-
W32.Mydoom.M@mm เป็น หนอนอินเทอร์เน็ตที่สามารถแพร่กระจายผ่านทางอี-เมล์ ซึ่งหนอนชนิดนี้จะมากับ อี-เมล์โดยมีหัวข้ออี-เมล์และเนื้อความที่หลากหลายจากการสุ่มขึ้นมา
ชื่อผู้ส่งอี-เมล์ เกิดจากการสุ่มชื่ออี-เมล์ขึ้นมา
หัวข้ออี-เมล์ say helo to my litl friend
click me baby, one more time
hello
error
status
test
report
delivery failed
Message could not be delivered
Mail System Error - Returned Mail
Delivery reports about your e-mail
Returned mail: see transcript for details
Returned mail: Data format error
ไฟล์ที่แนบมากับอี-เมล์ ไฟล์ที่สุ่มจากหนอน เป็นไปได้ในหลายลักษณะดัง ตัวอย่างไฟล์ต่อไปนี้
readme
instruction
transcript
mail
letter
file
text
attachment
document
message
และตัวอย่างนามสกุลของไฟล์ที่หนอนส่งมาพร้อมกับอี-เมล์
cmd
bat
com
exe
pif
scr
ข้อความในอี-เมล์ ข้อความในอี-เมล์อาจจะเป็นไปได้ในลักษณะนี้
Dear user {[To address of mail]|of [domain of To address]},{ {{M|m}ail {system|server} administrator|administration} of [domain of To address] would like to {inform you{ that{:|,}|}|let you know {that|the following}{.|:|,}}|||||}
{We have {detected|found|received reports} that y|Y}our {e{-|}mail |}account {has been|was} used to send a {large|huge} amount of {{unsolicited{ commercial|}|junk} e{-|}mail|spam}{ messages|} during {this|the {last|recent}} week.
{We suspect that|Probably,|Most likely|Obviously,} your computer {had been|was} {compromised|infected{ by a recent v{iru}s|}} and now {run|contain}s a {trojan{ed|}|hidden} proxy server.
{Please|We recommend {that you|you to}} follow {our |the |}instruction{s|} {in the {attachment|attached {text |}file} |}in order to keep your computer safe.
{{Virtually|Sincerely} yours|Best {wishe|regard}s|Have a nice day},
{[domain of To address] {user |technical |}support team.|The [domain of To address] {support |}team.}
{The|This|Your} message was{ undeliverable| not delivered} due to the following reason{(s)|}:
Your message {was not|could not be} delivered because the destination {computer|server} was
{not |un}reachable within the allowed queue period. The amount of time
a message is queued before it is returned depends on local configura-
tion parameters.
Most likely there is a network problem that prevented delivery, but
it is also possible that the computer is turned off, or does not
have a mail system running right now.
Your message {was not|could not be} delivered within [random number] days:
{{{Mail s|S}erver}|Host} [host used to send mail] is not responding.
The following recipients {did|could} not receive this message:
<[To address of mail]>
Please reply to postmaster@{[domain of From address]|[domain of To address]}
if you feel this message to be in error.
The original message was received at [current time]{
| }from {[domain of From address] [[host used to send mail]]|{[host used to send mail]|[[host used to send mail]]}}
----- The following addresses had permanent fatal errors -----
{<[To address of mail]>|[To address of mail]}
{----- Transcript of {the ||}session follows -----
... while talking to {host |{mail |}server ||||}{[domain of To address].|[host used to send mail]}:
{>>> MAIL F{rom|ROM}:[From address of mail]
<<< 50$d {[From address of mail]... |}{Refused|{Access d|D}enied|{User|Domain|Address} {unknown|blacklisted}}|554 <[To address of mail]>... {Mail quota exceeded|Message is too large}
554 <[To address of mail]>... Service unavailable|550 5.1.2 <[To address of mail]>... Host unknown (Name server: host not found)|554 {5.0.0 |}Service unavailable; [[host used to send mail]] blocked using {relays.osirusoft.com|bl.spamcop.net}{, reason: Blocked|}
Session aborted{, reason: lost connection|}|>>> RCPT To:<[To address of mail]>
