn không thể chạy những chương trình có thể gây nguy hại đến virus: regedit, cmd, task manager, folder options… Chúng ta sẽ xem liệu virus có thông minh như tên cướp biển gian xảo.

Kiểm tra tình trạng hiện tại của bạn

Ghi chú: việc kiểm tra này rất có khả năng làm cho máy của bạn restart, hãy lưu hết dữ liệu.
Nếu tin rắng máy tính của mình đã bị nhiễm virus, bạn hãy thử xem virus này là một sinh vật thông minh đến cỡ nào.

Kiểm tra: thử mở các ứng dụng sau và xem virus đã khóa ứng dụng nào. Một ứng dụng bị khóa sẽ không thể được thực thi (thông báo lỗi, menu bị mờ đi…) hoặc làm cho máy bạn restart. Danh sách này bao gồm:

1. Task Manager: bấm Ctrl+Alt+Del hoặc click chuột phải vào thanh Start, chọn Task Manager.
2. Regedit: Vào Run từ menu Start > Run… (hoặc tổ hợp phím windows+R), gõ regedit rồi enter.
3. Folder Options: Mở My Computer, trong menu Tools thử xem có thể chạy Folder Options… không.
   Nếu có thể mở Folder Options, vào tab View và xem mục Show hidden files and folders có ở đó không.
4. Cmd: Vào Run, gõ cmd rồi enter.

Mở khóa

Bây giờ bạn đã biết virus “khóa cẳng” bạn ở điểm nào, trò chơi bắt đầu…
Cẩn trọng: Trong suốt quá trình, mọi thứ có thể trơn tru nhưng cũng có thể virus sẽ restart máy của bạn liên tục và chẳng làm được gì nhiều. Trong trường hợp này bạn hãy

1. Tắt chức năng system restore: click chuột phải vào logo My Computer trên desktop chọn Properties. Trong cửa sổ mới hiện ra chọn tab System Restore rồi tick vào Turn off System Restore on all drives, OK.
2. Restart máy tính về safe-mod: restart lại máy tính, bấm F8 lúc máy boot và chọn Safe-Mode.
3. Thực hiện tất cả các thao tác trong windows ở chế độ Safe-mode.

Ghi chú: Tôi có đính kèm 1 phần mềm đơn giản ở cuối phần này, nếu thích bạn có thể download về và chạy. Task Manager, Regedit và Folder Options sẽ được enable hết, nhưng như thế thì mất đi tính manual của hướng dẫn.

Regedit

Nếu virus đã khóa Regedit của bạn (thường hiện lên thông báo kiểu như Registry editing disabled by Adminstrator trong khi bạn đang là Adminstrator), hãy thử enable lại regedit:

Cách 1: tạo file .reg

1. Login vào máy bằng tài khoản Administrator
2. Mở notepad và dán vào đoạn mã sau:
   Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
3. Lưu lại với tên file .reg, ví dụ: regopen.reg
4. Từ nội dụng của file .reg vừa tạo, bạn có thể đoán được rằng file này hướng dẫn Windows tìm đến key System và sửa chuỗi DisableRegistryTools về giá trị 0. Double click để chạy file này, kết quả giống hệt như bạn vừa sửa regedit vậy
   
5. Kiểm tra lại regedit

Cách 2: tạo chương trình .NET Framework thực thi đoạn mã như file .reg

Ghi chú: máy của bạn phải có cài .NET Framework. Có thể kiểm tra bằng cách xem thư mục C:\WINDOWS\Microsoft.NET\Framework\vx.x.xxxx\ có tồn tại hay không (với C:\WINDOWS là nơi cài Windows của bạn; vx.x.xxxx là phiên bản Framework hiện tại, vd: v1.0.3705, v2.0.50727). Nếu không có, bạn có thể tải về nhanh chóng từ trang Windows Update của Microsoft.

1. Mở notepad và dán vào đoạn mã sau:
   using System;
using Microsoft.Win32;
class RestoreReg
{
static void Main ()
{
RegistryKey polKey = Registry.CurrentUser.OpenSubKey
(@"Software\Microsoft\Windows\CurrentVersion\Policies\System", true) ;
polKey.SetValue ("DisableRegistryTools", 0) ;
polKey.Flush () ;
}
}
2. Lưu lại với tên file .cs, vd: restorereg.cs
   Mẹo: Bạn nên lưu file ở nơi nào dễ truy cập, như C:\ chẳng hạn
3. Lưu xong, mở Command Prompt lên (vào Start > Run… > cmd rồi ENTER)
4. Di chuyển vào đường dẫn .NET Framework bạn tìm được ở trên, dùng lệnh cd, chẳng hạn:
   cd %windir%\Microsoft.NET\Framework\v1.1.4322
5. Tiếp theo ta chuyển file nguồn .cs ở trên thành file thực thi .exe bằng lệnh
   csc c:\restorereg.cs
   csc ở đây là file csc.exe dùng để biên dịch có trong thư mục vx.x.xxxx
   c:\restorereg.cs là đường dẫn đến file .cs mà bạn lưu ở trên. Chú ý nếu đường dẫn này có khoảng trắng thì bạn phải dùng cặp dấu ngoặc “” để nhóm lại, vd:
   csc "c:\new folder\restore regedit.cs"
6. Nếu không có sai sót gì thì file restorereg.exe đã được tạo ra trong thư mục vx.x.xxxx, bạn chạy file restorereg.exe, regedit sẽ được mở.
   Nếu nhác, bạn có thể download file restorereg.exe tôi đã biên dịch tại đây

