เว็บติดไวรัส/โทรจัน จริงหรือไม่ กำลังดำเนินการไล่เช็คดู

[Auto Man]

   จู่ๆ ประมาณวันที่ 20 ธันวาคม 2562 แอดมินเปิดเว็บในตอนเช้ามืดทุกวัน เจอกับหน้าจอ
ประมาณว่า

ตรงนี้มีภาพ! แต่ท่านจะมองไม่เห็น , ท่านต้อง  สมัครสมาชิก หรือ ลงชื่อเข้าระบบ


  เข้าไปเช็คเมล์ผ่านเว็บ ก็เข้าไม่ได้อีก ขึ้นมาแบบนี้ว่า เว็บมีเนื้อหาที่

 "อาจเป็นอันตราย"

   คำว่า "อาจเป็นอันตราย" มันไม่ได้หมายถึงเป็น หรือไม่เป็น
มันเป็นการคาดการณ์เท่านั้น

ตรงนี้มีภาพ! แต่ท่านจะมองไม่เห็น , ท่านต้อง  สมัครสมาชิก หรือ ลงชื่อเข้าระบบ


   ต๊กกะใจหมดเลย แล้วมันติดไวรัสอะไร

   เช็คไปเช็คมาเป็นโทรจันที่ชื่อว่า JS/ScrInject.B โทรจัน
พยายามค้นหาพิษภัยของโทรจันตัวนี้ ค้นยังไงก็ไม่มีคำตอบให้  ซึ่งไวรัสโทรจันพิษภัยของมัน
ประมาณว่า จะคอยดักจับข้อมูลและส่งกลับไปยังเจ้าของของมัน เพื่อที่เอารหัสผ่าน ยูสเซอร์เนม รหัสบัตรต่างๆ
เพื่อนำไปใช้ประโยชน์ว่างั้นเถอะ

    แต่จากลักษณะของเว็บ www.auto-nkp.com ไม่ได้มีการให้ทำธุรกรรมผ่านเว็บ มีเพียงยูสเซอร์เนมและรหัสผ่าน
ของเพื่อนสมาชิกในการล็อกอินเข้าเว็บแค่นั้นเอง

    สาเหตุที่เว็บเราติดแบล็กลิสกต์ของ Nod32 หรือของ Google มาจากที่เว็บเรามีการใช้จาวาสคริปต์ หลายจุดในตัวเว็บ
ทำให้ตัวแอนตี้ไวรัส เข้าใจไปทำนองว่าเป็นการกระทำของไวรัส

    ความจริงไม่ใช่ไวรัส เป็นการใช้สคริปต์เพื่อการแสดงผลในหน้าเว็บแค่นั้นเอง  เพราะแอดมินทดสอบปิดแอนตี้ไวรัสและเข้าเว็บ
ไปสัก 3 หน้า หลังจากนั้นปิดเว็บ
   
   แล้วไปแบคอับแคชไฟล์ของตัวเบราเซอร์ในที่นี้แอดมินใช้ กูเกิ้ลโครม ดังนั้นแคชไฟล์จะอยู่ที่
c:\Document and Settings\Auto Man\Local Settings\Application Data\Google\Chrome\User Data\Default\Cache

   ยาวจังเลย ไฟล์ในโฟลเดอร์แคช บีบไว้ทั้งหมดเลยในนามสกุล zip

   จากนั้นเปิด Nod32 ขึ้นมาทำงาน และสั่งให้สแกนไปที่ไฟล์ในโฟล์เดอร์แคช เราจะพบไฟล์ที่โปรแกรมแจ้งว่าติดไวรัส ตรงนี้จะทำให้เรา
ได้ชื่อไฟล์แคช (เป็นไฟล์การเปิดหน้าเว็บแต่ละหน้า จะได้ไฟล์แคชมาแต่ละไฟล์)

