เอาล่ะคราวนี้ชักมันส์ใหญ่แล้ว มันมาได้อย่างไรหว่า... แล้วเจ้าของเว็บเขาจะรู้ไหมเนี่ยมาเซอร์ฟเวอร์โดยแฮกซะแล้ว... สังเกตจาก status bar ทำไมยูอาร์แอลมันเยอะจัง แสดงว่ามันต้องรีไปรีมาแน่ๆเลย

จากยูอาร์แอลแรก พอเข้าไปดูหน้าเว็บ ดันเป็นเว็บของการศึกษาซะนี่มาจาก นอร์ทคาโรไลน่า มันมาไกลนะเนี่ย แต่มัน Permission Denied ซะนี่ เออแปลกเหมือนกัน หรือว่า นอร์ทคาโรไลน่า มันก็แฮกไปซะแล้ว เซอร์ฟเวอร์เขาเลยจำกัดไม่ให้คนนอกเข้าเรียกเว็บเพจ ส่วนยูอาร์แอลภาพล่างนั้นไม่ได้เข้า แบบว่าขี้เกียจตาม เดี๋ยวมันจะยาวไปมากกว่านี้เอาเป็นว่าเช็คแค่เว็บจังหวัดพอดีกว่า

อย่างแรกเลยก็ ping ดูก่อนดีกว่าว่ามันเป็นยังงัย เพราะว่าเว็บส่วนของสายด่วนผู้ว่าฯ ยังเข้าได้อยู่เลย สงสัยจะไม่มีปัญหาอะไรคงจะมีปัญหาแค่หน้าแรกเท่านั้นล่ะ พอ ping ดูก็อย่างที่คิดไว้จริงๆ เป็นแค่เฉพาะหน้าแรกเท่านั้น ดูจากการ ping ได้เลยอ่ะ

ping แล้วเครื่องยังอยู่เหมือนเดิม งั้นก็สบายใจได้ว่า แฮกเกอร์มันคงจะไม่ทำอะไร เพียงแค่ว่าสงสัยมันจะลอบวางมัลแวร์ไว้อีก แต่ก็อย่าไปสนใจอะไรมันเลย ปล่อยให้เป็นหน้าที่ของเจ้าหน้าที่ ที่คอยดูแลเครื่องของจังหวัดเขาแล้วกัน เราก็แค่คนดูเว็บเฉยๆ เอาเป็นว่า เรามาหาดูรายละเอียดของเจ้าตัวไว้รัสนี้ดีกว่าว่ามันเป็นอย่างไรกันบ้าง

ไปตามทางหาเจ้าไฟล์ phetchabun.go[1].htm เข้าไป เอ... มันไปอยู่ไหนหว่า หาเท่าไรก็หาไม่เจอ เอางัยดีน๊า... เลยตัดสินใจกลับมาเช็คกับตัวสแกนไวรัสอีกทีนึงว่ามันอยู่ไหน มันก็ได้ผลตามภาพข้างล่าง

โอโฮ... อะไรกันเนี่ย แค่ 1 หน้าเว็บเพจ มันเรียกเพจกันตั้ง 8 เพจกันเลยเหรอเนี่ย มันจะอะไรกันนักกันหน้าล่ะเนี่ย 7 ไฟล์เป็น HTML/Crypted.Gen และอีก 1 เป็น JS/Dldr.12579 (ไฟล์ phetchabun.go[1].htm ) ลองเลื่อนไปดูที่อยู่ของไฟล์ทั้ง 8 ก็ได้ดังภาพข้างล่างนี้

มันเจ๋งจริงๆ ไล่ชื่อไฟล์ตั้งแต่ n1404-1[1].htm ไปจนถึง n1404-7[1].htm เลย และปิดท้ายด้วย phetchabun.go[1].htm แต่ก็เอาเหอะ ไปหาดูข้อมูลไวรัสดีกว่า ว่ามันเป็นมาอย่างไร ลองค้นดู อ้าว.... ตายห่าละวะ ไม่มีข้อมูล

แล้วอย่างนี้เครื่องคอมมันจะลงไปแล้วไหมเนี่ย ถ้าลงล่ะก็เศร้าใจเลยเรา... ข้อมูลในเครื่องเพียบเลยอ่ะ แต่ก็ยังทำใจดีสู้เสือ คิดว่ามันคงจะไม่ลงล่ะ เพราะมันสแกนเจอคงไม่มีปัญหา ถ้าลงล่ะก็ซวยไป T_T ตัดสินใจกลับมายังตัวสแกนไวรัสอีกครั้ง มาเปิด log file ของตัวสแกนดู ด็ได้ถึงรู้ว่ามันมี hostit.liveadult[1].htm มาอีก 1 ตัว สรุปแล้วไปๆมาๆ เริ่มชักงง ว่ามันมีอะไรมากันบ้าง

นั่งตั้งสติอยู่พักนึง ว่าจะเอาอย่างไรต่อดี เอาเป็นว่า เริ่มใหม่ไม่สนใจอะไรทั้งสิ้น มุ่งตรงไปที่ จะหาไฟล์ใน Temp ของอินเตอร์เน็ตให้เจอแล้วเปิดดูว่ามันเป็นอย่างไรกันแน่ เริ่มตั้งหน้าตั้งตาหาจาก log file ของโปรแกรมสแกนไวรัส จนมาเจอ phetchabun.go[1].htm เข้าจนได้ ไอ้เราไม่รอช้าเปิดด้วยโปรแกรม EditPlus ทั้นที

