Làm thế nào để xử lý khi laptop bị nhiễm virus?

Thời đại công nghệ số mang đến cho chúng ta vô vàn những tiện ích, những điều mới lạ, những phần cứng, phần mềm khác nhau mà đôi khi chính những người sử dụng lâu năm hay các chuyên viên công nghệ cũng chưa kịp nắm bắt hết những thay đổi đó.

Chính từ những thay đổi nhanh chóng muốn tạo ra nhiều cái mới lạ hơn nên việc đi kèm với những thiếu sót, tạo nên những lổ hỗng trong các dữ liệu phần mềm là không thể tránh khỏi. Chúng vô tình giúp cho một "lực lượng" phần tử xấu tìm cách xâm nhập trái phép để gây hại cho chúng ta bất cứ lúc nào. Những phần tử này được giới công nghệ gọi với cái tên quen thuộc là "Hacker" (tin tặc), và công cụ để họ thực hiện việc xâm nhập trái phép chính là việc tạo ra các dòng virus khác nhau và ngày một nguy hiểm.

Virus xuất phát từ các phần mềm độc hại, nó là một loại phần mềm hệ thống do các tin tặc hay những người có chút ít kiến thức về lập trình hệ thống thích trêu đùa người khác tạo ra nhằm gây hại cho các máy tính. Tùy theo cách thức, mục đích mà tin tặc sử dụng, các loại virus sẽ có mức độ nguy hiểm khác nhau, từ việc chỉ hiển thị các cửa sổ cảnh báo "giả" y chang như của hệ điều hành mang theo thông điệp hù dọa tới việc tấn công chiếm quyền kiểm soát máy tính và lây lan sang các máy tính khác. Hiện nay có các loại virus bao gồm worm, trojan, spyware, adware, keyloger, backdoor, rootkit…(ở đây tôi không đề cập đến định nghĩa các loại virus).

Đôi khi người dùng có kinh nghiệm thực sự cũng không thể nhận ra một máy tính bị tiêm nhiễm virus thực sự hay không vì chúng có thể ẩn náu trong các file thông thường hoặc như các file chuẩn.
Vì vậy, cách duy nhất để phòng chống để dữ liệu tránh bị các phần mềm độc hại xâm nhập là bạn có thể dựa vào một trong các triệu chứng sau, đồng thời bạn sẽ được hướng dẫn một số bước cơ bản để bạn tạm thời xử lý sự cố khi laptop đã nhiễm virus.

1/ Các triệu chứng thường gặp khi laptop bị nhiễm virus:

a/ Triệu chứng dễ gặp nhất với các bạn khi sử dụng máy tính nói chung và laptop nói riêng là khi laptop bạn đột nhiên không thể kết nối được Internet như bình thường, thậm chí ngay cả khi bạn đã xử lý hết virus trong máy tính nhưng bạn vẫn không thể kết nối lại được. Bạn sẽ làm gì? Format lại ổ cứng và chịu cảnh mất mát đi một số phần mềm mà lâu nay vẫn sử dụng trong khi không tìm ra được nguồn cài đặt lại?

b/ Nếu bạn vẫn kết nối được Internet bình thường, bỗng dưng các pop-up quảng cáo lạ tự động bật lên khi bạn chưa mở trình duyệt hoặc khi bạn muốn vào một trang web quen thuộc thì lại không thể vào được trang web đó mà bị chuyển sang một trang web khác.

c/ Nguy hiểm hơn là xuất hiện luôn một pop-up cảnh báo "Máy tính của bạn đã bị nhiễm virus" hoặc có hàng chục, hàng trăm tab bật lên cùng một lúc gây khó chịu hoặc thậm chí máy tính bạn bị treo ngay tức khắc. Đó chính là lúc máy tính bạn đã bị nhiễm virus.