   จากนั้นเราใช้โปรแกรม Text Editor เปิดไฟล์แคชที่แจ้งว่าติดไวรัสขึ้นมา เราจะเห็นซอร์สโค๊ดที่เขียนประกอบด้วยหลายส่วน
ส่วนหนึ่งจะเป็น HTML มีพวกแท็กสคริปต์เป็นช่วงๆ ไป สิ่งที่ต้องตรวจสอบคือ
- สคริปต์เหล่านี้ในส่วนไหนที่เป็นสคริปต์ของโทรจัน ที่ชื่อว่า JS/ScrInject.B

    ในส่วนนี้แอดมินกำลังไล่เช็คสคริปต์แต่ละตัว ว่ามีส่วนสคริปต์ที่เกินมาจากปกติหรือไม่ ซึ่งเป็นเรื่องที่ต้อง
ใช้เวลาและความรู้ในแต่ละสคริปต์ เพราะบางสคริปต์เป็นของบอร์ด SMF บางสคริปต์เป็นมอดที่เว็บติดตั้ง
เพิ่มเติมเข้าไป

    ส่วนสคริปต์ที่เป็นของไวรัส/โทรจันตัวนี้ เท่าที่ค้นหา ไม่มีหน้าตาให้ดู ไม่มีรูปพรรณสันฐาน 5 5 5
แล้วแบบนี้เราจะจับผู้ร้าย เอ๊ยในขณะนี้ถือยังเป็นผู้ต้องหาหรือผู้ถูกกล่าวหาได้ไหมเนี่ย...

    มันบ่แม่น... แบบสมคิดเด้อครับ       

    ตอนนี้แอดมิน จะเปิดหน้าเว็บที่มีข้อมูลน้อยที่สุด เพื่อที่จะจำกัดวงในการตามล่า JS/ScrInject.B
ว่ามีตัวตนอยู่จริงหรือไม่

   โปรดติดตามข่าว...กันต่อไป

[Auto Man]

ตรงนี้มีภาพ! แต่ท่านจะมองไม่เห็น , ท่านต้อง  สมัครสมาชิก หรือ ลงชื่อเข้าระบบ


ตรงนี้มีภาพ! แต่ท่านจะมองไม่เห็น , ท่านต้อง  สมัครสมาชิก หรือ ลงชื่อเข้าระบบ

[Auto Man]

   ประสานไปยังพื้นที่ใกล้เคียง ที่คาดว่าผู้ถูกกล่าวหาหลบซ่อนตัวอยู่

ตรงนี้มีภาพ! แต่ท่านจะมองไม่เห็น , ท่านต้อง  สมัครสมาชิก หรือ ลงชื่อเข้าระบบ


   ประสานงานกันเรื่อยๆ

ตรงนี้มีภาพ! แต่ท่านจะมองไม่เห็น , ท่านต้อง  สมัครสมาชิก หรือ ลงชื่อเข้าระบบ

[Auto Man]

โค๊ด: [Select]

      <script type="text/javascript"><!-- // --><![CDATA[
         var lpLoaded = false,
         inConflict = false;

         function compareJQueryVersion(v1, v2, callback) {
            var v1parts = v1.split();
            var v2parts = v2.split();

            for (var i = 0; i < v1parts.length; ++i) {
               if (v2parts.length == i) {
                  //v1 + " is larger"
                  callback(1);
                  return;
               }

               if (v1parts[i] == v2parts[i]) {
                  continue;
               } else if (v1parts[i] > v2parts[i]) {
                  //v1 + " is larger";
                  callback(1);
                  return;
               } else {
                  //v2 + " is larger";
                  callback(2);
                  return;
               }
            }

            if (v1parts.length != v2parts.length) {
               //v2 + " is larger";
               callback(2);
               return;
            }
            callback(false);
            return;
         }

         function loadJquery(url, callback) {
            var script = document.createElement("script");
            script.type = "text/javascript";
            script.src = url;

            var head = document.getElementsByTagName("head")[0],
               done = false;

            script.onload = script.onreadystatechange = function() {
               if (!done && (!this.readyState || this.readyState == "loaded" || this.readyState == "complete")) {
                  done = true;
                  callback();
                  script.onload = script.onreadystatechange = null;
                  head.removeChild(script);
               };
            };
            head.appendChild(script);
         }

