Diệt virus đơn giản bằng tay với các công cụ có sẵn của Windows

[kietit]

Bạn nghi ngờ máy có virus? Cách nhận thấy dễ nhất là:
+ khi bạn nháy đúp vào ổ đĩa thì hiện ra 1 cửa sổ mới chứ ko hiện trong cửa sổ cũ
+ khi bạn ấn phải chuột vào ổ đĩa có chữ autoplay hay có các kí tự lung tung
Tất cả là đều do virus thuộc dạng autorun.inf
+ mất folder option hay các mục chọn "show all files.." bị vô hiệu hóa
+ ko chạy được taskmanager (ctrl alt del)
(Do đó để phòng chống, ko bao giờ nháy đúp vào usb lạ mà bạn hãy ấn F4 => chọn ổ đĩa usb, làm như vậy có thể vô hiệu hóa autorun tạm thời => vào folder options trong menu tool => view => show hidden files... => bỏ chọn hide protected... => ok. Lúc này các file virus (nếu có) sẽ hiện ra, cụ tỉ là đã mờ đi: autorun.inf,xxx.exe => xóa chúng, rút usb ra cắm lại => usb đã sạch, bạn lại có thể nháy đúp thoải mái)

Khi mà có các hiện tượng trên thì 99% là máy bạn có virus rồi (1% còn lại là do admin disable các chức năng trên hoặc có ai nghịch máy bạn). Vậy phải diệt thế nào? Biện pháp của mình chỉ còn có tác dụng khi mà virus chưa vô hiệu hóa nốt MSconfig của bạn, làm sao để bít? Bạn vào start menu => run => msconfig => ok. nếu hiện lên System Configuration Utility thì chúc mừng bạn 80% bạn diệt được con virus này. Và đây là các bước của mình:

B1. Trước hết cần biết là con virus sẽ chạy thường trực ở hệ thống khi bạn khởi động máy, để làm như vậy thì nó sẽ đăng kí mình ở tab startup của System Configuration Utility => bạn thử bỏ chọn tất cả các mục ở tab startup đó và khởi động lại máy. nếu sau khi khởi động, vào lại msconfig mà vẫn thấy có 1 mục đánh dấu thì đó là con virus đó bạn.
B2. Bạn nhớ lại tên file chạy kèm đường dẫn của con virus đó: xxx.exe (xxx là tên mà bạn thấy trong bước trên, ở cột command). vào start menu => run => cmd => đánh các lệnh:
taskkill /f /im xxx.exe /t (hiện success ở dòng lệnh)
cd\
cd aaa\bbb\...\zzz\ (đường dẫn ở trên bạn thấy, ví dụ như bạn thấy "c:\windows\sex.exe" thì aaa\bbb\...\zzz\ là c:\windows\)
attrib -s -h -r xxx.exe
del -s -h -r xxx.exe (bạn đã xóa xong file chạy của con virus)
c:
attrib -s -h -r autorun.inf
more autorun.inf (hiện ra 1 đoạn văn bản => bạn tìm các từ khóa có dạng xyz.com hay xyz.exe)
Đoạn này bạn lặp lại liên tiếp tương ứng với số ổ đĩa của bạn:
x: (x là tên ổ)
attrib -s -h -r autorun.inf
del autorun.inf
attrib -s -h -r xyz.com( hay xyz.exe)
del xyz.com( hay xyz.exe)

tắt cmd. bật msconfig 1 lần nữa, bỏ chọn con virus. Khởi động lại máy.
Lần này nếu bật msconfig lên mà ko thấy bị đánh dấu nữa thì chúc mừng bạn đã tách được con virus ra khỏi hệ thống. Công việc bây giờ chỉ còn là dọn dẹp hậu quả của nó.