d/ Một khả năng để các hacker lừa bạn và chiếm quyền điều khiển máy tính của bạn là ngụy trang dưới dạng một "phần mềm bảo mật giả" (phần mềm "Fake" Anti-virus) mà ngay chính bạn cũng chưa hề cài đặt phần mềm đó. Hiện tượng bạn gặp phải chính là một cảnh báo "giả" bật lên thông báo rằng "Máy tính của bạn đang nhiễm virus" và yêu cầu bạn tải bản cập nhật (update) của phần mềm "giả" này về để cài đặt. Thủ phạm sử dụng phương thức tấn công, cài trojan, backdoor để khai thác thông tin người dùng từ việc người dùng tải về phần mềm hoặc lén lút cài đặt "phần mềm chống virus giả mạo" lên trên máy của bạn. Ngoài ra, bạn còn sẽ phải chịu thêm một tổn thất khác khi đăng ký và mất một khoản tiền thanh toán để tải công cụ này về diệt virus cho bạn. Và tất nhiên quá trình quét virus với phần mềm chống virus giả mạo này sẽ diễn ra rất nhanh vì thực sự nó chẳng làm bất cứ điều gì.

Nếu bạn là người không rành rọt về máy tính thì khả năng trên 90% sẽ đồng ý tải về, và lúc này bạn đã trở thành một "miếng mồi ngon" cho những tin tặc lấy được những thông tin cá nhân quan trọng, gây nguy hiểm cho chính bạn và những người thân xung quanh.

Các triệu chứng mất kết nối Internet, Popup quảng cáo và phần mềm diệt virus "giả mạo"

e/ Các trường hợp khác mà các bạn có thể nhận biết bằng mắt "thường":

* Các triệu chứng liên quan đến hệ điều hành:

- Không thể đăng nhập vào hệ điều hành, bạn vừa gõ password Windows xong thì lại bị thoát trở ra màn hình đăng nhập. (login/ logout) hoặc laptop không thể nạp được hệ điều hành khi bạn khởi động.

- Các trang quảng cáo hoặc các ảnh không mong muốn được hiển thị một cách bất ngờ dù bạn không duyệt web. (có khả năng máy tính bạn bị nhiễm Adware).

; 

- Khi vừa đăng nhập vào Windows thì xuất hiện các đoạn nhạc hoặc âm thanh kèm theo những hình ảnh động có đuôi .gif được bật một cách ngẫu nhiên mà bạn không thể tắt được.

- Nếu máy tính bạn có bật tường lửa (Firewall) thì bạn sẽ liên tục nhận được các thông báo cảnh báo rằng có một số tiến trình nào đó đã có gắng thực hiện kết nối Internet đến một địa chỉ server ngoài mạng rất "lạ" mặc dù bạn không biết tiến trình đó là tiến trình gì và bạn cũng không chủ động khởi chạy nó.

- Các thư mục (folder) trong các ổ đĩa cứng tự động thay đổi biểu tượng (icon) khác thường. Ổ cứng gắn ngoài hoặc thanh nhớ USB gắn ngoài cũng bị thay đổi biểu tượng. Các file lạ tự động sinh ra khi bạn mở ổ đĩa USB.

- Hàng loạt các tập tin (file) xuất hiện với các tên tập tin rất "kỳ quái" giống như một chuỗi các ký tự chữ hoa, chữ thường và số xen lẫn nhau không thứ tự và khi chúng ta đọc lên cũng không có nghĩa. Dung lượng (size) của chúng cũng đồng nhất với nhau từ 1KB đến một vài KB.

- Xuất hiện các file có phần mở rộng .exe có tên trùng với tên các thư mục.

- Windows liên tục cảnh báo lỗi thiếu file hoặc không tìm thấy file khi khởi chạy các ứng dụng.

- Truy xuất tập tin, mở các chương trình ứng dụng chậm. Duyệt web chậm, nội dung các trang web hiển thị trên trình duyệt chậm.

- Các file và thư mục bị xóa hoặc bị thay đổi nội dung.

- Các thư mục và tập tin trong ổ đĩa của bạn bị "biến mất" một cách bất thường mà bạn không còn thấy được. Điều này là do một số loại virus làm ẩn đi tất cả các thư mục, tập tin gốc của Windows, sau đó thay thế bằng các thư mục, tập tin do chính nó tạo ra, khi người dùng click vào các thư mục, tập tin này thì vô tình kích hoạt virus "chạy" và phát tán sự lây nhiễm sang các ổ đĩa khác trong hệ thống.