         // Only do anything if jQuery isn"t defined
         if (typeof(jQuery) == "undefined") {
            console.log("jquery not found");
            if (typeof($) == "function") {
               console.log("jquery but in conflict");
               inConflict = true;
            }

            loadJquery("https://ajax.googleapis.com/ajax/libs/jquery/2.0.3/jquery.min.js", function() {
               if (typeof(jQuery) !=="undefined") {
                  console.log("directly loaded with version: " + jQuery.fn.jquery);
                  lp_jquery2_0_3 = jQuery.noConflict(true);
                  loadLPScript();
               }
            });
         } else {
            // jQuery is already loaded
            console.log("jquery is already loaded with version: " + jQuery.fn.jquery);
            compareJQueryVersion(jQuery.fn.jquery, "2.0.3", function(result) {
               console.log("result of version check: " + result)
               switch(result) {
                  case false:
                  case 1:
                     lp_jquery2_0_3 = jQuery;
                     loadLPScript();
                     break;

                  case 2:
                     loadJquery("https://ajax.googleapis.com/ajax/libs/jquery/2.0.3/jquery.min.js", function() {
                        if (typeof(jQuery) !=="undefined") {
                           console.log("after version check loaded with version: " + jQuery.fn.jquery);
                           lp_jquery2_0_3 = jQuery.noConflict(true);
                           loadLPScript();
                        }
                     });
                     break;

                  default:
                     loadJquery("https://ajax.googleapis.com/ajax/libs/jquery/2.0.3/jquery.min.js", function() {
                        if (typeof(jQuery) !=="undefined") {
                           console.log("default version check loaded with version: " + jQuery.fn.jquery);
                           lp_jquery2_0_3 = jQuery.noConflict(true);
                           loadLPScript();
                        }
                     });
                     break;
               }
            })
         };

         function loadLPScript() {
            var js = document.createElement("script");
            js.type = "text/javascript";
            js.src = "http://www.auto-nkp.com/Themes/default/scripts/LikePosts/LikePosts.min.js";
            js.onload = function() {
               lpObj.likePostsNotification.init({
                  txtStrings: {
                     "lpAllNotification": "All Notification",
                     "lpMyPosts": "My Posts",
                     "lpNoNotification": "Nothing to show at the moment"
                  }
               });
            }
            document.body.appendChild(js);
         }
      // ]]></script>

[Auto Man]

โค๊ด: [Select]

