วันนี้มีเพื่อนร่วมงานยกโน้ตบุคมาให้ช่วยดูถึงที่พัก เมื่ออยู่ดี ๆ เครื่องก็ปรากฏหน้าโปรแกรม ที่คล้าย ๆ ตัวสแกนมัลแวร์ ตามภาพบน สาเหตุคาดว่าจะมาจากการดาวน์โหลดโปรแกรมบางอย่างมาติดตั้ง (เลยได้ของแถมติดมา) หลังจากมัลแวร์ตัวนี้ทำงาน มันจะปิดส่วนการเข้าถึงคำสั่งสำคัญ ๆ ของเครื่อง อย่างเช่น taskmanager , msconfig , regedit , cmd พยายามขัดขวางการเข้าถึงอินเตอร์เนต และที่สำคัญคือมันจะหยุดการทำงานของโปรแกรมสแกนไวรัส หรือโปรแกรมสแกนหามัลแวร์ อีกด้วย
ผมก็เพิ่งเคยเจอกรณีนี้ เลยลองหาวิธีจากใน google ซึ่ง top link ส่วนมากจะเป็นการแนะนำให้ดาวน์โหลดโปรแกรมสแกนมัลแวร์มาติดตั้ง แต่ที่น่าสงสัยคือบางหน้าก็อธิบายเป็นภาษาไทย แต่เป็นข้อความที่ไม่เป็นประโยค เหมือนใช้ google translate (ทั้งที่ไม่ได้เลือกแปล) กลายเป็นเกิดความสงสัยว่าหน้าเพจเหล่านี้จะเป็นหนึ่งในกระบวนการของเจ้ามัลแวร์ตัวนี้เสียด้วยซ้ำ เลยลองแก้ไขเองดังนี้
1. รีสตาร์ทเครื่อง แล้วกดปุ่ม F8 รัว ๆ เพื่อเข้าสู่ตัวเลือกแบบ Safe mode
2. เลือกเข้าสู่ระบบปฏิบัติการด้วย Safe Mode with Networking
3. เมื่อโหลดระบบสมบูรณ์ จะสามารถใช้งานคำสั่ง ที่เคยถูกบล๊อคไว้ได้
C:\Documents and Settings\All Users\Application Data\xxxx
ซึ่งแต่ละเครื่องที่ติด อาจมีตำแหน่งของไฟล์แตกต่างกัน สามารถดูได้จาก properties ของ shortcut มัลแวร์ที่ปรากฏบนเดสก์ทอป
5. start > run > พิมพ์ msconfig แทป Startup ให้เลือกแค่ 2 ตัวเลือกตามภาพ
* avp เป็นของ antivirus
* ctfmon เป็นไดรเวอร์เสียง
6. หลังจากนั้นรีสตาร์ท และใช้งานได้ตามปกติ
7. หากยังสงสัย หรือกังวลว่าจะมีอะไรตกค้าง ให้ใช้ antivirus หรือโปรแกรมสแกน ที่เราไว้วางใจ
ทำ quick scan หรือ full scan อีกรอบก็ได้ครับ