- Không thể truy cập ổ đĩa cứng như thường lệ.

* Một số triệu chứng liên quan thông tin cá nhân:

- Người thân của bạn liên tục nhận được email từ hộp mail của bạn mà chính bạn không hề gửi các email đó.

- Liên tục mở hàng chục cửa sổ chat khi chạy ứng dụng Yahoo! Messenger.

- Kiểm tra hộp thư InBox, bạn thấy có rất nhiều các thông báo email gửi đến nhưng không có địa chỉ (address) hoặc tiêu đề (title) của người gửi, trong đó nội dung của mail có chứa các ký tự và link lạ và hướng dẫn bạn bấm vào để truy cập. (Tuy vậy, bạn cũng nên xác nhận lại vì có một số trường hợp không phải bị gây ra bởi virus. Cho ví dụ, các thông báo bị tiêm nhiễm giả sử đến từ địa chỉ của bạn có thể lại được gửi từ một máy tính khác).

2/ Các phương pháp xử lý virus cơ bản khi bị nhiễm virus:

a/ Xử lý virus khi bị mất kết nối Internet:

Cách 1: Bỏ dấu kiểm tại mục proxy trong Internet Explorer. Một số loại virus sẽ trỏ các kết nối từ máy tính trực tiếp đến server của chúng, và bạn nên thực hiện bước này trước khi quét mã độc trên toàn bộ máy tính. Mở Internet Explorer và chọnTools -> Internet Options -> Connection Settings -> LAN Settings -> Bỏ dấu kiểm tại lựa chọn Proxy server -> OK.

Cách 2: Reset lại toàn bộ các thiết lập của trình duyệt, ở đây là Internet Explorer. Bạn làm theo các bước sau:

- Tắt tất cả các chương trình, ngoại trừ Internet Explorer.

- Nhấn tổ hợp phím WinKey + R, và gõ inetcpl.cpl.

- Tại thẻ Advanced Tab, ở phía dưới là lựa chọn Reset Internet Explorer Settings, nhấnReset -> OK, sau đó khởi động lại Internet Explorer.

Cách 3: Chỉnh lại file hosts như ban đầu. Thực chất, file này chứa tất cả các mapping – gọi đơn giản là "bản đồ" - của các website cho tới địa chỉ IP trên Internet, và Windows sử dụng file này để trỏ trình duyệt tới đúng địa chỉ website đó trên Internet. Cũng theo cách thức như vậy, virus đã len lỏi và thay đổi nội dung của file này, qua đó người sử dụng sẽ kết nối thẳng đến những địa chỉ độc hại đã được chuẩn bị sẵn. Các bạn hãy chỉnh sửa lại file hosts theo cách sau:

- Nhấn Windows + R và gõ%systemroot%\System32\drivers\etc vào ô Run.

- Đổi tên file hosts thành hosts.bak.

- Tạo mới một file text bằng Notepad với nội dung như sau:

# Copyright (c) 1993-2009 Microsoft Corp.

#

# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.

#

# This file contains the mappings of IP addresses to host names. Each

# entry should be kept on an individual line. The IP address should

# be placed in the first column followed by the corresponding host name.

# The IP address and the host name should be separated by at least one

# space.

#

# Additionally, comments (such as these) may be inserted on individual

# lines or following the machine name denoted by a '#' symbol.

#

# For example:

#

#      102.54.94.97     rhino.acme.com          # source server

#       38.25.63.10     x.acme.com              # x client host

# localhost name resolution is handled within DNS itself.

#          127.0.0.1       localhost

- Sau đó lưu lại đè lên file "hosts" cũ của Windows.

Cách 4: Bạn có thể sử dụng Winsock để "reset" toàn bộ các thiết lập kết nối Internet. Chương trình hoàn toàn miễn phí, dễ sử dụng và hiệu quả rất cao.