            <script type="text/javascript"><!-- // --><![CDATA[
               var oQuickReply = new QuickReply({
                  bDefaultCollapsed: true,
                  iTopicId: 8040,
                  iStart: 0,
                  sScriptUrl: smf_scripturl,
                  sImagesUrl: "http://www.auto-nkp.com/Themes/default/images",
                  sContainerId: "quickReplyOptions",
                  sImageId: "quickReplyExpand",
                  sImageCollapsed: "collapse.gif",
                  sImageExpanded: "expand.gif",
                  sJumpAnchor: "quickreply"
               });
               var oInTopicModeration = new InTopicModeration({
                  sSelf: 'oInTopicModeration',
                  sCheckboxContainerMask: 'in_topic_mod_check_',
                  aMessageIds: ['47473', '47485', '54562', '54586', '54600', '54617', '54628'],
                  sSessionId: '773f814d8c779fd380937e9d70e915a0',
                  sSessionVar: 'bb24537',
                  sButtonStrip: 'moderationbuttons',
                  sButtonStripDisplay: 'moderationbuttons_strip',
                  bUseImageButton: false,
                  bCanRemove: true,
                  sRemoveButtonLabel: 'ลบกระทู้ที่เลือก',
                  sRemoveButtonImage: 'delete_selected.gif',
                  sRemoveButtonConfirm: 'คุณแน่ใจหรือไม่?',
                  bCanRestore: false,
                  sRestoreButtonLabel: 'Restore Selected',
                  sRestoreButtonImage: 'restore_selected.gif',
                  sRestoreButtonConfirm: 'คุณแน่ใจหรือไม่?',
                  sFormId: 'quickModForm'
               });
               if ('XMLHttpRequest' in window)
               {
                  var oQuickModify = new QuickModify({
                     sScriptUrl: smf_scripturl,
                     bShowModify: true,
                     iTopicId: 8040,
                     sTemplateBodyEdit: '\n\t\t\t\t\t\t\t\t<div id="quick_edit_body_container" style="width: 90%">\n\t\t\t\t\t\t\t\t\t<div id="error_box" style="padding: 4px;" class="error"><' + '/div>\n\t\t\t\t\t\t\t\t\t<textarea class="editor" name="message" rows="12" style="width: 100%; margin-bottom: 10px;" tabindex="4">%body%<' + '/textarea>[br /]\n\t\t\t\t\t\t\t\t\t<input type="hidden" name="bb24537" value="773f814d8c779fd380937e9d70e915a0" />\n\t\t\t\t\t\t\t\t\t<input type="hidden" name="topic" value="8040" />\n\t\t\t\t\t\t\t\t\t<input type="hidden" name="msg" value="%msg_id%" />\n\t\t\t\t\t\t\t\t\t<div class="righttext">\n\t\t\t\t\t\t\t\t\t\t<input type="submit" name="post" value="บันทึก" tabindex="5" onclick="return oQuickModify.modifySave(\'773f814d8c779fd380937e9d70e915a0\', \'bb24537\');" accesskey="s" class="button_submit" />&nbsp;&nbsp;<input type="submit" name="cancel" value="ยกเลิก" tabindex="6" onclick="return oQuickModify.modifyCancel();" class="button_submit" />\n\t\t\t\t\t\t\t\t\t<' + '/div>\n\t\t\t\t\t\t\t\t<' + '/div>',
                     sTemplateSubjectEdit: '<input type="text" style="width: 90%;" name="subject" value="%subject%" size="80" maxlength="80" tabindex="7" class="input_text" />',
                     sTemplateBodyNormal: '%body%',
                     sTemplateSubjectNormal: '<a hr'+'ef="http://auto-nkp.com/index.php'+'?topic=8040.msg%msg_id%#msg%msg_id%" rel="nofollow">%subject%<' + '/a>',
                     sTemplateTopSubject: 'หัวข้อ: %subject% &nbsp;(อ่าน 141 ครั้ง)',
                     sErrorBorderStyle: '1px solid red'
                  });

                  aJumpTo[aJumpTo.length] = new JumpTo({
                     sContainerId: "display_jump_to",
                     sJumpToTemplate: "<label class=\"smalltext\" for=\"%select_id%\">กระโดดไป:<" + "/label> %dropdown_list%",
                     iCurBoardId: 271,
                     iCurBoardChildLevel: 2,
                     sCurBoardName: "ระบบสตาร์ท",
                     sBoardChildLevelIndicator: "==",
                     sBoardPrefix: "=> ",
                     sCatSeparator: "-----------------------------",
                     sCatPrefix: "",
                     sGoButtonLabel: "go"
                  });

                  aIconLists[aIconLists.length] = new IconList({
                     sBackReference: "aIconLists[" + aIconLists.length + "]",
                     sIconIdPrefix: "msg_icon_",
                     sScriptUrl: smf_scripturl,
                     bShowModify: true,
                     iBoardId: 271,
                     iTopicId: 8040,
                     sSessionId: "773f814d8c779fd380937e9d70e915a0",
                     sSessionVar: "bb24537",
                     sLabelIconList: "Message Icon",
                     sBoxBackground: "transparent",
                     sBoxBackgroundHover: "#ffffff",
                     iBoxBorderWidthHover: 1,
                     sBoxBorderColorHover: "#adadad" ,
                     sContainerBackground: "#ffffff",
                     sContainerBorder: "1px solid #adadad",
                     sItemBorder: "1px solid #ffffff",
                     sItemBorderHover: "1px dotted gray",
                     sItemBackground: "transparent",
                     sItemBackgroundHover: "#e0e0f0"
                  });
               }
            // ]]></script>

[Auto Man]

โค๊ด: [Select]