แต่ยิ้มได้ไม่นานนักก็ต้องเศร้าอีกครั้งเพราะว่าเปิดไม่ได้ มันอาจจะเป็นเพราะโดน Quarantine จากตัวโปรแกรมสแกนไว้รัสหรือเปล่านะ เลยลองเปิดดูไฟล์อื่นๆ ที่อยู่ในโฟลเดอร์เดียวกัน และโฟลเดอร์อื่นๆใน Temp ของอินเตอร์เน็ต ก็ไม่ได้ความมีไฟล์ Js คำสั่งเขียนแปลก แต่ก็ไม่แน่ใจว่า Js นี้ถูกเรียกจากไฟล์ไหน ถ้าเปิดไฟล์ phetchabun.go[1].htm ได้คงจะรู้ต่อไปอีกล่ะว่ามันจะไปทางไหนต่อ นี่พอเปิดไม่ได้ก็จบกันเลยอ่ะคราวนี้

แต่ไม่เป็นไร ลองหาดูข้อมูลของไวรัสดีกว่า ก็เลยเช็คเว็บของโปรแกรมสแกนไวรัส ก็ได้ดังภาพข้างล่างนี้

พระเจ้าช่วย! รอดตายหวุดหวิด ตัวสแกนไวรัสเพิ่งอัพเดตไวรัสตัวนี้ เมื่อวันที่ 21 ส.ค. ที่ผ่านมานี้เอง เดือนกว่าๆ ผ่านมาได้แล้ว นี่ถ้าไม่อัพเดตตัวสแกนไวรัสสงสัยจะโดนเหมือนกัน ครึ่งชั่วโมงผ่านไป ยังงมอยู่กับไวรัสตัวนี้ แต่ก็ได้ข้อมูลเพิ่มเติมของเว็บเพจอีก 7 หน้า ดังภาพข้างล่าง

เป็นแค่ โทรจัน ตัวนึงเท่านั้น ความน่ากลัวอยู่ที่ Low แต่โลมันโลสำหรับตัวมันเอง ก็ไม่รู้ว่ามันเปิดประตูหลังบ้านอะไรไว้ให้คนอื่นๆเข้ามามั่ง ให้ แฮกเกอร์คนที่ไฮๆเข้ามาถล่มหรือเปล่าก็ไม่รู้เหมือนกัน

นั่งมาชั่วโมงกว่า นี่ก็ 5 ทุ่มแล้ว กะว่าพอแค่นี้ดีกว่า ไว้พรุ่งนี้คอยดูว่าเว็บจะอัพขึ้นมาได้ไหม ข้อมูลจะยังอยู่ไหม กะลังจะว่ามือ พับกลับมายังหน้าจอ ไปเห็นไอคอน เจ้าจิ้งจอกไฟ เครื่องเรามีจิ้งจอกไฟนี่หว่า ลองเปิดเว็บจังหวัดดูมั่งดีกว่าว่าจะเป็นอย่างไร ไม่รอช้าเปิดจิ้งจอกไฟขึ้นมาทันที ปรากฎว่าเป็นเหมือนกัน ตัวสแกนไวรัสเด้งขึ้นมาทันทีเลย พอมันหยุดเด้งแล้วเลยเช็ค Page Info ดูว่ามันมีอะไรบ้าง ก็ได้ดังภาพข้างล่าง

โอว... พระเจ้าช่วยกล้วยทอด มันยอดมาก ทำไมเว็บเพจลิงค์มันเยอะอย่างนี้ ... T_T สรุปแล้ว งงไปหมดกับแฮกที่เข้ามาเว็บจังหวัด มันอะไรจะทำให้ได้มั่วขนาดนี้นะเนี่ย เอาเป็นว่า พอแค่นี้ดีกว่า ยิ่งตามไปยิ่งงงไปใหญ่เลย ปวดหัวจี๊ดๆเลยอ่ะ สรุปสุดท้าย เช็คที่ Google อีกดีกว่าว่าเป็นงัย

อ่ะจึ๋ย .... เว็บเพจ 57 เค เห็นขาวๆ โล่งๆ แค่นั้น 57 เคเลยเหรอวะเนี่ย ไอ้เว็บเราหน้าแรกตั้งยาว มันยังประมาณ แค่ 50 เคเอง โอ... ความ งง เริ่ม บรรเจิดอีกแล้ว และอีกอย่าง Google เพิ่งบอกว่า แคชหน้านี้เมื่อ 18 ชั่วโมงที่แล้ว งั้นก็แสดงว่า โดนแฮกมาแล้วไม่ต่ำกว่า 18 ชม. ก็แสดงว่า โดนเวลาประมาณ ตี 4 ของวันที่ 23 ก.ย. 50 สงสัยจะเวลาประมาณนั้น เอาเป็นว่ามันจะยังงัยก็ช่างมันเหอะ เริ่มเหนื่อยแล้ว นั่งทำเว็บเพจนี้ก็ เที่ยงคืนจะครึ่งแล้ว เข้านอนดีกว่า พรุ่งนี้ต้องไปทำงานอีก นั่งตามจนรู้สึกปวดหัวจี๊ดแล้วเนี่ย เดี๋ยวพรุ่งนี้จะรอดูต่อไปดีกว่าว่าจะเป็นยังงัยต่อไป