ช่วยด้วยครับ ผมโดน Malware จาก ThaiMTB เล่นงาน สดๆร้อนๆ

[waranon1974]

รบกวนผู้รู้ช่วยหน่อยครับ

วันที่ 27/2/56 ผมเปิดตามลำดับดังนี้

"คำภีร์เสือภูเขา-เสือหมอบ ฯลฯ ☆☆☆"
http://thaimtb.com/forum/viewtopic.php?f=64&t=270637

แล้วก็ คลิ๊กต่อไปที่ ข้อ 17 "ลดความอ้วนด้วยการปั่นจักรยาน"

Google มันขึ้นมาเตือนแล้วว่ามี malware ผมประมาทไปหน่อย คิดว่าคงเป็นความผิดพลาด และเพราะไว้ใจ thaimtb เป็นทุนเดิม จึงเสี่ยงเปิดดู

พอปิดเครื่อง และเปิดเครื่องมาอีกที มี Window รายงานเริ่มด้วย

dwm.exe-System Error
WindowsCodecs.dll is missing

ดันทุรังเปิดต่อๆไป จนเข้า Windows ได้ แต่ค่า Setup ต่างๆ หายเกลี้ยง เช่น หน้า Desktop เปลี่ยนไป, เปิด Windows live Mail ไม่ได้, จะ Back Up ข้อมูลก็ไม่สามารถใช้งาน USB port เพื่อต่อ External HDD ได้ แถมไม่สามารถทำ System Restore ได้ ....

ตอนนี้กำลังใช้ Malwarebytes Anti-Malware (Trial) จัดการ Full Scan อยู่ ยังไม่รู้ผล


ขอบคุณมากครับ

[waranon1974]

Malwarebytes Anti-Malware เอาไม่อยู่ครับ ไม่เจออะไรผิดปกติเลยเลย

เลยค่อยๆ หาข้อมูล และเข้าไปตรวจสอบดูแบบ Manual มีไฟล์ Registry ประเภท .dll หายไปเพียบ บางอันก็โดน Replace เพี้ยนเป็นอย่างอื่น Driver การ์ดจอก็หาย ฯลฯ

สุดท้ายแก้ปัญหาได้แล้ว โดยลองปิดและเปิดใหม่ด้วย safe mode w/Networking จึงสามารถใช้งาน System Restore ได้
จากนั้นก็ทะยอย Update Application ต่างๆที่กระทบ ให้เป็นปัจจุบันที่สุด


Tip:
- การทำ System Restore วิธีนี้ ต้องรอบคอบ เลือก Restoration Point ดีๆ นะครับ เพราะจาก Safe Mode นั้น Windows แจ้งว่าไม่สามารถยกเลิกกลางคัน หรือ Undo ได้ ทำนองว่าไปอดีตได้แต่กลับมาปัจจุบันอีกไม่ได้
- ไม่มีผลกระทบกับ Data File ต่างๆ

ขอบคุณครับ

[veenono]

น้าเป็ด NCC ก็เพิ่งโทรหา ว่าโดนกรณีคล้ายๆกันครับ แต่เกิดกับมือถือกาแลคซี่

[nanonop]

ใช้ browser ตัวไหนเปิดครับผมจะได้เลี่ยง ๆ ตอนนี้พึ่งพาบารมีของเจ้าหมี deep freez

[nbt]

ยังไม่เห็นปัญหาว่าจะเป็นจากเนื้อหาในเวบเลยนะครับ

[waranon1974]