   <script type="text/javascript">
   $(document).ready(function(){
   $("#back-top").hide();
   $(function () {
      $(window).scroll(function () {
         if ($(this).scrollTop() > 100) {
            $("#back-top").fadeIn();
         } else {
            $("#back-top").fadeOut();
         }
      });
      $("#back-top a").click(function () {
         $("body,html").animate({
            scrollTop: 0
         }, 800);
         return false;
      });
   });
});
</script>

[Auto Man]

   <script language="JavaScript" type="text/javascript"><!-- // -->
   NcodeImageResizer.BBURL = "http://www.auto-nkp.com/Themes/default/images";
   NcodeImageResizer.MODE = "samewindow";
   NcodeImageResizer.MAXWIDTH = "900";
   NcodeImageResizer.MAXHEIGHT = "0";
   vbphrase = new Array();
   vbphrase['ncode_imageresizer_warning_small'] = 'Click this bar to view the full image.';
   vbphrase['ncode_imageresizer_warning_filesize'] = 'This image has been resized. Click this bar to view the full image. The original image is sized %1$sx%2$s and weighs %3$sKB.';
   vbphrase['ncode_imageresizer_warning_no_filesize'] = 'This image has been resized. Click this bar to view the full image. The original image is sized %1$sx%2$s.';
   vbphrase['ncode_imageresizer_warning_fullsize'] = 'Click this bar to view the small image.';
   // ]]></script>

[Auto Man]

โค๊ด: [Select]

<script type="text/javascript">
   $(document).ready(function() {
         
         var infoText_slideDown = "คลิ๊กดูข้อความล่าสุด."; //Change Text for slide down!
         var infoText_slideUp = "ซ่อน."; //Change Text for slide up!
         
         $('.notification em').text(infoText_slideDown);
   
         $('.notification span').hover(function() {
             $(this).css('cursor','pointer');
          }, function() {
                $(this).css('cursor','auto');
            });
         
         $('.notification span').click(function() {
                $('.notification-wrap').fadeOut(800);
            });
         
         $('.notification em').click(function(){
            if ($(".descriptionbox").is(":hidden")) {
               $(".descriptionbox").slideDown("slow", function() {
                   $('.notification em').text(infoText_slideUp);

                 });
            } else {
               $('.notification em').text(infoText_slideDown);
               $(".descriptionbox").slideUp("slow");
            }
         });
         
});
</script>

[Auto Man]

โค๊ด: [Select]

      <script type="text/javascript"><!-- // --><![CDATA[
         var oMainHeaderToggle = new smc_Toggle({
            bToggleEnabled: true,
            bCurrentlyCollapsed: true,
            aSwappableContainers: [
               'upper_section'
            ],
            aSwapImages: [
               {
                  sId: 'upshrink',
                  srcExpanded: smf_images_url + '/upshrink.png',
                  altExpanded: 'หดหรือขยายหัวข้อ',
                  srcCollapsed: smf_images_url + '/upshrink2.png',
                  altCollapsed: 'หดหรือขยายหัวข้อ'
               }
            ],
            oThemeOptions: {
               bUseThemeSettings: true,
               sOptionName: 'collapse_header',
               sSessionVar: 'bb24537',
               sSessionId: '773f814d8c779fd380937e9d70e915a0'
            },
            oCookieOptions: {
               bUseCookie: false,
               sCookieName: 'upshrink'
            }
         });
      // ]]></script>

[Auto Man]

   ตรงช่วงโชว์สุ่มภาพ 6 ภาพ ตอนบนเว็บ

โค๊ด: [Select]

