How to remove risabc.exe

risabc.exe

MD5 : 97f90192944058ececea0c3e38f7fab4

SHA1 : 05fa3189831d8369785cc45989553624aae6526f

...

Antivirus	Version	Last Update	Result
AhnLab-V3	2010.09.05.00	2010.09.04	Win-Trojan/Injector.235008.H
AntiVir	8.2.4.50	2010.09.06	-
Antiy-AVL	2.0.3.7	2010.09.03	-
Authentium	5.2.0.5	2010.09.06	-
Avast	4.8.1351.0	2010.09.06	-
Avast5	5.0.594.0	2010.09.06	-
AVG	9.0.0.851	2010.09.06	Dropper.Generic2.AUIT
BitDefender	7.2	2010.09.06	-
CAT-QuickHeal	11.00	2010.09.06	-
ClamAV	0.96.2.0-git	2010.09.06	PUA.Packed.ASPack
Comodo	5988	2010.09.06	-
DrWeb	5.0.2.03300	2010.09.06	-
Emsisoft	5.0.0.37	2010.09.06	Trojan-Dropper.Win32.Small!IK
eSafe	7.0.17.0	2010.09.05	-
eTrust-Vet	36.1.7838	2010.09.06	-
F-Prot	4.6.1.107	2010.09.01	-
F-Secure	9.0.15370.0	2010.09.06	-
Fortinet	4.1.143.0	2010.09.05	-
GData	21	2010.09.06	-
Ikarus	T3.1.1.88.0	2010.09.06	Trojan-Dropper.Win32.Small
Jiangmin	13.0.900	2010.09.06	-
K7AntiVirus	9.63.2442	2010.09.04	-
Kaspersky	7.0.0.125	2010.09.06	Trojan-Dropper.Win32.Small.gal
McAfee	5.400.0.1158	2010.09.06	Suspect-D!97F901929440
McAfee-GW-Edition	2010.1B	2010.09.06	-
Microsoft	1.6103	2010.09.06	-
NOD32	5427	2010.09.06	a variant of Win32/PSW.OnLineGames.QKQ
Norman	6.05.11	2010.09.06	-
nProtect	2010-09-06.01	2010.09.06	Trojan/W32.Agent.235008.BE
Panda	10.0.2.7	2010.09.06	Suspicious file
PCTools	7.0.3.5	2010.09.06	-
Prevx	3.0	2010.09.06	-
Rising	22.64.00.04	2010.09.06	-
Sophos	4.57.0	2010.09.06	Mal/Generic-L
Sunbelt	6838	2010.09.06	-
SUPERAntiSpyware	4.40.0.1006	2010.09.06	-
Symantec	20101.1.1.7	2010.09.06	-
TheHacker	6.5.2.1.364	2010.09.05	-
TrendMicro	9.120.0.1004	2010.09.06	-
TrendMicro-HouseCall	9.120.0.1004	2010.09.06	-
VBA32	3.12.14.0	2010.09.06	-
ViRobot	2010.9.6.4028	2010.09.06	-
VirusBuster	12.64.19.0	2010.09.06	-

...

Files Added

%System%\nodabc.exe

%System%\risabc.exe

%System%\nodabc0.dll (0-9)

%System%\risabc0.dll (0-9)

%System%\nodie0.dll (0-9)

%System%\risie0.dll (0-9)

X:\313omdph.exe

X:\autorun.inf

%Temp% = C:\Documents and Settings\[UserName]\Local Settings\Temp\

X:\ = C:\- Z:\

Registry Modifications

Keys added

HKLM\SOFTWARE\Classes\CLSID\{5DA743EA-6725-4ADE-BF17-C328743011FD}

HKLM\SOFTWARE\Classes\CLSID\{5DA743EA-6725-4ADE-BF17-C328743011FD}\InprocServer32

HKLM\SOFTWARE\Classes\CLSID\{5DA743EA-6725-4ADE-BF17-C328743011FD}\ProgID

HKLM\SOFTWARE\Classes\CLSID\{5DA743EA-6725-4ADE-BF17-C328743011FD}\Programmable

HKLM\SOFTWARE\Classes\CLSID\{5DA743EA-6725-4ADE-BF17-C328743011FD}\VersionIndependentProgID

