IM-Worm.Win32.Qucan.a / Sohanad.E, svchost32.exe

florin21 · Admin Forum Data inscrierii: 20/Apr/2007 Mesaje: 173

Acest vierme poate fi usor confundat cu http://forum.softpedia.com/index.php?showtopic=178421
Procedura de curatare este diferita pentru Sohanad.O. (vezi link)

------------------
Semne
Start menu: Run lipseste din Start menu
Internet Explorer: Homepage schimbat, iar editarea in "Internet Options" nu e posibila
Task Manager: este blocat.
Yahoo Messenger: Status Message este schimbat

Incearca sa inlocuiasca regedit.exe. Daca reuseste utilizarea regedit.exe reinstaleaza viermele.

------------------
Curatare

1. Download Delete_YM_Qucan.zip pe desktop

2. Download http://www.wackyb.co.nz/option,com_remository/Itemid,3894/func,fileinfo/id,5/ pe desktop.

3. Download http://www.atribune.org/public-beta/ATF-Cleaner.exe pe desktop.

4. Reboot in safemode.

5. Se fixeaza cu HijackThis urmatoarele:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://thecoolpics.net

O4 - HKLM\..\Run: [Task Manager] C:\WINDOWS\system\svchost32.exe

O4 - HKLM\..\Run: [svchost] C:\WINDOWS\system\svhost.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

6. Se sterg fisierele:

C:\WINDOWS\system\svchost32.exe <-- acest fisier
C:\WINDOWS\system\svhost.exe <-- acest fisier
(Atentie svchost.exe este un fisier legitim Microsoft)

7. Se golesc temp folders:
Dublu-click ATF-Cleaner.exe pentru a porni programul.
In tab-ul Main alege: Select All
Apasa butonul Empty Selected.

8. Se repara Registry:
Extrage 'Delete_YM_Qucan.inf' din Delete_YM_Qucan.zip pe desktop.

Click dreapta pe 'Delete_YM_Qucan.inf' si selecteaza 'Install'.

9. Reboot normal.

10. Scaneaza computerul online:
http://www.bitdefender.com/scan8/ie.html
http://www.kaspersky.com/virusscanner

11. Viermele incearca sa inlocuiasca regedit.exe.

Daca regedit.exe a fost inlocuit / sters iti trebuie CD-ul Windows.
Pe CD-ul Windows, regedit.exe se afla in folderul I386. Se copiaza in C:\Windows si C:\Windows\system32\dllcache\

12. Deschide YIM-StatusEdit.exe si apasa "Check ALL" si apoi "Clear Checked".
Programul e destul de instabil si mai crapa din cand in cand. Da' isi face treaba daca nu apesi pe alte butoane.