Phiên bản Winsock dành cho Windows XP bạn có thể tìm kiếm trên các diễn đàn tin học hoặc google để tải về sử dụng, còn với Windows Vista hoặc Windows 7 trở về sau thì bạn áp dụng cách thủ công sau đây:

- Mở Command Prompt (nhấn Windows + R và gõ cmd), gõ lệnh sau:

netsh winsock reset catalog -> Enter

netsh int ip reset reset.log hit -> Enter

- Sau đó khởi động lại máy tính.

b/ Xử lý virus ngay khi bị nhiễm virus:

B1. Thực hiện trên Windows 8: Mở trình duyệt Internet Explorer (phiên bản mới). Click vào tab "Tools" trên thanh Toolbar, sau đó click chọn "Internet Options". Bạn vào tab "General" và click chọn vào "Delete" -> bảng thông báo "Delete Browsing History" hiện ra -> bạn chọn các mục "Preserve Favourites website data"; "Temporary Internet files and website files"; "Cookies and website data" và "History" -> chọn Delete để hệ thống tự động xóa hết các ứng dụng tạm khi bạn duyệt web – nơi mà virus có thể len lỏi vào và nằm chờ "cơ hội" để phát tán lúc bạn vô tình chạy các ứng dụng và kích hoạt chúng.

B2. Tắt tính năng System Restore của Windows:

- Trên Windows XP: Bạn click chuột phải vào "My Computer" -> chọn "Properties" -> chọn tab "System Restore" sau đó tick chọn vào mục "Turn off System Restore" -> Click "Apply" -> "OK". Chúng ta phải tắt tính năng này bởi vì rất nhiều dòng virus sẽ tự sao chép chúng vào thư mục System Restore, khi chúng ta tắt tính năng này thì virus cũng không thể nào cài đặt lại mỗi khi chúng ta khởi động lại máy tính.

- Trên Windows 7 trở lên: Bạn click chuột phải vào "My Computer" -> chọn "Properties" -> bạn nhìn sang cột bên trái, chọn "System Protection" -> bảng "System Properties" hiện ra, bạn chọn lần lượt từng ổ đĩa (C, D, E,…) rồi chọn tab "System Protection" -> chọn "Configure" -> "Disable System Protection".

B3. Kiểm tra các phần mềm đã được cài đặt và khởi động chạy cùng Windows, tìm ra các phần mềm "lạ" do virus cài đặt vào máy tính, bạn làm như sau:

- Trên Windows XP: Click chọn "Start" -> "Run",  gõ "winmsd" (bỏ dấu ngoặc kép) -> "OK". Bạn mở dấu cộng (+) trong mục "Software Environment" -> Click chọn "Startup Programs" -> nhìn sang cột bên phải và kiểm tra xem có phần mềm "lạ" nào không? Nếu bạn nghi ngờ phần mềm đó là phần mềm độc hại, có thể là virus, bạn có thể tìm nguồn gốc của chúng trên google và trang web của chính công ty phát triển phần mềm đó.

- Trên Windows 7 trở lên: Click chọn "Start" -> "Run",  gõ "msinfo32.exe" (bỏ dấu ngoặc kép) -> "OK". Bạn mở dấu cộng (+) trong mục "Software Environment" -> Click chọn "Startup Programs" -> nhìn sang cột bên phải và kiểm tra xem có phần mềm "lạ" nào không? Nếu bạn nghi ngờ phần mềm đó là phần mềm độc hại, có thể là virus, bạn có thể tìm nguồn gốc của chúng trên google và trang web của chính công ty phát triển phần mềm đó.

Khi bạn phát hiện ra trên máy tính đã bị nhiễm phần mềm của virus đang chạy cùng Windows trong mục Startup Programs thì bạn có thể dùng một phần mềm diệt virus (tốt nhất là phần mềm có bản quyền, Ví dụ: Bkav Professional, Kaspersky, Symantec, Avira AV, AVG Antivirus,…) được update bản mới nhất để quét và diệt virus triệt để.

B4. Nếu phần mềm diệt virus không hoạt động (có thể do virus đã chèn mã độc chặn tiến trình của phần mềm Antivirus) hoặc phần mềm diệt virus của bạn đã hết hạn sử dụng bản quyền từ lâu và không được update bản mới nhất thì vẫn còn một cách xử lý đó là bạn sẽ xử lý thủ công. Việc xử lý thủ công có ảnh hưởng đến hệ thống nên bạn nên nhớ phải có kiến thức kha khá am hiểu về Registry để có thể tìm và xóa sổ chúng.

