'togglefolderopts.vbs - Enables/Disables Folder Options settings
'in Win95/98
'© Doug Knox - rev 12/02/99
'Thanks to Max Spyridakis for his suggestions

Option Explicit
On Error Resume Next

Dim WSHShell, itemtype, n, MyBox, p, p1, p2, t, mustboot, errnum, vers
Dim urladdr

Set WSHShell = WScript.CreateObject("WScript.Shell")
p = "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\"
p1 = "NoFolderOptions"
p2 = p & p1
itemtype = "REG_DWORD"
t = "Toggle Folder Options"
mustboot = "Log off and back on, or restart your pc to"
mustboot = mustboot & vbCR & "effect the changes"

'This section tries to read the registry key value. If not present an
'error is generated. Normal error return should be 0 if value is
'present
t = "Enable/Disable Folder Options"
Err.Clear
n = WSHShell.RegRead (p2)
errnum = Err.Number

if errnum <> 0 then
'Create the registry key value for NoFolderOptions with value 0
WSHShell.RegWrite p2, 0, itemtype
End If

'If the key is present, or was created, it is toggled
'Confirmations can be disabled by commenting out
'the two MyBox lines below

If n = 0 Then
n = 1
WSHShell.RegWrite p2, n, itemtype
Mybox = MsgBox("Folder Options are now DISABLED" & vbCR & mustboot, 4096, t)
ElseIf n = 1 then
n = 0
Mybox = MsgBox("Folder Options are now ENABLED" & vbCR & mustboot, 4096, t)
WSHShell.RegWrite p2, n, itemtype
End If
 

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000000
"**del.DisableTaskMgr"=" "

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\]
"DisableTaskMgr"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"DisableCAD"=dword:00000000 

[Autorun]
Open=SSVICHOSST.exe
Shellexe cute=SSVICHOSST.exe
Shell\Open\command=SSVICHOSST.exe
Shell=Open
 

C:\Program Files\BLuPro\BLuPro.exe: Đây là chương trình gì thế bạn?  

C:\Program Files\BLuPro\BLuPro.exe: Đây là chương trình gì thế bạn?  

var Shell = new ActiveXObject("WScript.Shell");

Shell.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\DisableTaskMgr",0,"REG_DWORD"); 

có 1 phép thủ công vui vui, xóa cái file đó ngoài DOS, rồi repair windows. Nếu ko có gì quan trọng trong windows thì làm cách này đi.  

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:00000095
"NoSaveSettings"=dword:00000000

 

Em đã thực hiện như trên: kill process SSVICHOSST.exe, xóa file trong WINDOWS chạy file vba để enable regedit, task Manager...
logoff, logon

Nhưng vẫn thấy xuất hiện process SSVICHOSST.exe
Mặt khác khi bật được regedit thì search SSVICHOSST toàn bị down máy.
Hix, ko bít còn virus nào nữa ko, toàn làm CPU 100%

Help me... :cry:

Đây là thông tin máy em:

Logfile of HijackThis v1.99.1
Scan saved at 2:56:03 PM, on 5/7/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINDOWS\system32\slserv.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\system32\SSVICHOSST.exeC:\WINDOWS\system32\atiptaxx.exe
C:\Program Files\BLuPro\BLuPro.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\SSVICHOSST.exe
C:\Program Files\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe
C:\Setup\procexp.exe
C:\Setup\HijackThis.exe

F2 - REG:system.ini: Shell=Explorer.exe SSVICHOSST.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\.MS32DLL.dll.vbs
O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [WindowsHive] C:\WINDOWS\system32\rpcc.exe
O4 - HKLM\..\Run: [BLuPro] C:\Program Files\BLuPro\BLuPro.exe
O4 - HKCU\..\Run: [mtd2002Svr] "C:\Program Files\mtd2002"\mtdserver.exe -f
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\YAHOO!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Yahoo Messengger] C:\WINDOWS\system32\SSVICHOSST.exeO4 - Global Startup: EmEditor.lnk = C:\Program Files\EmEditor\emedtray.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Download All by FlashGet - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YAHOOM~1.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YAHOOM~1.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{655162ED-A7C8-4F88-B1F9-C7F61F265225}: NameServer = 203.162.0.181,203.210.142.132
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: Fast User Switching Compatibility FastUserSwitchingCompatibilityCOMSysApp (FastUserSwitchingCompatibilityCOMSysApp) - Unknown owner - C:\WINDOWS\system32\l_intlp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

