ถูกคุกคาม Hijack Application

[benja]

**Hidden Content: To see this hidden content your post count must be 10 or greater.**

[benja]

**Hidden Content: To see this hidden content your post count must be 10 or greater.**

[Gen0TypE]

ใจเย็นๆ ก่อนนะครับ จากที่โพสต์มานี่ ผมอ่านแล้วจับใจความไม่ได้เลย
ยังไงรบกวนเล่ารายละเอียดอีกทีนะครับ เอาเป็นว่าเล่าตามคำถามที่ผมจะให้ละกัน

- เกิดปัญหาอะไรขึ้น (เอาเป็นเล่าอาการที่ผิดปกติมาละกัน)
- เครื่องที่เกิดปัญหาเป็น server หรือ desktop ใช้งานทั่วไป อีกไฟล์ข้อมูลสำคัญๆ อยู่รึป่าว
- log ที่ให้มา เป็น log จากโปรแกรมอะไร

log ที่ให้มาดูค่อนข้างยากครับ ควรใช้ netstat คู่กับ taskmanager ดูว่า traffic แต่ละอันเกิดจากโปรแกรมตัวไหน

แต่เท่าที่ผมดู log ที่ให้มานั้น เบื้องต้นมีแต่ http connection กับ dns ทั้งนั้นเลย ซึ่งก็ไม่เห็นว่าจะผิดปกติตรงไหน
มีแค่บาง ip ที่ดูแปลกๆ ไปบ้าง แต่ก็เป็น http connection อยู่ดี ซึ่งอาจเป็นการ request พวก ads จากเว็บต่างๆ ได้

ยังไงรบกวนตอบ 3 ข้อข้างต้นก่อนนะครับ ถ้าพอจะมองภาพรวมออกแล้ว อาจจะขอข้อมูลเพิ่มภายหลัง

[nirvana02]

**ลองลงวินโดว์ใหม่เลยครับ

**เสร็จเเล้วหา firewall ตัวดีๆมาลง

**ส่วนงานในเครื่องควรเลือกดีๆล่ะอาจมีไฟล์แปลกปลอมมาด้วยอันไหนไม่เเน่ใจลบทิ้งไปเลย

**ส่วนเมล์ถ้ายังใช้ได้ควรเปลี่ยน paasword ใหม่เลยโดยเครื่องที่ไว้ใจได้

**ทำ 4 วิธีนี้เเล้วยังติดตามได้อีกให้มันรู้ไป **ถ้าไม่หลงนำโทรจันมาเข้าเครื่องอีก**

[benja]

-ลงวินโดวใหม่แล้ว ลองต่อเนตดูแต่เหมือนเดิม เขาตามมาได้เสมอ
คิดว่าเขาทราบเพราะไม่ได้ใช้ proxy
ถึงตอนนี้ใช้อยู่ก็ช้าไปเขาทราบว่าconnect จากเนตที่ไหน

- ไม่ว่าจะไปใช้เนตคาเฟ่ หรือเนตที่ไหน ก็ตามมาได้ตลอด
เปิดเมลตัวเอง ก็เห็น netstat show ทันทีว่ามี ip นี้ตามมา

- เปลี่ยนเมลไม่ได้ผล เขาทราบหลังจากถูก remote ทั้งหมดแล้ว
และ remote desktop หรือ inject เข้ามาได้
- เคยถูก exploit> remote ขึ้นหน้าจอสีฟ้า >restart
หลังจาก format ทั้งหมด เอาไป update ไม่ว่าเนตที่ไหน เขาทราบทั้งหมด
และตามได้ มาremote desktop อีกก็ด่ากลับนะ เห็นใช่ไหมหน้าจอน่ะ
มาวุ่นวายกับชีวิตคนอื่นแล้วยังไม่ยอมหยุด


- log file จาก windows firewall ธรรมดา
note book ส่วนบุคคล

- ใช้ sygate firewall จะแสดงว่า mac address ไหน
Hijack Application อยู่

- ผิดปกติแน่นอน เพราะ ip กลุ่มเดิม ตามมาตลอด ไม่ได้เปิดอะไรมาก จะสังเกตุ
ip ที่แตกต่างได้ ว่า จากเวบไหน หรือ ใช้โปรแกรมอะไรอยู่
ปัญหาคือ เขาคุกคาม ติดตามมาขนาดนี้ ไม่ยอมเลิกรา นอกจากเข้ามาทำลายเอกสาร
ลบโฟลเดอร์งานแลัวยังตามตัวมาถึงที่พักและก่ออาชญากรรมกับผู้หญิง
ใส่ความกับคนรอบข้างว่าให้เสียหาย เสียชื่อเสียง จนต้องเข้าแจ้งความกับตำรวจ
มีปัญหาอีกมาก เพราะเขาใหญ่โต แถมมีฝีมือระดับเทพ คนธรรมดายังไม่รู้เรื่องเลย
เพื่อนบอกว่า เขา lock mac หนีไม่ได้ จะทำอย่างไร ในเมื่อเปลี่ยน mac address แล้ว
แต่เขายังหาเครือข่ายได้

เหตุนี้ผิดปกติเกินกว่าคนทั่ว ๆ เขาจะทำกันเพราะปัญหาเกิดมาหลายปีแล้ว
ขอความช่วยเหลือจากที่นี่ไม่ได้ ก็ไม่ทราบว่าจะต้องไปที่ไหนอีก รบกวนช่วยเหลือด้วย
ตอนแรกนึกว่าคนต่างชาติ ใช้ ip ในไทย แต่ตอนนี้คิดว่าเขามีเครือข่ายคนไทยด้วย