Cách 3: dùng Group Policy Editor (Windows XP Professional only)

1. Login vào máy bằng tài khoản Administrator
2. Chạy Run và gõ gpedit.msc rồi enter
3. Tìm đến User Configuration | Administrative Templates | System
   
4. Double-click lên mục Disable registry editing tools và chọn Not Configured
5. Thoát khỏi Group Policy Editor hoặc tiếp tục đọc phần sau nếu Task Manager của bạn cũng có vấn đề

Task Manager (Ctrl+Alt+Del)

Cách 1: sửa regedit

1. Vào Run gõ regedit rồi enter. Tìm chính xác đến HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
2. Ở khung bên phải chú ý mục “DisableTaskMgr” (đang có giá trị ‘1’), double click vào đó đổi giá trị DWORD của nó thành 0
   
3. Thoát khỏi regedit

Cách 2: dùng Group Policy Editor (Windows XP Professional only)

1. Vào Group Policy Editor như hướng dẫn ngay trên
2. Tìm đến User Configuration | Administrative Templates | System | Ctrl+Alt+Del Options
   
3. Double-click lên mục Remove Task Manager và chọn Not Configured
4. Thoát khỏi Group Policy Editor (hoặc tiếp tục mày mò, có một số trò vui khác nếu bạn thích mạo hiểm)

Folder Options

Sau khi chắc chắn Regedit của bạn đã có thể chạy được, bạn có thể mở khóa cho Folder Options.

1. Vào Run gõ regedit rồi enter. Tìm chính xác đến
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
2. Ở khung bên phải chú ý mục “NoFolderOptions” đang có giá trị ‘1’, double click vào đó đổi giá trị DWORD của “NoFolderOptions” thành 0 hoặc xóa luôn cả mục “NoFolderOptions” cũng được
3. Thoát khỏi Regedit

Ghi chú: Trong cùng địa chỉ Registry này còn có một số thông số thú vị khác như DisallowRun, NoControlPanel NoDriveTypeAutoRun, NoLowDiskSpaceChecks.

“Show Hidden Files and Folders”

Nếu bạn có thể truy cập Folder Options nhưng phần “Show Hidden Files and Folders” bị mất, phục hồi theo các cách sau:

Cách 1

1. Vào Run gõ regedit rồi enter. Tìm chính xác đến
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden
2. Ở khung bên phải chú ý mục “Type”, double click vào và nhập giá trị là group.
   
3. Sửa xong bấm F5 để refresh, kiểm tra lại Folder Options
4. Thoát khỏi Regedit

Cách 2

1. Vào regedit tìm chính xác đến
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
2. Ở khung bên phải chú ý mục CheckedValue, sửa giá trị lại là 1
3. Thoát khỏi Regedit

Tiện ích mở khóa

Như đã nói ở trên, có một tiện ích nhỏ giúp bạn nhanh chóng mở khóa của Task Manager, Regedit và Folder Options. Bạn chỉ cần tải về và chạy là xong, yên tâm đây là tiện ích “sạch”.
Bạn có thể tải về tại đây.

Xóa virus

1. Tắt System Restore và khởi động vào safe-mode (hướng dẫn ở trên).
2. Thực hiện các bước mở khóa cho windows, tham khảo lại bài 1 (cách phòng chống virus) để hiện các file ẩn nhằm nhận dạng virus.
3. Cẩn thận dùng Explorer dạo qua tất cả các ổ cứng và xóa hết các thông tin autorun và file thực thi (.exe) của virus.
   Ghi chú: đừng double click — tham khảo lại bài 1.
4. Nếu máy tính nhiễm các virus dạng giả icon, hãy xem properties của 1 file như vậy, lấy file size và tiến hành search toàn bộ các ổ cứng (nhớ search cả file ẩn và file system) với file size vừa lấy được, định dạng file tìm kiếm là application file.
5. Khi quá trình tìm kiếm hoàn tất, kiểm tra lại các file này, tránh xóa nhầm những file “hiền” (những file virus thường có logo thư mục và file size không đổi). Chọn tất cả các file virus và tiến hành xóa.

Có bất kỳ vấn đề/thắc mắc nào trong quá trình thực hiện, bạn hãy post lên.

Kỳ sau: Kiểm tra các ứng dụng chạy lúc khởi động