Advanced User

การรับมือVirus และผู้ไม่ประสงค์ดี Step-2

 จากstepแรก ก็ทำให้เราสามารถมองเห็นของต่างๆที่อยู่ในเครื่อง แต่ก็จะมีปัญหาตามมาว่า แล้วจะรู้ได้อย่างไรว่าอันไหนดี-ไม่ดี หน้าตาก็คล้ายๆกัน หลายๆอันก็ไม่เคยเห็น อันนี้ก็ต้องใช้senseกันพอสมควร และอย่างแรกที่ควรจะรู้ก็คือแล้วปกติเครื่องเราเป็นยังไงมั่ง เพื่อการเอาตัวรอด

1. ดูจากรูปร่างหน้าตาสภาพทั่วไปว่ามันเพี้ยนไปรึเปล่า

2. ดูจากการทำงานมาไม่เหมือนเดิมยังไง

 โดยที่สำคัญที่สุดคือ มันเริ่มเปลี่ยนแปลงตั้งแต่เมื่อไหร่ วันไหน เวลาไหน ถ้าเป็นไปได้ให้จำเป็นชั่วโมงหรือนาทีเลย และเกิดขึ้นหลังจากทำอะไร ข้อมูลพวกนี้จะถูกนำไปวิเคราะห์ในขั้นตอนต่อๆไป

 ที่บอกไปรู้สึกว่าอาจจะยากซักหน่อยสำหรับผู้เริ่มต้น แต่ถ้าเป็นเครื่องของตัวเอง ใช้อยู่ประจำน่าจะไม่เกินความสามารถ ค่อยๆทำความคุ้นเคยไป เดี๋ยวก็จะจำได้เอง ไม่ต้องรีบ

 ในส่วนของหน้าตาคงจำไม่ยาก แต่ถ้าเป็นการทำงานล่ะ เราจะรู้ได้อย่างไร อันนี้ก็ต้องอาศัยเครื่องมือช่วย ทั้งที่ติดมากับตัวWindowsและที่จะต้องลงเสริม

 ต่อไปจะพูดทั้งการสังเกตและการจัดการปนๆกันไปเลยนะ เพื่อความคล่องตัว

 เครื่องมือง่ายๆใช้กันบ่อยติดมากับตัวWindowsแต่บางคนไม่ได้สังเกตว่ามันทำอะไรได้บ้าง นั่นก็คือ Task Manager การเรียกใช้งานก็แสนง่าย เพียงกด Ctrl+Alt+Delete (ที่นี้คนที่ยังไม่รู้จักคงอ๋อ ไอ้นั้นเหรอ “ปุ่มอภินิหาร”นี่เอง - -“) อันนี้แหละตัวเก่งเลย เราสามารถสั่งงานมากมายได้จากไอ้ตัวนี้ เมื่อเปิดมาtabแรกจะเป็นการแสดงโปรแกรมที่ใช้งานอยู่ อันนี้หลายๆคนคงคุ้นเคยดี ว่าถ้าโปรแกรมแฮงค์ก็มาปิดในนี้ แต่ผมเชื่อว่า มีหลายๆคนที่ไม่เคยคลิ๊กไปที่tabต่อไปว่ามันคืออะไร ใช้ทำอะไร มันคือtab Processes เป็นหน้าจอที่แสดงผลว่าขณะนั้นมีโปรแกรมอะไรทำงานอยู่บ้างอย่างแท้จริง เพราะมันจะโชว์โปรแกรมทุกอย่าง รู้ได้ไงว่ามันคือโปรแกรม ก็เพราะนามสกุลมันเป็น.exeซึ่งก็คือนามสกุลของApplicationsหรือก็คือโปรแกรมนั่นเอง