Để làm điều này bạn click nút "Start" -> "Run" -> gõ "regedit" (bỏ dấu ngoặc kép). Bảng Registry Editor xuất hiện, cột bên trái bạn chọn "My Computer" -> trên thanh taskbar của cửa sổ chọn tab "Edit" -> chọn "Find" (Ctrl + F) -> hộp thoại Find hiện ra, trong ô trống "Find what", bạn dán (paste) đường dẫn của tiến trình virus đã copy từ trước vào đây. Sau đó, nhấn Find Next. Windows sẽ tự động tìm tiến trình virus trong Windows Registry, bạn chọn và xóa tất cả các Key liên quan đến tiến trình đó. (Muốn tìm tiếp xem virus còn chèn Key nào nữa vào hệ thống hay không, bạn nhấn tiếp F3 và lần lượt xóa chúng.)

3/ Một số lưu ý khác khi xử lý virus:

Khi thấy laptop mình chạy một cách bất thường và có dấu hiệu nghi ngờ nhiễm virus, bạn nên thực hiện thêm một số cách sau:

- Điều ưu tiên nhất trước khi thực hiện bất cứ hành động nào, hãy backup toàn bộ dữ liệu quan trọng của bạn vào một ổ cứng ngoài (đĩa CD hoặc ổ USB,…).

- Tạm thời hủy kết nối máy tính tới Internet và trong mạng LAN để tránh bị tấn công và lây nhiễm sang máy khác.

- Nếu máy tính không thể khởi động vào Windows một cách thông thường, bạn hạy thử khởi động hệ thống trong chế độ Safe Mode hoặc từ đĩa khởi động của Windows.

- Cài đặt phần mềm diệt virus trong trường hợp bạn chưa cài đặt trước đó và các bản cập nhật (update) mới nhất của phần mềm từ một nguồn an toàn như từ đĩa CD-ROM của các hãng sản xuất phần mềm hoặc nguồn cài đặt từ những máy tính không bị nhiễm khác. Lúc này bạn không nên kết nối lại mạng Internet để download hoặc mạng LAN để chia sẻ file vì có thể máy tính của bạn hoặc của người khác trong mạng bị tiêm nhiễm virus. Cài đặt xong, bạn thực hiện quét toàn bộ hệ thống.

- Trong đại đa số các trường hợp, các máy tính cá nhân thường bị tiêm nhiễm bởi worm, các chương trình Trojan hoặc virus. Trong hầu hết các trường hợp như vậy, dữ liệu bị mất có thể đều được khôi phục thành công. Trong một số trường hợp, bạn có thể cần đến một tiện ích đặc biệt để khôi phục dữ liệu đã bị lỗi. Để khắc phục điều này, bạn có thể truy cập vào các website của các hãng phần mềm chống virus, tìm kiếm thêm các thông tin về virus, Trojan hoặc worm và download bất cứ tiện ích xử lý virus nào mà hãng cung cấp.

- Tuy nhiên một số virus không thể gỡ bỏ (remove) khỏi các đối tượng (file hoặc tiến trình) bị nhiễm. Số virus này có thể làm hư hại đến các thông tin trên máy tính và không thể khôi phục các thông tin này. Nếu một virus không thể remove khỏi một file nào đó, cách tốt nhất lúc này là bạn hãy xóa file đó đi.

- Nếu bạn không thể khởi động máy tính từ ổ đĩa cứng của mình (lỗi khởi động), khi đó hãy thử khởi động từ đĩa khôi phục của Windows. Nếu hệ thống không thể nhận ra đĩa cứng của bạn thì virus có thể đã làm hư hại đến bảng partition của đĩa. Trong trường hợp này, hãy khôi phục lại bảng partition bằng tiện ích candisk, đây là một chương trình Windows chuẩn.

- Nếu đã thực hiện các cách trên mà không giải quyết được vấn đề hết virus thì bạn có thể nhờ đến sự trợ giúp của người thân có am hiểu về máy tính để xử lý giúp bạn hoặc đến công ty máy tính uy tín để nhờ hỗ trợ kịp thời, tránh mất mát dữ liệu cá nhân quan trọng.

Minh Triết