Seringkali berlaku mutakhir ini beberapa komputer dan laptop menghadapi masalah apabila Regedit atau TaskManager telah tidak berfungsi.
Hal ini disebabkan oleh sejenis worm bernama W32.Yautoit.N. Ia ialah worm yang disebarkan melalui Yahoo! Messenger. Seterusnya pengguna akan memindahkan worm tersebut kepada pengguna lain melalui pendrive dan disket. Hal diperburukkan lagi apabila komputer tidak mempunyai perisian anti-virus dan anti spyware terkini.
Tulisan ini cuba membantu untuk anda memahami dan menyelesaikan masalah ini.
Virus/worm ini telah menyekat program tersebut dari dilaksanakan… (rvhost.exe, sohanad/yautoit, fujacks, bro-act dan sebagainya yang mengganggu setting)…
Adakah laptop atau PC anda dijangkiti RVHOST?
Buat beberapa ujian ringkas:
1. Tekan kekunci Ctrl + Alt secara serentak untuk membuka Task Manager. Paparan berikut akan muncul (Your Task manager has been disable by administrator). Sahih komputer/laptop anda telah terkena virus tu.
2. Buka My Computer > Tool > Pastikan ada Folder Options.
3. Klik start > run > taipkan msconfig dan tekan enter. Kalau msconfig tidak muncul, virus sudah menyekatnya.
4. Klik start > run > taipkan regedit dan tekan enter. Kalau dialog Registry Editor tidak muncul ertinya komputer/laptop anda telah terinfeksi dengan virus berkenaan.
Apa yang dibuat oleh worm ini?
Worm akan bersembunyi di dalam fail berikut:
%System%\RVHOST.exe
Worm akan mencipta folder baru dengan extension (new folder.exe):
%System%\new folder.exe
Worm akan mencipta tugasan berrikut di dalam Windows job e%Windir%\Tasks\At1.job
Worm akan mencipta fail registry berikut dan menjalankannya setiap kali windows dibuka.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\”Shell” = “Explorer.exe ” RVHOST.exe”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\”Yahoo Messengger” = “%System%\RVHOST.exe”
Seterusnya mencipta fail dalam registry dengan laluan berikut:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler\Shares\”shared” = “[SHARED DRIVE]\New Folder.exe”
Worm akan mengubahsuai registry entries untuk disable Task Manager dan Registry Editor:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\”DisableTaskMgr” = “1r43;
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\”DisableRegistryTools” = “1r43;
Worm juga mengubahsuai entri registry berikut:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\”NofolderOptions” = “1r43;
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule\”AtTaskMaxHours” = “0r43;
Worm akan deletes registry berikut:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\”Run” = “BkavFw”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\”Run” = “IEProtection”
Cara-cara membuang worm.trojan RVHOST.EXE
Jangan risau… sekarang ni dah ada beberapa teknik untuk atasi masalah berkenaan…
1) gunakan tools ‘fix registry’… boleh di dapati dalam internet (revocerdatatools, majorgeeks)
2) jika anda jenis yang suka ‘godek’… tips dari trendmicro boleh membantu
- Open Notepad.
- Copy and paste the following:
On Error Resume Next
Set shl = CreateObject(”WScript.Shell”)
Set fso = CreateObject(”scripting.FileSystemObject”)
shl.RegDelete “HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion
\Policies \System \DisableRegistryTools”
shl.RegDelete “HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion
\Policies \System \DisableTaskMgr”
shl.RegDelete
- Save this file as C: \RESTORE.VBS. (type ALL FILES)
- Click Start> Run, type C: \RESTORE.VBS, then press Enter.
- Click Yes at the prompt of the message box.
Selepas masalah ini dah ok… update antivirus atau cari antivirus paling latest yang boleh mengatasi serangan virus tersebut.
Selain daripada tools dan teknik ini… masih ada petua untuk menjaga pc kita dari serangan virus… walaupun orang kata mencegah lebih baik daripada mengubat… tapi dalam dunia IT tak jadi punya… sebab virus/worm/trojan/treats ni akan datang dulu… ini bisnes maaaaa…..