 มาถึงตรงนี้ขอขัดจังหวะนิดนึง เพราะอยากให้ทำความเข้าใจที่ถูกต้องเกี่ยวกับ.exeซักนิด เพราะอันนี้ได้พบเห็นมาจากประสบการณ์จริงๆเลย และเห็นมือใหม่หลายๆคนเข้าใจผิดว่า ถ้า.exeมันคือไวรัส พูดกันหนาหู กระจายข่าวกันให้ฮึ่ม มาจากผู้ไม่รู้จริง(แต่จะอวดว่ารู้)บางคนซึ่งพบเห็นได้ทั่วไป ตัวอย่าง เปิดมาเจอตัวinstall(ตัวติดตั้ง กลัวบางท่านไม่รู้) แล้วเครื่องนั้นบังเอิญว่ามีบางคนไปเปิดให้โชว์นามสกุลไว้ (วิธีเปิด อ่านได้ในStep1) พอเห็น.exe เท่านั้นแหละ ก็กลายเป็นว่าหาว่ามันเป็นไวรัส ครั้งแรกผมก็ท้วงอยู่หรอก แต่ไม่ได้การตอบรับที่น่ายินดีนัก พอไปเห็นที่อื่นๆคนอื่นๆนี่ผมปล่อยผ่านเลย ไม่สนมันแล้ว เพราะผมมองว่าถึงไม่ช่วยก็ไม่ได้ทำให้เค้าเสียหายอะไร และอันที่จริงเค้าก็คงตั้งใจดีนะแหละ เพียงแค่เข้าใจมาผิดๆ แต่ถ้าอันไหนเป็นอันตรายจริงๆอันนี้ผมเตือนแน่นอน แต่ถ้ายังรั้น อันนี้ก็ปล่อยผ่านเลยเหมือนกันแล้วแอบไปสะใจ(555 ชั่วจริงๆ) เพราะแท้จริงแล้วมันก็แค่ไฟล์ทั่วๆไป ที่มีการนำไปใช้ในทางที่ผิด แล้วแต่ว่ามันจะมาในรูปไหน ซึ่งตอนนี้กำลังบูมเรื่องautorun กับ vbs ทั้งๆที่มันก็เป็นไฟล์ที่ถูกใช้ในทางที่ผิด autorunนี่แผ่นVCDมีถมถืด

 เอาล่ะกลับเข้าเรื่องหลัก ในtab Processesเราจะเห็นรายชื่อโปรแกรมมากมาย หลายๆอันไม่เคยเห็น บางอันพอเดาได้ เพราะมันคือโปรแกรมหลักแทบทั้งหมดที่ทำงานให้กับเครื่องเราอยู่ในขณะนั้น จะมีเพียงโปรแกรมบางพวกเท่านั้นที่สามารถซ่อนตัวจากจุดนี้ได้ เช่น พวกKey logger พวกสอดแนมทั้งหลาย (อยากรู้ว่าไลท์จากdeath note โดนพวกนี้จะรู้ตัวมั๊ย แต่น่าจะรู้เพราะเก่งถึงขั้นhackได้)

 ขอนอกเรื่องอีกนิด เคยเห็นละครไทยอยู่เรื่องนึง จำไม่ได้เหมือนกันว่าเรื่องไหน ที่มันเรื่องหลักๆคือหารหัสเอาไปเปิดอะไรนี่แหละ คล้ายๆว่าเป็นเรื่องเงินทองมหาศาลบริษัทใหญ่โต ประมาณนี้รึเปล่านะ ดูแล้วอนาจใจ วุ่นวายกันทั้งเรื่องเพื่อหารหัส อันนี้ไม่แปลก ที่สงสัยคือ ไอ้รหัสสำคัญขนาดนั้นมันมีแค่ 4 หลักเอง ซึ่งถ้าจ้างมือดีมาซักคน 1วันไม่น่าเกิน1อาทิตย์ก็น่าจะแกะได้แล้ว เค้าคิดอะไรกันอยู่นะ มองแล้วน่าเศร้าจริงๆ แต่ไม่รู้มันมีเบื้องลึกอะไรอีกรึเปล่านะ เพราะแค่เห็นผ่านๆ แต่ผมคิดว่าไม่มีแน่นอน เชื่อสิ เพราะมันคือละครไทย

