Virus: Win32/Hakaglan.I

How to remove SCVHSOT.exe, New Folder.exe
( Win32/Hagaglan.I : Detect by NOD32 )
SCVHSOT.exe, New Folder.exe
MD5 : 5AD61E0745069F32807C94EA93987636
SHA1 : 3A8CD8AE5C83677ACAD62D1825838D1224F311E4
==================================================
เมื่อ virus ทำงาน ได้ สร้างไฟล์ดังนี้
C:\windows\system32\SCVHSOT.exe
C:\windows\system32\blastblnnn.exe
C:\windows\system32\autorun.ini
C:\windows\Tasks\At1.job
C:\windows\ SCVHSOT.exe
C:\windows\hinhem.scr

สร้างไฟล์ใน USB Drive
SCVHSOT.exe
New Folder.exe
autorun.inf

virus ได้ ซ่อน Folder ใน USB Driveและสร้าง folder ปลอม ที่มีชื่อเหมือน กับ Folder ที่ซ่อนไว้ แต่มีนามกุล .exe
คำสั่งเรียกใช้ Taskmanager, Regedit ไม่สามารถใช้งานได้
Folder Option หายไปจาก เมนู Tool
โปรแกรม Hijack This ใช้งานไม่ได้ โปรแกรมจะถูกปิดลง ภายใน 3 วินาที
ต้องเปลี่ยนชื่อโปรแกรม จึงจะใช้ได้

มีการแก้ไข Registry คือ
HKU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NofolderOptions: 0x00000001HKU\Software\Microsoft\Windows\CurrentVersion\Policies\system\DisableTaskMgr: 0x00000001HKU\\Software\Microsoft\Windows\CurrentVersion\Policies\system\DisableRegistryTools: 0x00000001HKU\Software\Microsoft\Windows\CurrentVersion\Run\Yahoo Messengger: "C:\WINDOWS\system32\SCVHSOT.exe"
-----------------------------------------------------------------------
วิธีกำจัด virus SCVHSOT.exe, New Folder.exe
( Win32/Hagaglan.I : Detect by NOD32 )
-----------------------------------------------------------------------
Download Virus Remove Tool
Kill Process , Hijack This , DKDC_Hash , NOD32 Recovery Tool

ก่อนอื่นให้ตัดการเชื่อมต่อ internet และ ระบบเครือข่ายต่าง ก่อนครับ

1. เปิดโปรแกรม Kill Process แล้ว ปิด Process รูป folder ที่มีนามสกุล .exe ทุกตัว



2. เปิดโปรแกรม ExplorerXP เข้าไปลบไฟล์ใน ตาม folder ต่อไปนี้

C:\windows\system32\ SCVHSOT.exe
C:\windows\system32\blastblnnn.exe
C:\windows\system32\autorun.ini
C:\windows\Tasks\At1.job
C:\windows\ SCVHSOT.exe
X:\autorun.inf

3. ใช้โปรแกรม Hijack This ทำการ Fix checked บรรทัดต่อไปนี้
REG:system.ini: Shell=Explorer.exe SCVHSOT.exe
HKCU\..\Run: [Yahoo Messengger] C:\WINDOWS\system32\SCVHSOT.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1



4.เปิดโปรแกรม DKDC_HASH แล้วเลือกไฟล์ ต้นฉบับ virus Win32 Hagaglan.I ซึ่งมีค่า
MD5: = 5AD61E0745069F32807C94EA93987636
ก็คือไฟล์ SCVHSOT.exe
แล้วเลือก option เพื่อ Scan โดยผมเลือก ระบุ Drive เพื่อจะทำการ Scan USB Drive จากนั้น click ปุ่มค้นหา+ทำลาย โปรแกรมจะทำการค้นและและกำจัด Folder ปลอมออกไปครับ



5. เปิดโปรแกรม NOD32 Recovery Tool ทำการ Fix Now เพื่อคืนค่า Folder Option และ Show hidden file

หรืออีทางเลือกคือ ใช้ NOD32 Hakaglan Fix

จบแล้วครับวิธีแก้ virus SCVHSOT.exe, New Folder.exe ( Win32/Hagaglan.I : Detect by NOD32 )
================ Test by PeeTech ======================
จำนวนครั้งที่ทดสอบ : 2 ครั้ง
ระบบปฏิบัติการที่ใช้ทดสอบ Windows XP SP2