ผมใช้ Chrome ครับ

link ข้อ 17 "ลดความอ้วนด้วยการปั่นจักรยาน"" ที่อ้างถึง ในวันที่เจอปัญหา มี Warning โดย Pop up จาก Google Chrome ผมทดลองปิดคำเตือน ปิดหน้า Web เปิดใหม่ และคลิ๊ก Link ดังกล่าว ทำแบบนี้ 2 รอบเพื่อให้ชัวร์ มันก็ยังเตือน แต่ด้วยเนื้อหาที่ผมอยากรู้พอดี(กำลังโน้มน้าวให้เพื่อนคนหนึ่ง มาปั่นจักรยานเพื่อลด นน.)+กับความอยากลองของ พิสูจน์เข้าไปจึงโดนครับ ความผิดปกติเท่าที่ผมพอจะสังเกตได้คือตอนคลิ๊กปุ๊บ ที่ Task Bar สังเกตแสดงสถานะการทำงานของ Web อื่นที่ไม่ใช่ thaimtb แสดงขึ้นมา แบบปรู๊ดเดียวเร็วมากแล้วก็หายไป ไม่ได้จำว่า Web อะไร ก็เอะใจบ้างแล้วว่าน่าจะมีบางอย่างแฝงเข้ามา?? แต่ก็นอนใจเพราะคอมก็ยังใช้งานได้ปกติ จนกระทั่ง ผม Restart เครื่อง...

หลังจากที่แก้ปัญหาด้วยวิธีการที่บอกได้แล้ว ผ่านไป 1 วัน ก็ลองเข้า link ที่เกิดปัญหาอีกว่ายังมีอาการอะไรหรือเปล่า ปรากฎว่าเข้าได้ปกติและไม่มีคำเตือนใดๆครับ

ผมให้ข้อมูลเท่าที่สังเกตได้มาเผื่อว่าเป็นประโยชน์กับ System Admin ในการหาและอุดช่องโหว่ระบบ หากต้องการข้อมูลอื่นใดเพิ่มเติม เช่นจำพวก System Log File ผมยินดีครับ ขอให้บอก

ปล.
ส่วนตัวสันนิษฐานว่า ผู้ไม่ประสงค์ดี อาจมาฝังอะไรบางอย่างไว้ สำหรับ keyword "ลดความอ้วน" ซึ่งผมว่ามันมีความนิยมสูง และ Sensitive ในตัวเองนะคับ

[Asasel]

[waranon1974]

มันกลับมาอีกแล้ว !!

[nbt]

เท่าที่ตรวจสอบดูพบว่าหน้านั้นมีการแทรกรูปจากเวบ www.green.in.th ซึ่งถ้าใครเข้าไปที่เวบหลักนี้ chome จะเตือนว่ามี malware ก็อาจจะติดได้

รูปที่มีการแทรกจากเวบนี้ ก็เลยโดนเหมาเตือนจาก chome ไปในตัว แต่ผมว่าการแสดงแค่รูปนี ไม่น่าจะติดเครื่องเราได้นะครับ นอกจากเครื่องท่านอาจจะเก่ามากๆและมีช่องโหล่กรณี malware ที่อาจจะแทรกมาในรูป ซึ่งกรณีผมไม่แน่ใจว่ามักมีช่องโหว่กรณีนี้จริงหรือเปล่า
http://www.green.in.th/files/imagecache ... towork.jpg
http://green.in.th/files/u55/planter-helmet.jpg

แต่ยังไงก็ตามผมขอลบรุปนั้น ออกไปก่อนแล้วนะครับ

[สมพิศ]

ผมก็ใช้โครมครับ เข้ากระทู้บอร์ดแดงบางกระทู้มันก็เตือนว่ามีมัลแวร์ เพราะมีลิ้งค์จากเว็บอื่นเข้ามา ถ้าเปิดจาก IE ไม่มีปัญหาครับ

เข้าไปลบลิ้งค์ที่บอร์ดแดงออกไปก็ไม่มีคำเตือนอีก

[waranon1974]

เรียนคุณ nbt ครับ

ปกติผมก็ใช้เพียง ESET Smart Seurity 4.0 และ Update ตลอด เพิ่งรู้ชัดก็คราวนี้ว่ามันจัดการ Malware ไม่ได้
หากมีวิธีการอุดช่องโหว่จาก Malware กรุณาแนะนำสำหรับเครื่องผมด้วย จะขอบคุณมากครับ

หมายเหตุ
ด้านล่างเป็นรายงานเชิงสถิติจาก Google เรื่องการตรวจพบปัญหาใน green.in.th

Safe Browsing
Diagnostic page for green.in.th
-----------------------------------------------------------------------------
What is the current listing status for green.in.th?
Site is listed as suspicious - visiting this web site may harm your computer.