<<< 550 {MAILBOX NOT FOUND|5.1.1 <[To address of mail]>... {User unknown|Invalid recipient|Not known here}}|>>> DATA
{<<< 400-aturner; %MAIL-E-OPENOUT, error opening !AS as output
|}{<<< 400-aturner; -RMS-E-CRE, ACP file create failed
|}{<<< 400-aturner; -SYSTEM-F-EXDISKQUOTA, disk quota exceeded
|}<<< 400}|}
The original message was included as attachment
{{The|Your} m|M}essage could not be delivered
วิธี การแพร่กระจาย
หนอนชนิดนี้สามารถแพร่กระจายผ่านทางอี-เมล์โดยไฟล์ที่แนบมากับอี-เมล์นั้นมี รูปแบบไม่แน่นอน
ผล กระทบที่เกิดขึ้น
•ส่งอี-เมล์ออกมาเป็นจำนวนมาก : หนอนจะส่งอี-เมล์โดยใช้ SMTP ของหนอนเอง
•เปิดการเชื่อมต่อที่ผิดปกติ : หนอนจะทำการเปิด พอร์ต 2110/TCP และ 1034/TCP
•เครื่องอาจทำงานผิดพลาด : เนื่องจากหนอนจะแก้ไขไฟล์และรีจิสทรี ทำให้ เครื่องทำงานผิดพลาดได้
วิธี กำจัดหนอนชนิดนี้
การกำจัดหนอนแบบอัตโนมัติ วิธีที่ 1
1.ดาวน์โหลดโปรแกรม Sysclean.com จากเว็บไซ ต์ http://www.trendmicro.com/ftp/products/tsc/sysclean.com
2.ดาวน์โหลดไฟล์ pattern ชื่อ lptxxx.zip จาก http://www.trendmicro.com /download/pattern.asp
หมายเหตุ xxx แทนตัวเลขเวอร์ชันล่าสุดของ ไฟล์ pattern
3.แตกไฟล์ lptxxx.zip นำไฟล์ชื่อ lpt$vpn.xxx เก็บไว้ในโฟลเดอร์เดียวกับ ไฟล์ Sysclean.com ที่ได้จากข้อ 1
4.ตัดการเชื่อมต่อเครือข่าย
5.หยุดการทำงานทุกโปรแกรม รวมทั้งโปรแกรมป้องกันไวรัสด้วย
6.จากนั้นรันไฟล์ Sysclean.com จะปรากฏไดอะล็อกให้ทำการสแกนโดยกดปุ่ม Scan
7.เริ่มต้นการใช้งานโปรแกรมป้องกันไวรัสอีกครั้ง
8.ทำการปรับปรุงฐานข้อมูลไวรัสที่ใช้อยู่แล้วทำการสแกนอีกครั้งเพื่อให้แน่ ใจว่าเครื่องที่ใช้งานอยู่ไม่มีไวรัส
การกำจัดหนอนแบบอัตโนมัติ วิธีที่ 2
1.ดาวน์โหลดไฟล์ FxMydoom.exe จาก http://securityresponse.symantec.com /avcenter/FxMydoom.exe
2.ปิดโปรแกรมทุกโปรแกรมที่กำลังใช้งานอยู่ก่อนรันไฟล์ที่ดาวน์โหลดจากข้อ 1
3.ตัดขาดการเชื่อมต่อจากเครือข่ายทุกทาง
4.ถ้าใช้ระบบปฎิบัติการ Windows XP หรือ ME ให้ทำ การ disable System Restore ก่อน
5.จากนั้นทำการรันไฟล์ FxMydoom.exe โดยการดับเบิลคลิ้กไฟล์ดังกล่าวแล้วกด ปุ่ม start
6.รีสตาร์ทเครื่อง แล้วรัน FxMydoom.exe อีกครั้งเพื่อให้แน่ใจว่าไม่มีหนอน ตัวนี้หลงเหลือในระบบ
7.ถ้าใช้ระบบปฎิบัติการ Windows XP หรือ ME ให้ทำ การ enable System Restore
8.ปรับปรุงฐานข้อมูลไวรัสให้กับโปรแกรมป้องกันไวรัสที่ติดตั้งอยู่ในระบบ
9.สแกนหาไวรัสทั้งระบบดูอีกครั้ง
วิธี ป้องกันตัวเองจากหนอนชนิดนี้
1.ควรลบอี-เมล์ที่น่าสงสัยว่ามีไวรัสแนบมา รวมทั้งอี-เมล์ขยะและอี-เมล์ลูก โซ่ทิ้งทันที
2.ห้ามรันไฟล์ที่แนบมากับอี-เมล์ซึ่งมาจากบุคคลที่ไม่รู้จักหรือไม่มั่นใจ ว่าผู้ส่งเป็นใครและไม่ทราบว่าไฟล์ดังกล่าวนั้นเป็นไฟล์อะไร ตลอดจนไฟล์ที่ ถูกส่งด้วยโปรแกรมประเภทแช็ต (Chat) ต่างๆ เช่น IRC, ICQ หรือ Pirch เป็น ต้น
3.ติดตั้งโปรแกรมต่อต้านไวรัส และต้องทำการปรับปรุงฐานข้อมูลไวรัสเป็นตัว ล่าสุดอยู่เสมอ
4.สร้างแผ่นกู้ระบบฉุกเฉิน (Emergency disk) ของโปรแกรมป้องกันไวรัส และ ปรับปรุงฐานข้อมูลในแผ่นอยู่เสมอ
5.ติดตั้งโปรแกรมปรับปรุงช่องโหว่ (patch) ของทุกซอฟต์แวร์อยู่เสมอ โดย เฉพาะ Internet Explorer และระบบปฏิบัติการ ให้เป็นเวอร์ชันใหม่ที่สุด
6.ติดตั้งโปรแกรมป้องกันไวรัส และต้องทำการปรับปรุงฐานข้อมูลไวรัสให้ทัน สมัยอยู่เสมอ
7.ตั้งค่า security zone ของ Internet Explorer ให้เป็น high ดังคำแนะนำ ที่ http://www.thaicert.nectec.or.th/paper/virus/zone.php
8.ทำการสำรองข้อมูลในเครื่องอยู่เสมอ และเตรียมหาวิธีการแก้ไขเมื่อเกิดเหตุ ขัดข้องขึ้น
9.ติดตามข่าวสารแจ้งเตือนเกี่ยวกับไวรัสต่างๆ ซึ่งสามารถขอใช้บริการส่งข่าว สารผ่านทางอี-เมล์ของทีมงาน ThaiCERT ได้ ที่ http://thaicert.nectec.or.th/mailinglist/register.php
ช้อมูลอ้างอิง
•http://www.outpost24.com/
•http://securityresponse.symantec.com...doom.m@mm.html
•http://us.mcafee.com/virusInfo/defau...virus_k=127033
•http://www.trendmicro.com/vinfo/viru...DOOM.M&VSect=T
Credit :http://www.thaicert.nectec.or.th/index.php :D
http://www.sudipan.net/phpBB2/viewtopic.ph...57364a4d6e1e2df