รอเวลาให้กฎหมายจัดการเท่านั้น เพราะการพูดคุย เจรจามันทำไม่ได้แล้ว
มันระเบิดออกมาหมดแล้ว ถ้าเขาฆ่าคนได้ พวกเขาทำไปนานแล้ว
ดิฉันคงไม่มีโอกาสมาขอความช่วยเหลือที่นี่

[prungthan]

วินโดว์ที่ลงมาใหม่นี่ ใช่แผ่นที่จ้างเขาโมสำหรับเครื่องตัวเองหรือเปล่าครับ หรือว่าใช้แผ่นอื่นๆ ทั่วไปที่เขาใช้กัน

[benja]

.=ใช้แผ่นใหม่แล้ว เพื่อนให้มาค่ะ ใช้ตั้งแต่ พันธ์ทิพย์ จนกระทั่ง ซื้อใหม่แผ่นที่ ห้า ที่ฟอร์จูน



ขอบอกอีกหน่อยนะคะ

มีอาการ mouse ติดขัด สแกนไวรัสแล้วไม่มีค่ะ เมื่อกี้นี้เอง
คนแถวๆ นี้หรือใครยังไง ช่วยบอกด้วย
icon บอกว่า mouse > unrecognize
ขึ้นมาเป็นระยะ แบบกวนทีน ไม่รู้มันจะทำไปทำไม

ถ้ามือ back track ด้วยกัน รบกวนหยุดด้วยเถอะ
เสียเวลาโดยเปล่าประโยชน์กับการคุกคามคนไม่มีเวลาป้องกันตัวเอง

ชนะ โดย อันธพาล ไม่ภูมิใจเท่าชนะใจคนดี
นี่ขนาดผู้หญิงยังไม่ละเว้น คงไม่น่าภูมิใจเท่าไร



http://pic.citec.us/show.php/16613_hijackappl.GIF.html

[Keyboard]

แผ่นโปรแกรมที่ไม่ถูกลิขสิทธิ์คงจะไว้ใจไม่ได้หรอกครับ
มีพวก anti-virus บ้างไหมครับ ตัว personal firewall ก็น่าจะเปิดด้วยครับ
ปรกติแล้ว เขาไม่น่าจะตามเจอง่ายขนาดนี้ มีลงโปรแกรมอะไรหลังจาก windows ไหมครับ
ถ้าจะให้ดี นอกจากข้อมูลที่แสดงแล้ว ถ้าได้โปรแกรมพวก ethereal หรือ wireshark จับข้อมูลจริงๆ แล้วน่าจะช่วยได้มากกว่านี้ครับ
ปรกติแล้ว windows ถ้าลง patch ครบ เปิด personal firewall มี anti-virus ก็ช่วยได้เยอะครับ
ยังไงก็ดูเรื่องโปรแกรมที่เอามาลงด้วยนะครับ ว่ามีโปรแกรมอะไรน่าสงสัยหรือเปล่า

[tack999]

ผมว่าคนใกล้ตัวล่ะครับ ลงโปรแกรมทิ้งไว้ ปกติ ลง window ใหม่ก็ไม่น่าตามได้ เปลี่ยน password ทั้งหมดด้วยนะครับทั้ง router ที่คุณใช้

แปลกมากๆ คุณไปทำอะไรกับใครไว้รึเปล่าคิดดุดีๆ ผม hack เกือบตาย มันไม่ได้ง่ายๆเลยนะครับ

[Gen0TypE]

ตอนนี้ต้องแยกก่อนว่าต้องการทำอะไร ระว่าง "ตามจับคนทำ" กับ "แก้ไขเพื่อไม่ให้เค้าต่อมาที่เครื่องเราได้อีก"

กรณีแรกบอกเลยว่ายุ่งยาก และอาจต้องเสียทั้งเงินและเวลาไปเยอะ แต่สุดท้ายอาจตามจับไม่ได้เลย แน่นอนว่าต้องพึ่งตำรวจ แต่ตำรวจจะช่วยเราหรือไม่มันก็อีกเรื่อง


ถ้ากรณีหลัง เอาแบบง่ายสุดก็คงต้องลง windows ใหม่ เน้นว่า "ต้อง format ทุก drive" แค่ลงใหม่อย่างเดียว ไม่เกิดประโยชน์ ต้อง format ด้วย
แล้วก็ลง firewall กับ anti-virus ทันที หลังลง windows เสร็จ อย่าลืม update anti-virus ด้วย
และอย่าให้คนอื่นเข้ามาใช้เครื่องเราง่ายๆ เพราะอย่างที่ท่าน tack999 บอก อาจเป็นคนใกล้ตัวเอาพวก backdoor มาลงไว้


ไม่ทราบ ip ที่ก่อกวนเราเป็น ip เดิมตลอดหรือไม่ครับ อันที่จริงเราสามารถใช้ netstat -no เพื่อดูว่า process id ไหน เป็นตัวรับ connection จาก ip ที่เราสงสัย แล้วเปิด task manager เพิ่มดูว่า process id นั้นๆ คือโปรแกรมอะไร แล้วค่อยไปแก้ที่ตัวโปรแกรมนั้นๆ ก็ได้ แต่ในกรณีที่โปรแกรมเจ้าปัญหาเป็น virus หรือ rootkit อันนี้จะค่อนข้างยุ่งยากมาก ผมจึงแนะนำว่าลง windows ใหม่ จะดีที่สุด

ปล. ถ้า ip ที่ก่อกวน เป็น ip เดิมตลอด รบกวน post ip ไว้ให้หน่อยนะครับ