 กลับเรื่องเดิม...การแสดงผลจะบอกทั้งผู้ใช้งานและทรัพยากรที่ใช้ ตรงSystem Idle Process คือส่วนที่ยังเหลือว่างอยู่ จากตรงนี้มันคือบ่งบอกการทำงานคร่าวๆของเครื่องเราขณะนั้น ที่นี้เราก็จำเลยว่าปกติเครื่องเรามีอะไรบ้าง ใช้โปรแกรมอะไรบ้าง อันนี้เหมือนยากแต่ไม่ยาก ลองดู เพราะอย่างที่บอกว่าเดี๋ยวจะคุ้นไปเอง จะเซฟเป็นรูปเก็บไว้ก็ได้ แต่แนะนำว่าบางครั้งเราอาจอยู่ในสถานการณ์ที่เรียกใช้รูปนั้นไม่ได้ เอาล่ะทีนี้แหละ ถ้ามีการรันโปรแกรมอะไรผิดปกติขึ้นมาก็ให้สงสัยและเฝ้าระวัง จำชื่อและรายละเอียด ดูสภาพเครื่องโดยรวมจากtab Performanceว่าCPU,RAMใช้ไปเท่าไหร่ จดมันไว้ในกระดาษหรืออะไรก็ตามให้ดี ถ้าแน่ใจว่าเมื่อก่อนมันไม่เคยมีไอ้ตัวนี้นะ ก็คือถึงไม่มีมันก็ยังใช้เครื่องได้ ก็ให้ทำการทดลองหยุดการทำงานของมันดู โดยกดEnd Process (คลิ๊กขวาเอาก็ได้) แล้วกลับไปย้อนเช็คดูค่าต่างๆว่าเปลี่ยนแปลงยังไง เครื่องยังทำงานได้ดีอยู่มั๊ย

 แต่บางทีมันอาจเป็นแค่โปรแกรมที่เราเปิดใช้อยู่ก็ได้ ถ้าโปรแกรมธรรมดาอันไหนจู่ๆดับไป ก็แสดงว่าปิดผิดอันแล้ว เพราะบางครั้งเราอาจมีการติดตั้งโปรแกรมตัวใหม่ลงเครื่องแล้วดันจำไม่ได้เอง แต่ก็เหมือนกัน ถ้าเป็นพวกไวรัสแล้ว มันก็จะเข้ามาแฝงตัวทำงานเหมือนกัน ซึ่งจากStep1 บางครั้งเราเห็นว่าไอ้นี่ไวรัสแน่ๆแต่ว่าลบมันไม่ได้ ก็ให้ทำแบบนี้ เข้ามาหาชื่อมันแล้วEnd processมันไปซะ ทีนี้เราก็จะลบมันได้แล้ว

 แต่เดี๋ยว ก่อนลบขอให้จดอย่างน้อยชื่อและนามสกุลของมันไว้ก่อน เพื่อกันความผิดพลาด คือ ไวรัสส่วนใหญ่จะไม่อยู่ ณ ที่ใดที่หนึ่ง แต่จะกระจายอยู่หลายที่ เราก็จะสามารถนำมันไปSearchหาตัวอื่นๆที่ยังแฝงอยู่และตามลบมันให้หมดได้ และอีกกรณีหนึ่ง อันนี้สำคัญก็คือ เผื่อเราเข้าใจผิดดันไปลบไฟล์สำคัญๆเข้า ทีนี้จะเอามันคืนมายังไงล่ะ ไม่ยาก ก็เพียงแค่เราเอาชื่อ-นามสกุลของไฟล์นั้นไปตามหาในเนต หรือไปหาcopyเอาจากเครื่องอื่น กลับมาใส่ที่เดิมก็ได้แล้ว เช่นเดียวกัน หากเราสงสัย ให้ลองเอาสิ่งที่สงสัยไปsearchหาในเนตดูก่อน ว่าจริงๆแล้วมันคืออะไร ค่อยกลับมาลบ แต่ปิดการทำงานของมันไว้ก่อนก็เป็นการดี