B2. Bạn làm các bước sau:
- vào run => gõ regedit => ok. (nếu ko hiện Register Editor thì bạn xem phần chú ý bên dưới)
- ctrl+f => đánh xxx.exe => find next => tìm được 1 key (nó bôi đen), bạn ấn del để xóa key đó => ấn F3 để tiếp tục tìm và xóa đến khi nó bảo finish. Tăt regedit.
- Vào folder options (Trong control panel hoặc tools ở my computer) (Khôi phục ở phần chú ý) => view :
+ đánh dấu "show hidden files and folders"
+ bỏ chọn "hide protected operating system files (recommended)"
=> ok. (Nếu vào lại lần nữa mà vẫn thấy không đánh dấu thì bạn xem cách khôi phục ở chú ý)
- vào start menu => search => all files and folders => more advanced options => đánh dấu 3 ô đầu tiên. ở dòng "all or part of the file name", gõ:xxx(ten con virus luc nãy nhưng bỏ đuôi exe) => search => sau khi finish => bạn ấn ctrl+a để chọn tất => xóa đi bằng shift+del => yes.
Tương tự với file xyz.com(hay xyz.exe)
- bây giờ vào ổ D: (ổ bất kì trừ ổ đĩa hệ thống, tức ổ chứa các thư mục windows, program files) tìm các files đuôi exe hay com bị mờ, đó là virus, xóa nó đi, và làm tương tự như bước trên, tức là search nó và xóa hết. (phải tìm ở ổ đĩa khác trước vì ở ổ C: có rất nhiều file hệ thống cũng bị mờ nên bạn sẽ ko phân biệt được virus là cái nào).
- Vậy là bạn đã có một hệ thống sạch sẽ ko còn chú virus nào nữa rồi. Để cẩn thận bạn có thể vào google, gõ :xxx.exe site:symantec.com, ở đó có các mô tả kĩ thuật, các hành động của con virus mà bạn bị nhiễm, ta chỉ việc làm ngược lại các hành động của nó là xong.(cần đòi hỏi có vốn tiếng Anh tốt, và am hiểu về hệ thống)

Chú ý:
- Bạn phải vào tài khoản có quyền quản trị (admin) để thực hiện các bước trên.
- Cách khôi phục registry editor:
+ chạy run.
+ gõ REG add "HKCU\Software\Microsoft\Windows\CurrentVersio n\Po licies\System" /v "DisableRegistryTools" /t REG_DWORD /d 0 /f
+ ok.
- Cách khôi phục task manager (ctrl alt del):
+ chạy run.
+ gõ REG add "HKCU\Software\Microsoft\Windows\CurrentVersio n\Po licies\System" /v "DisableTaskMgr" /t REG_DWORD /d 0 /f
+ ok.
- Cách khôi phục folder options:
+ chạy run.
+ gõ REG delete "HKCU\Software\Microsoft\Windows\CurrentVersio n\Po licies\Explorer" /v "NoFolderOptions" /f
+ ok.
- Cách khôi phục việc bị vô hiệu hóa tùy chọn show hidden files and folders:
+ bạn mở notepad (start menu => all programs => accessories).
+ dán đoạn văn bản này:

CODE
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Explorer\Advanced\Folder\Hidden\SHOWAL L]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVe rsion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Explorer\Advanced\Folder\Hidden\NOHIDD EN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVe rsion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"


(có khoảng trắng giữa các đoạn và cuối dòng"
+ file => save => bạn đánh tên: "hidden.reg" (có kèm dấu nháy ") => save. Tắt notepad.
+ Bạn nháy đúp vào "hidden.reg" => yes.
- Các khôi phục trên yêu cầu bạn phải khởi động lại máy mới thực sự có hiệu quả.
-- Có những con virus xịn : những con mà phá dữ liệu, vô hiệu hóa msconfig, hay ẩn mình ko hiện trong danh sách startup, vô hiệu hóa safemode cũng như bật máy lên làm bất cứ cái gì cũng khởi động lại máy thì lúc đó phải dùng thêm các công cụ khác như Hiren boot cd, hijackthis, hay thậm chí cài lại hệ điều hành => mình ko bàn đến vì nó thuộc chủ đề khác, ở đây chúng ta chỉ dùng công cụ có sẵn diệt các con virus amater và cũng chỉ là kinh nghiệm mình tích lũy được, xin các pro đừng có cho là minh qua mặt, có gì sai sót cũng xin được lắng nghe và học hỏi.

Như vậy là chúng ta đã có thể tiêu diệt được 1 con virus, dù nó ko phải là con virus xịn pro nhưng mình tin là các bạn cũng thấy vô cùng đã tay phải ko? Good Luck!!!

Nguồn SoftVnn