 

3- Nhưng nếu chỉ Delete các File SSVICHOSST.exe nằm ở các thư mục trên thì không diệt nổi virus. Vì nó còn được add vào registry ( và ngược lại). Bởi thế, khi restart lại máy thì các file SSVICHOSST.exe lại được tạo lập lại tại các thư mục nói trên.
 

PXMMRF wrote:

3- Nhưng nếu chỉ Delete các File SSVICHOSST.exe nằm ở các thư mục trên thì không diệt nổi virus. Vì nó còn được add vào registry ( và ngược lại). Bởi thế, khi restart lại máy thì các file SSVICHOSST.exe lại được tạo lập lại tại các thư mục nói trên.
 

Bạn ơi, cho hỏi chút.
_ Ở dòng màu xanh mình quote, ý bạn nói: chỉ với 1 điều kiện Virus ghi vào REGISTRY là Virus đã có thể tự hồi phục rồi phải không?

Theo kiến thức của mình trước giờ, ít nhất phải còn sót lại mầm sống nào đó của Virus.
(Ví dụ như: ghi vào Registry là bắt buộc phải có rồi, và phải còn đâu đó mầm của Virus, hoặc một số File bị nhiễm Code độc của Virus)

Mong bạn giải thích dùm, thanks. 

PXMMRF wrote:

3- Nhưng nếu chỉ Delete các File SSVICHOSST.exe nằm ở các thư mục trên thì không diệt nổi virus. Vì nó còn được add vào registry ( và ngược lại). Bởi thế, khi restart lại máy thì các file SSVICHOSST.exe lại được tạo lập lại tại các thư mục nói trên.


Bạn ơi, cho hỏi chút.
_ Ở dòng màu xanh mình quote, ý bạn nói: chỉ với 1 điều kiện Virus ghi vào REGISTRY là Virus đã có thể tự hồi phục rồi phải không?

Theo kiến thức của mình trước giờ, ít nhất phải còn sót lại mầm sống nào đó của Virus.
(Ví dụ như: ghi vào Registry là bắt buộc phải có rồi, và phải còn đâu đó mầm của Virus, hoặc một số File bị nhiễm Code độc của Virus)  

Theo kiến thức của mình trước giờ, ít nhất phải còn sót lại mầm sống nào đó của Virus.
(Ví dụ như: ghi vào Registry là bắt buộc phải có rồi, và phải còn đâu đó mầm của Virus, hoặc một số File bị nhiễm Code độc của Virus)  

Nó còn một File .dll nữa. Rất tiếc khi xóa nó tôi quên không ghi lại tên ( Nếu bạn nào cần biết, thì có khi tôi phải cho máy nhiễm lại virus, hề hề ). File này sẽ cùng với registry của virus tạo lại các file chạy SSVICHOSST.exe trên các thư mục nói trên, khi máy khởi động lại. 

Tuy nhiên khi chạy Hijack This.exe thì cả file này (.dll ) và regitry của virus cùng hiện ra trên cửa sổ scan của Hijack This.exe. Nghĩa là ta phải delete ( Fix checked) cả hai thứ này. Sau đó cũng nên Registry cleaning lại với một tiên tích Registry cleaner phù hơp.  

Nói chính xác là máy đã bị nhiễm Virus W32 Bronktot. 

PXMMRF: OK! Nó còn một File .dll nữa. Rất tiếc khi xóa nó tôi quên không ghi lại tên ( Nếu bạn nào cần biết, thì có khi tôi phải cho máy nhiễm lại virus, hề hề )