 อ่ะๆ ยังจำได้มั๊ยว่าเคยบอกว่าTuneUp Utility มันช่วยได้ ตรงไหนล่ะ มาดูกัน

 ให้เข้าโปรแกรมย่อยของมันที่ชื่อว่า TuneUp Process Manager ตัวนี้จะทำงานคล้ายTask ManagerของWindows แต่มีความสามารถที่แตกต่างเพิ่มเข้ามา คือ Show details ที่จะบอกหมด เช่น มันอยู่ที่ไหน รันเมื่อไหร่ โดยตัวไหน และอื่นๆอีกมากมาย ไปลองเปิดดูกัน ซึ่งจะสามารถทำให้เราลากมันออกมาเชือดได้ถึงตัวการใหญ่ อีกทั้งยังกดดูPropertiesได้เลยอีกด้วย สะดวกจริงๆ ส่วนคำสั่ง Terminate Process มันก็คือ End Process ใน Task Manager นั่นเอง

 พอถึงตรงนี้บางคนอาจสงสัย แล้วจะดูPropertiesทำไม ไม่เห็นมีอะไรน่าเกี่ยวเลย ยังจำที่ผมบอกข้างบนได้มั้ยครับ ว่าให้จำเวลาที่สังเกตเห็นการเปลี่ยนแปลงให้ละเอียดได้มากๆยิ่งดี เราจะเอามาดูตรงนี้ครับ Createdไฟล์นี้เกิดเมื่อไหร่ Modifiedล่าสุดวันไหน Accessedล่าสุดล่ะ(อันนี้จะเป็นเวลาปัจจุบัน ก็คือเวลาตอนที่เรากดดูpropertiesมันนั่นแหละ) เอาล่ะ มาดูกันเลยทีนี้ ถ้าไฟล์นี้ถูกสร้างขึ้นมาเป็นเวลาเดียวหรือใกล้เคียงกับที่เราสังเกตเห็นความผิดปกติ (จะก่อนหน้านั้นก็ได้ เพราะบางทีเราอาจไม่เอ๊ใจทันที) ก็ให้มันเป็นผู้ต้องหาไว้ก่อนเลย (ข้อหาบุกรุก555) และแหมยิ่งถ้าตั้งสถานะเป็นhiddenนี่ยิ่งน่าสงสัย ซ่อนยังไงก็ไม่รอดหร๊อกตูเห็นนะ555(ใครไม่เห็นโปรดดูstep1) ทีนี้ถ้าเราแน่ใจแล้วก็จัดการมันเลย ลบมันทิ้งซะ ตามหาให้ทั่วเครื่อง กำจัดมันให้หมด แต่ในส่วนการsearchหานี้ต้องมีการตั้งค่าอีกเช่นกัน ถึงแม้เราจะเปิดตาทิพย์แล้ว แต่ถ้าไม่ตั้งจะยังหาไม่เจอเช่นกัน ซึ่งจะกล่าวในstepต่อไป เพราะบทนี้เอาแค่การแยกแยะ

 อ่ะๆ เดี๋ยวๆ ใครคิดว่าการแยกแยะจบแล้ว ยังๆ การจะสั่งลงโทษนั้นต้องมีหลักฐานแน่นหนาพอ และ ส่วนใหญ่การดูแค่processes ที่เห็นตรงหน้าอย่างเดียวไม่อาจตัดสินใจได้ มันจะมีส่วนอื่นอีกที่ไม่ใช่.exe และเป็นเรื่องที่สำคัญมากด้วย เพราะส่วนใหญ่ถึงแม้เราจะลบมันออกไปแล้ว(หรือบางทีลบไม่หมด) แต่เดี๋ยวมันก็กลับมาใหม่ และมันยังเป็นวิธีที่ช่วยให้วิเคราะห์ได้ง่ายและรวดเร็วขึ้น เป็นจุดที่น่าสนใจมาก โปรดติดตาม

 หากตรงไหนตกหล่นบอกด้วย เพราะนึกไปเรื่อยๆ นึกไปพิมพ์ไป ดังเห็นได้จากว่ามันจะมีอะไรนอกเรื่องแทรกมาเป็นระยะๆ