Ada 3 perkara yang perlu ada di dalam pc kita sebelum kita bergelumang dengan dunia internet…
1) antivirus (sebarang yg latest, saya cadangkan Kaspersky, panda, Sophos, AVG)
2) antispybots (Spybots : Search and Destroy)
3) antispyware (Spywareblaster)
Hal ini disebabkan oleh sejenis worm bernama W32.Yautoit.N. Ia ialah worm yang disebarkan melalui Yahoo! Messenger. Seterusnya pengguna akan memindahkan worm tersebut kepada pengguna lain melalui pendrive dan disket. Hal diperburukkan lagi apabila komputer tidak mempunyai perisian anti-virus dan anti spyware terkini.
Tulisan ini cuba membantu untuk anda memahami dan menyelesaikan masalah ini.
Virus/worm ini telah menyekat program tersebut dari dilaksanakan… (rvhost.exe, sohanad/yautoit, fujacks, bro-act dan sebagainya yang mengganggu setting)…
Adakah laptop atau PC anda dijangkiti RVHOST?
Buat beberapa ujian ringkas:
1. Tekan kekunci Ctrl + Alt secara serentak untuk membuka Task Manager. Paparan berikut akan muncul (Your Task manager has been disable by administrator). Sahih komputer/laptop anda telah terkena virus tu.
2. Buka My Computer > Tool > Pastikan ada Folder Options.
3. Klik start > run > taipkan msconfig dan tekan enter. Kalau msconfig tidak muncul, virus sudah menyekatnya.
4. Klik start > run > taipkan regedit dan tekan enter. Kalau dialog Registry Editor tidak muncul ertinya komputer/laptop anda telah terinfeksi dengan virus berkenaan.
Apa yang dibuat oleh worm ini?
Worm akan bersembunyi di dalam fail berikut:
%System%\RVHOST.exe
Worm akan mencipta folder baru dengan extension (new folder.exe):
%System%\new folder.exe
Worm akan mencipta tugasan berrikut di dalam Windows job e%Windir%\Tasks\At1.job
Worm akan mencipta fail registry berikut dan menjalankannya setiap kali windows dibuka.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\”Shell” = “Explorer.exe ” RVHOST.exe”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\”Yahoo Messengger” = “%System%\RVHOST.exe”
Seterusnya mencipta fail dalam registry dengan laluan berikut:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler\Shares\”shared” = “[SHARED DRIVE]\New Folder.exe”
Worm akan mengubahsuai registry entries untuk disable Task Manager dan Registry Editor:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\”DisableTaskMgr” = “1r43;
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\”DisableRegistryTools” = “1r43;
Worm juga mengubahsuai entri registry berikut:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\”NofolderOptions” = “1r43;
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule\”AtTaskMaxHours” = “0r43;
Worm akan deletes registry berikut:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\”Run” = “BkavFw”
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\”Run” = “IEProtection”
Cara-cara membuang worm.trojan RVHOST.EXE
Jangan risau… sekarang ni dah ada beberapa teknik untuk atasi masalah berkenaan…
1) gunakan tools ‘fix registry’… boleh di dapati dalam internet (revocerdatatools, majorgeeks)
2) jika anda jenis yang suka ‘godek’… tips dari trendmicro boleh membantu
- Open Notepad.
- Copy and paste the following:
On Error Resume Next
Set shl = CreateObject(”WScript.Shell”)
Set fso = CreateObject(”scripting.FileSystemObject”)
shl.RegDelete “HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion
\Policies \System \DisableRegistryTools”
shl.RegDelete “HKEY_CURRENT_USER \Software \Microsoft \Windows \CurrentVersion
\Policies \System \DisableTaskMgr”
shl.RegDelete
- Save this file as C: \RESTORE.VBS. (type ALL FILES)
- Click Start> Run, type C: \RESTORE.VBS, then press Enter.
- Click Yes at the prompt of the message box.
Selepas masalah ini dah ok… update antivirus atau cari antivirus paling latest yang boleh mengatasi serangan virus tersebut.
Selain daripada tools dan teknik ini… masih ada petua untuk menjaga pc kita dari serangan virus… walaupun orang kata mencegah lebih baik daripada mengubat… tapi dalam dunia IT tak jadi punya… sebab virus/worm/trojan/treats ni akan datang dulu… ini bisnes maaaaa…..
Ada 3 perkara yang perlu ada di dalam pc kita sebelum kita bergelumang dengan dunia internet…
1) antivirus (sebarang yg latest, saya cadangkan Kaspersky, panda, Sophos, AVG)
2) antispybots (Spybots : Search and Destroy)
3) antispyware (Spywareblaster)
No comments:
Post a Comment