Part of this site was listed for suspicious activity 9 time(s) over the past 90 days.

What happened when Google visited this site?
Of the 514 pages we tested on the site over the past 90 days, 430 page(s) resulted in malicious software being downloaded and installed without user consent. The last time Google visited this site was on 2013-03-03, and the last time suspicious content was found on this site was on 2013-03-03.
Malicious software includes 564 trojan(s), 4 scripting exploit(s).

Malicious software is hosted on 2 domain(s), including putouq.wikaba.com/, xrglwsh.wikaba.com/.

This site was hosted on 1 network(s) including AS4618 (INET).

Has this site acted as an intermediary resulting in further distribution of malware?
Over the past 90 days, green.in.th appeared to function as an intermediary for the infection of 11 site(s) including bit.ly/, t.co/, wisethailand.org/.

Has this site hosted malware?
Yes, this site has hosted malicious software over the past 90 days. It infected 11 domain(s), including bit.ly/, t.co/, wisethailand.org/.

How did this happen?
In some cases, third parties can add malicious code to legitimate sites, which would cause us to show the warning message.

[วานร]

ผมก็โดนครับ เข้าสู่ระบบแล้ว ดูข้อมูลที่ profile แจ้งว่า offline และไม่สามารถเข้าไปดูที่ "แสดงกระทู้ของท่าน" มันแจ้งมาตามนี้ครับ
SQL ERROR [ mysql4 ]

Duplicate entry '36e3cc9e43c3d57e5d332621264001df' for key 'PRIMARY' [1062]

SQL

INSERT INTO phpbb_search_results (search_key, search_time, search_keywords, search_authors) VALUES ('36e3cc9e43c3d57e5d332621264001df', 1362645101, '', ' 29325 ')

BACKTRACE

FILE: includes/db/mysql.php
LINE: 175
CALL: dbal->sql_error()

FILE: includes/search/search.php
LINE: 194
CALL: dbal_mysql->sql_query()

FILE: includes/search/fulltext_native.php
LINE: 1025
CALL: search_backend->save_ids()

FILE: search.php
LINE: 501
CALL: fulltext_native->author_search()
ถ้าใช้ Chrome จะใช้ไม่ได้ แต่ถ้า IE ดูได้ทุกอย่างครับ

[nbt]

ผมก็โดนครับ เข้าสู่ระบบแล้ว ดูข้อมูลที่ profile แจ้งว่า offline และไม่สามารถเข้าไปดูที่ "แสดงกระทู้ของท่าน" มันแจ้งมาตามนี้ครับ
SQL ERROR [ mysql4 ]

Duplicate entry '36e3cc9e43c3d57e5d332621264001df' for key 'PRIMARY' [1062]

SQL

INSERT INTO phpbb_search_results (search_key, search_time, search_keywords, search_authors) VALUES ('36e3cc9e43c3d57e5d332621264001df', 1362645101, '', ' 29325 ')

BACKTRACE

FILE: includes/db/mysql.php
LINE: 175
CALL: dbal->sql_error()

FILE: includes/search/search.php
LINE: 194
CALL: dbal_mysql->sql_query()

FILE: includes/search/fulltext_native.php
LINE: 1025
CALL: search_backend->save_ids()

FILE: search.php
LINE: 501
CALL: fulltext_native->author_search()
ถ้าใช้ Chrome จะใช้ไม่ได้ แต่ถ้า IE ดูได้ทุกอย่างครับ

ข้อความนี้ไม่ใช่ malware ครับ แต่เป็นข้อความค้างเวลาที่บางครั้งติดต่อ server แล้วค้าง
วิธีแก้คือการ clear data cache ลองทำตามนี้ดูครับ

วิธีการ_Clear_Cache_ของเว็บบราวเซอร์

หรือ

[วานร]

ขอบคุณครับ ป๋าโน