Virus gửi lời thách thức tới các chương trình diệt virus

“Máy tính của bạn đã bị PHÁ HOẠI. Phần mềm diệt virus của bạn đâu rồi khi bạn cần dùng đến nó?….Hãy nhớ, bạn làm gì cũng vô ích thôi”. Đây là “thông điệp” gửi từ một loại virus mới do hệ thống HoneyPot của chúng tôi thu thập được trong thời gian gần đây.

Nội dung “thông điệp” của virus

Một khi hệ thống đã bị nhiễm virus này (Bkav nhận diện với tên W32.DownloadWinsLnr.Trojan), thư mục Windows sẽ bị khóa. Khi đó, người dùng sẽ không thể truy cập vào thư mục Windows, thậm chí các chương trình diệt virus cũng không thể quét và phát hiện virus ẩn náu trong đó khi chạy ở mức User mode.

Thật ra, kỹ thuật mà DownloadWinsLnr sử dụng rất đơn giản. Virus chỉ cần phân quyền cho thư mục Windows, cấm tất cả các quyền truy cập đối với thư mục này. Tất nhiên ổ đĩa hệ thống phải có định dạng NTFS.

Tuy nhiên, điều mà tác giả của virus này đã không lường tới là: Kernel mode không bị chi phối bởi hành động phân quyền này, và hầu hết các chương trình diệt virus đều có module hoạt động ở mức Kernel. Do đó, một khi mẫu virus đã được nhận diện, các phần mềm diệt virus sẽ dễ dàng gỡ bỏ nó ra khỏi hệ thống, mặc dù hậu quả để lại là thư mục Windows vẫn không thể truy cập được theo cách thông thường. Nhưng bạn đừng bận tâm, gặp tình huống này, hãy sử dụng công cụ dưới đây để đưa hệ thống về trạng thái trước khi bị nhiễm DownloadWinsLnr.
Download công cụ

Đỗ Khắc Cành – Bkav R&D

Bkav Blog