โดนเข้าให้แล้ว iPad โดยหนอนขึ้นซะแล้ว..

โดนเข้าให้แล้ว iPad โดยหนอนขึ้นซะแล้ว..

งานนี้เริ่มด้วยอาการเข้า ssh ไม่ได้  ตอนเข้าไม่ได้ ก็ลอง reinstall openssh ใหม่ ก็ใช้ได้แป๊ปๆก็โดนเตะออกโดยได้ข้อความว่า “Connection closed by remote host” ผมลง openssh ใหม่หลายครั้งจนมั่นใจว่ามีอะไรผิดปกติแล้วแน่ จึงไปถามอากู๋ ซักอยู่นานเลย สุดท้ายอากู๋ก็ยอมบอกว่าสงสัยหนอนขึ้นเข้าให้แล้ว ตาม URL นี้ครับ http://bit.ly/9kbF9Q

ตัวที่ผมโดนนี่เป็นตัวกลายพันธฺ์ซะด้วย ตัวดั้งเดิมจะโดนเปลี่ยน WallPaper เป็นรูป Rick Astley แต่ที่ผมโดนนี่มันไปออกอาการเข้า ssh ไม่ได้อย่างที่บอกแล้ว

ทีนี้พอเริ่มเห็นเค้าก็ลุยเลยครับ จริงๆแล้วคำสั่งที่ให้ทำก็น่าสงสัยอยู่บ้างว่าจะก่อปัญหาให้ cydia หรือเปล่าแต่จะให้มาทำทีละคำสั่งนี่แล้วดูผลนี่ดูจะลำบากไปหน่อย โดยความขี้เกียจ และความใจร้อนจึงลุยเลย งานนี้ต้องใช้ความวัยสู้กันระหว่างผมกับหนอนตัวนี้ คือต้องทำ 10 คำสั่งข้างล่างนี้ให้เร็วก่อนจะถูกเตะออกมาจาก shell

วิธีการของผมคือ copy คำสั่งทั้ง 10 (เตรียม paste ทีเดียว) บน desktop แล้วหันไป reinstall openssh ใหม่บน iPad  พอเสร็จปั๊บก็หันมา desktop เพื่อ ssh เช้า iPad อย่างเร็ว เข้าได้ก็ paste คำสั่งทันที ยกแรกผ่านเลยครับ ไม่โดนเตะออก ได้ใจเล็กๆก็รีบไปก็ shutdown แล้วก็บูต iPad ขึ้นมา เพื่อความชัวร์ก็ลง openssh ใหม่อีกรอบ

# 10 คำสั่งล้างหนอน

rm /bin/poc-bbot
rm /bin/sshpass
rm /System/Library/LaunchDaemons/com.ikey.bbot.plist
rm /var/lock/bbot.lock
rm /var/log/youcanbeclosertogod.jpg
rm /var/mobile/Library/LockBackground.jpg
rm /System/Library/LaunchDaemons/com.saurik.Cydia.Startup.plist
rm /usr/libexec/cydia/startup
rm /usr/libexec/cydia/startup-helper
rm /usr/libexec/cydia/startup.so

ส่วนข้างล่างนี้เป็นผลจกการทำงาน จะเห็นว่าบางคำสั่งก็ทำไม่ได้ คือลบไม่ได้เพราะหาไฟล์นั้นไม่เจอ

Macs-MacBook-Air:~ kaiwan$ ssh root@192.168.x.xx
root@192.168.x.xx's password:
KHs-iPad:~ root# rm /bin/poc-bbot
KHs-iPad:~ root# rm /bin/sshpass
KHs-iPad:~ root# rm /System/Library/LaunchDaemons/com.ikey.bbot.plist
KHs-iPad:~ root# rm /var/lock/bbot.lock
KHs-iPad:~ root# rm /var/log/youcanbeclosertogod.jpg
rm: cannot remove `/var/log/youcanbeclosertogod.jpg': No such file or directory
KHs-iPad:~ root# rm /var/mobile/Library/LockBackground.jpg
KHs-iPad:~ root# rm /System/Library/LaunchDaemons/com.saurik.Cydia.Startup.plistKHs-iPad:~ root# rm /usr/libexec/cydia/startup
KHs-iPad:~ root# rm /usr/libexec/cydia/startup-helper
rm: cannot remove `/usr/libexec/cydia/startup-helper': No such file or directory
KHs-iPad:~ root# rm /usr/libexec/cydia/startup.so
rm: cannot remove `/usr/libexec/cydia/startup.so': No such file or director
KHs-iPad:~ root# Connection to 192.168.x.xx closed by remote host.
Connection to 192.168.x.xx closed.

หลัง reboot iPad และ reinstall openssh ใหม่ ขั้นตอนนี้ต้องใส่ยากันบูดไม่ให้หนอนขึ้นได้อีก วิธีก็คือตั้ง password ใหม่ให้ยูสเซอร์ root และ mobile ก็ให้ ssh กลับเข้า iPad เป็น root แล้วออกคำสั่ง “passwd” พอขึ้นพร้อมพ์ก็ให้ใส่รหัสใหม่ที่ต้องการสองครั้ง  เสร็จแล้วก็สั่ง “passwd mobile” แล้วก็แล้วก็ทำเหมือนเดิม ก็เป็นอันเสร็จพิธี

ตอนนี้ก็รอดูต่อไปว่ามีผลข้างเคียงใคๆอีกหรือเปล่า แต่ so far so good ครับ

สวัสดี

ป.ล. ตอนเปลี่ยนรหัสผ่าน อย่าตั้งเป็น “alpine” นะครับ เชยตายเลย