HKLM\SOFTWARE\Classes\Interface\{5DA743EB-6725-4ADE-BF17-C328743011FD}

HKLM\SOFTWARE\Classes\Interface\{5DA743EB-6725-4ADE-BF17-C328743011FD}\ProxyStubClsid

HKLM\SOFTWARE\Classes\Interface\{5DA743EB-6725-4ADE-BF17-C328743011FD}\ProxyStubClsid32

HKLM\SOFTWARE\Classes\Interface\{5DA743EB-6725-4ADE-BF17-C328743011FD}\TypeLib

HKLM\SOFTWARE\Classes\TypeLib\{5DA7432B-6725-4ADE-BF17-C328743011FD}

HKLM\SOFTWARE\Classes\TypeLib\{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0

HKLM\SOFTWARE\Classes\TypeLib\{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\0

HKLM\SOFTWARE\Classes\TypeLib\{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\0\win32

HKLM\SOFTWARE\Classes\TypeLib\{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\FLAGS

HKLM\SOFTWARE\Classes\TypeLib\{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\HELPDIR

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj\CurVer

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj.1

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj.1\CLSID

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5DA743EA-6725-4ADE-BF17-C328743011FD}

Values Added

HKLM\SOFTWARE\Classes\CLSID\

{5DA743EA-6725-4ADE-BF17-C328743011FD}\VersionIndependentProgID

(Default) = "IEHlprObj.IEHlprObj"

HKLM\SOFTWARE\Classes\CLSID\

{5DA743EA-6725-4ADE-BF17-C328743011FD}\ProgID

(Default) = "IEHlprObj.IEHlprObj.1"

HKLM\SOFTWARE\Classes\CLSID\

{5DA743EA-6725-4ADE-BF17-C328743011FD}\InprocServer32

(Default) = "%System%\risie0.dll"

ThreadingModel = "Apartment"

HKLM\SOFTWARE\Classes\CLSID\

{5DA743EA-6725-4ADE-BF17-C328743011FD}

(Default) = "IEHlprObj Class"

HKLM\SOFTWARE\Classes\Interface\

{5DA743EB-6725-4ADE-BF17-C328743011FD}\TypeLib

(Default) = "{5DA7432B-6725-4ADE-BF17-C328743011FD}"

Version = "1.0"

HKLM\SOFTWARE\Classes\Interface\

{5DA743EB-6725-4ADE-BF17-C328743011FD}\ProxyStubClsid32

(Default) = "{00020424-0000-0000-C000-000000000046}"

HKLM\SOFTWARE\Classes\Interface\

{5DA743EB-6725-4ADE-BF17-C328743011FD}\ProxyStubClsid

(Default) = "{00020424-0000-0000-C000-000000000046}"

HKLM\SOFTWARE\Classes\Interface\

{5DA743EB-6725-4ADE-BF17-C328743011FD}

(Default) = "IIEHlprObj"

HKLM\SOFTWARE\Classes\TypeLib\

{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\0\win32

(Default) = "%System%\risie0.dll"

HKLM\SOFTWARE\Classes\TypeLib\

{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\HELPDIR

(Default) = "%System%\"

HKLM\SOFTWARE\Classes\TypeLib\

{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0\FLAGS

(Default) = "0"

HKLM\SOFTWARE\Classes\TypeLib\

{5DA7432B-6725-4ADE-BF17-C328743011FD}\1.0

(Default) = "IEHelper 1.0 Type Library"

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj\CurVer

(Default) = "IEHlprObj.IEHlprObj.1"

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj

(Default) = "IEHlprObj Class"

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj.1\CLSID

(Default) = "{5DA743EA-6725-4ADE-BF17-C328743011FD}"

HKLM\SOFTWARE\Classes\IEHlprObj.IEHlprObj.1

(Default) = "IEHlprObj Class"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

nodsos = "%System%\nodabc.exe"

rissos = "%System%\risabc.exe"

Values modified

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\

Advanced\ Folder\Hidden\SHOWALL\CheckedValue = 0x00000000

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\

Advanced\Hidden = 0x00000002

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\

Advanced\ShowSuperHidden = 0x00000000

=======================================================

วิธีกำจัด/แก้ virus : risabc.exe

=======================================================

Download Fix Tool : PeeTechFix-Win32.PSW.OnlineGames

------------------------------------------------------------------------------

หลังจากกำจัด virus ได้แล้ว แนะนำให้ติดตั้งโปรแกรมเพิ่มเติม เพื่อป้องกันการเรียกใช้ autorun