<div id="board_attach_holder">
   <a href="#attach_toggle" onclick="attach_toggle(); return false;" id="attach_toggle">[Show Attachments][/url]
   <div id="board_attach_content" style="display: none;">
      <table>
         <tr>
            <td>[url=http://auto-nkp.com/index.php?topic=5591.msg29010#msg29010][img alt=019 XR125.jpg]http://auto-nkp.com/index.php?action=dlattach;topic=5591.0;attach=3933;image[/img][/url]</td>
            <td>[url=http://auto-nkp.com/index.php?topic=3874.msg18590#msg18590][img alt=001.jpg]http://auto-nkp.com/index.php?action=dlattach;topic=3874.0;attach=1729;image[/img][/url]</td>
            <td>[url=http://auto-nkp.com/index.php?topic=7127.msg40218#msg40218][img alt=001.jpg]http://auto-nkp.com/index.php?action=dlattach;topic=7127.0;attach=3533;image[/img][/url]</td>
            <td>[url=http://auto-nkp.com/index.php?topic=8553.msg52075#msg52075][img alt=002.jpg]http://auto-nkp.com/index.php?action=dlattach;topic=8553.0;attach=5417;image[/img][/url]</td>
            <td>[url=http://auto-nkp.com/index.php?topic=6570.msg36456#msg36456][img alt=001.jpg]http://auto-nkp.com/index.php?action=dlattach;topic=6570.0;attach=3665;image[/img][/url]</td>
            <td>[url=http://auto-nkp.com/index.php?topic=7053.msg39677#msg39677][img alt=023 SM GT-125.jpg]http://auto-nkp.com/index.php?action=dlattach;topic=7053.0;attach=4007;image[/img][/url]</td>
         </tr>
      </table>
   </div>
</div>
<script type="text/javascript">
   function attach_toggle()
   {
      var container = document.getElementById('board_attach_content');
      var toggle = document.getElementById('attach_toggle');
      var mode = container.style.display == 'none' ? 0 : 1;

      if (mode == 0)
      {
         container.style.display = '';
         setInnerHTML(toggle, '[Hide Attachments]');
      }
      else
      {
         container.style.display = 'none';
         setInnerHTML(toggle, '[Show Attachments]');
      }
      smf_setThemeOption('board_attach', mode, null, "773f814d8c779fd380937e9d70e915a0", "bb24537");
   }
</script>

[Auto Man]

  ช่วง Footer ท้ายหน้า

โค๊ด: [Select]

   <div id="footer_section"><div class="frame">
      <ul class="reset">
         <span class="copyright">
         <span class="smalltext" style="display: inline; visibility: visible; font-family: Verdana, Arial, sans-serif;">
         </span>
            [br /]
            WWW.AUTO-NKP.COM Copyright © 2015 - 2019 All rigths reserved.  | <a href="http://www.simplemachines.org/about/smf/license.php" target="_blank">SMF @ 2014[/url] | <a href="http://www.simplemachines.org/" target="_blank">Simple Machines[/url]
            [br /]
            <a id="button_rss" href="http://auto-nkp.com/index.php?action=.xml;type=rss" class="new_win"><span>RSS </span>[/url] | <a id="button_wap2" href="http://auto-nkp.com/index.php?wap2" class="new_win"><span> WAP2</span>[/url]<span></span> | <a id="button_xhtml" href="http://validator.w3.org/check?uri=referer" target="_blank" class="new_win" title="Valid XHTML 1.0!"><span>XHTML</span>[/url]</span>
      </ul><div id="back-top">
      <a href="#top"><span></span>Back to Top[/url]
   </div>
   </div></div>
</div>
 โค๊ดที่แสดงมา เป็นหน้าที่เกี่ยวกับกระทู้ ==> EWD ระบบสตาร์ทและไฟชาร์จรถยนต์ ISUZU D-Max 4JH1-T

[Auto Man]

  บทสรุป (ไม่รู้สรุปได้หรือยัง)  คงเป็นเพราะการใส่หรือแทรกสคริปต์เข้าไปในเว็บมากเกินไปละมั๊ง
จนเป็นภาระให้โปรแกรมแอนตี้ไวรัส คิดว่าเป็นการกระทำของไวรัส 5 5 5

   แบบนี้จะแก้ไขยังไงดี

( <- คลิ๊กเพื่อแสดง/ซ่อนเนื้อหา)

1. ไม่ต้องใส่สคริปต์ในเว็บ
2. ประสานทางกูเกิ้ล ให้ปลดปล็อกเว็บไซต์
3. หรือทำเว็บใหม่ 5 5 5