เช่น

Program Advice (Stop AutoRun function/autorun.inf)

NoAutoRun (.REG)

http://www.mediafire.com/?ammmxwhqmnm

or

Panda USB Vaccine

http://www.mediafire.com/download.php?qig0nmnm4ld

or

KB971029, KB967715

http://hotzone-it.blogspot.com/2009/08/kb971029-fix-autorun-microsoft.html

Task Manager has been disabled

หลายๆท่านประสบปัญหา ไม่สามารถเรียกใช้งาน Task Manager ได้ หลังจากติดไวรัส

วันนี้ผมมีโปรแกรมมานำเสนอครับ

โปแกรมแรก คือโปรแกรม Active Virus Killer (FreeWare)

ผมได้ทำการ Disable Task Manager แล้วลองกดปุ่ม Ctrl + Alt + Del

เพื่อเรียก Task Manager จะขึ้นเตือนข้อความ

Task Manager has been disabled by your administrator

จากนั้นลองเปิดด้วยโปรแกรม Active Virus Killer แล้ว click ที่ปุ่ม

Show Windows Task Manager by Force

Task Manager จะเปิดขึ้นมาโดยไม่มีข้อความแจ้งเตือน

ุึถึงแม้ ค่าใน Registry ยัง disable อยู่ก็ตาม

ก็ลองเอาไปใช้กันดูครับ

--------------------------------------------------------------------------------

โปรแกรมที่ 2 : โปรแกรม ProcX (FreeWare)

โปรแกรมนี้มี Option พิเศษ คือ Replace Task Manager

ซึ่งด้วย Option นี้ เวลาเรียก Task manager จะแสดง โปรแกรม ProcX แทน

แค่นี้ก็ไม่ต้องกังวลเรื่อง เรียกใช้ Task Manger ไม่ได้อีกต่อไปครับ

เวลาเราจะไม่ใช้ ก็เพียงแต่เอาเครื่องหมายถูกออกจาก option นี้ เท่านั้นเอง

แต่ผมว่าโปรแกรมนี้มีอะไรดีกว่า Task manager ของ Windows มาก

ถ้าท่านใช้แล้วอาจจะติดใจก็ได้ครับ

ตัวอย่าง : เมื่อขึ้นข้อความเตือน

Task Manager has been disabled by your administrator

ให้เปิดโปรแกรม ProcX แล้วไปที่ Option เลือกที่ Replace Task Manager

และเมื่อเรา ลอง กดปุ่ม Ctrl + Alt + Del จะเป็นการเรียกโปรแกรม ProcX ขึ้นมาแทนครับ

และดู Process ได้ดีกว่า

ซึ่งโปรแกรมนี้อย่างที่บอก มีอะไรที่น่าสนใจมากกว่า Task Manager ของ windows คือ

1.รายชื่อ Process ที่บอก detail ไว้เพียบ

คำสั่ง

2.Terminate & Rename

3.Terminate & Delete

4.Delete at next reboot

5.Suspend

6.Memory dump

---------------------------------------------------------------------

โปรแกรมที่3 : การแก้ด้วยไฟล์ .reg ตาม link หรือ copy ข้อความด้านล่างใส่ notepad

แล้ว save ไฟล์ให้เป็นนามสกุล .reg

http://www.kellys-korner-xp.com/regs_edits/taskmanager.reg

Windows Registry Editor Version 5.00  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableTaskMgr"=dword:00000000  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\LocalUser\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableTaskMgr"=dword:00000000 "**del.DisableTaskMgr"=" "  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\] "DisableTaskMgr"=dword:00000000  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "DisableCAD"=dword:00000000

หมายเหตุ : การแก้ไขด้วย .reg นี้อาจใช้ไม่ได้ผลถ้า Process ของไวรัสยังทำงานอยู่

---------------------------------------------------------------------

โปรแกรมที่ 4 : โปรแกรม Task Manager Fix

จริงๆแล้ว ก็มีโปรแกรม อีกหลายตัว ทำงานในลักษณะแบบนี้

ลองดูจาก link ที่ผมทำไว้ก็ได้ึครับ

http://hotzone-it.blogspot.com/2009/07/blog-post.html