Làm thế nào để gỡ bỏ Security Sphere 2012 ra khỏi hệ thống

14:55, 17/10/2011

Hiện tại đang có rất nhiều sản phẩm giả mạo ứng dụng chống Virus được tung ra để đánh lừa người tiêu dùng tải về cài đặt với ý định bảo vệ máy tính và kiểm nghiệm sản phẩm mới nhưng thực chất là đang sử dụng một sản phẩm nguy hiểm có tính chất lừa đảo người tiêu dùng để đòi trả phí sử dụng rất cao. Hôm nay, tác giả chia sẽ thông tin đã được tổng hợp từ các trang Web nổi tiếng với bạn về Security Sphere 2012 (SS 2012), nó là một trong số các sản phẩm giả mạo ứng dụng chống Virus và cách thức loại bỏ nó ra khỏi hệ thống ....

Security Sphere 2012 là một ứng dụng chống Virus giả mạo, sau khí đã được tải về và cài đặt nó sẽ tự động kích hoạt chức năng khởi động cùng Windows và vô hiệu hoá hoạt động của các ứng dụng bảo mật khác để tránh bị phát hiện và loại bỏ nó ra khỏi hệ thống, ngoài ra nó tinh chỉnh tập tin Hosts để khi nạn nhân truy cập vào Google, Yahoo hoặc Bing nó sẽ chuyển hướng truy cập trực tiếp đến các trang chứa mã độc hại khác nhau.

Các tiến trình cài đặt của Security Sphere 2012

Windows XP : C:\Documents and Settings\All Users\Application Data\[SET OF RANDOM CHARACTERS].exe

Windows Vista/7 : C:\ProgramData\[SET OF RANDOM CHARACTERS].exe

Registry values:

* HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\featurecontrol\FEATURE_BROWSER_EMULATION "svchost.exe"

* HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings "enablehttp1_1" = '1'

* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce "[SET OF RANDOM CHARACTERS]"

Tập tin khởi động của SS 2012 được tạo ra với các tên gọi ngẫu nhiên như eG13602P0DbI13602.exe hoặc hF02401IoPmK02401.exe do đó khi bạn tìm nó trong Registry Editor để xoá bỏ với chế độ thủ công hãy truy theo tên tập tin khởi động đã được tải về và cài đặt.

Kết quả báo cáo của Malwarebytes AntiMalware sau khi quét kiểm tra hệ thống và loại bỏ SS 2012

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Database version: 7839

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.187020

10/1/2011 7:13:19 AM
mbam-log-2011-10-01 (07-13-19).txt

Scan type: Quick scan
Objects scanned: 148821
Time elapsed: 1 minute(s), 6 second(s)

Memory Processes Infected: 1
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 1
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 1

Memory Processes Infected:
c:\documents and settings\all users\application data\hf02401iopmk02401\hf02401iopmk02401.exe (Rogue.SecuritySphere) -> 1772 -> Unloaded process successfully.

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\hF02401IoPmK02401 (Rogue.SecuritySphere) -> Value: hF02401IoPmK02401 -> Quarantined and deleted successfully.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
c:\documents and settings\all users\application data\hf02401iopmk02401\hf02401iopmk02401.exe (Rogue.SecuritySphere) -> Quarantined and deleted successfully.

Sau khi thực hiện quét kiểm tra hệ thống Security Sphere 2012 sẽ thông báo các kết quả giả mạo đến nạn nhân nhằm gây sự hoang mang và yêu cầu trả mức phí sử dụng là $59.90 để loại bỏ các thành phần nguy hiểm không hiện diện trên hệ thống của nạn nhân.

Xin đừng lo lắng hãy nhấn nút Registration trên giao diện của Security Sphere 2012 > cửa sổ Registration xuất hiện sao chép mã kích hoạt "8945315-6548431" dán vào ô Enter Detail > Active để kích hoạt cho sản phẩm > hãy thực hiện xoá bỏ các tập tin giả mạo đã được thông báo đang hiện diện với SS 2012. Sau đó nhấn vào Protection và Settings để tắt hết tất cả các chức năng bảo vệ, update, khởi dộng cùng Windows v.v... của SS 2012 đi.

Hãy thực hiện thêm một bước nữa để hiển thị các tập tin, thư mục đang được Windows ẩn đi

Windows XP : Truy cập Windows Explorer (Win + E) > Tools > Folder Options > View

Windows Vista/7 : Truy cập Windows Explorer (Win + E) > Organize > Folder and search options > View

Chọn Show hidden files and folders, nhấn bỏ chọn Hide extensions for known file types và Hide protected operating system files (Recommended) > Apply > OK.

Tìm tới tập tin cài đặt của SS 2012 trên ổ dĩa C:/Progam files/...., (tác giả lấy tên eG13602PoDbI13602.exe làm minh hoạ) đổi tên thành eG13602PoDbI13602.vir, để vô hiệu hoá chức năng tự động chạy cùng windows và hoạt động của SS 2012 một lần nữa.

Khởi động lại máy tính trong chế độ Safe Mode with Networking, kích hoạt trình duyệt đang sử dụng truy cập vào google tìm với từ khoá "mbam" để tải Malwarebytes AntiMaware Free về lưu ngoài màn hình để dễ thao tác.

Lưu ý : Có thể SS 2012 sẽ không cho Malwarebytes AntiMalware hoạt động do đó bạn hãy đổi tên tập tin khởi động tại màn hình và vị trí cài đặt trên ổ C:/Program files/Mawarebytes AntiMalware/ "mbam.exe" thành explorer.exe hoặc winlogon.exe, sau đó nhấn vào tập tin mới đổi tên chạy nó nhằm đánh lừa sự kiểm soát của SS 2012. Hãy thực hiện tải, cài đặt Malwarebytes AntiMalware, đổi tên, cập nhật dữ liệu mới cho MBAM và quét kiểm tra toàn bộ ổ dĩa trong lúc vẫn làm việc ở chế độ Safe Mode with Network để loại bỏ Security Sphere 2012 một cách an toàn nhất.

Không phải chỉ riêng Malwarebytes AntiMalware Free mới có thể loại bỏ SS 2012, bạn cũng có thể tải SuperAntiSpyware Free về sử dụng và thực hiện trong chế độ Safe Mode with Networking để loại bỏ Security Shere 2012 ra khỏi hệ thống.

Sau khi đã thực hiện xong công việc với Malwarebytes AntiMalware hoặc SuperAntiSpyware hãy tải tiếp TDSSkiller một công cụ của Kaspersky về cài đặt kiểm tra tiếp để gỡ bỏ các thành phần nguy hiểm khác còn sót lại trên hệ thống mà 2 công cụ trên có thể không phát hiện ra nó trên hệ thống bị lây nhiễm.

Bạn truy cập vào tại http://support.microsoft.com/kb/972034, để sao chép tập tin Hosts phù hợp với hệ điều hành đang sử dụng về để khôi phục lại nó sau khi đã xử lý Security Sphere 2012 với các bước bên trên.

Bước cuối cùng là tải một ứng dụng chống Virus mà bạn thích về cài đặt, cập nhật dữ liệu mới nhất và quét kiểm tra hệ thống một lần nữa.

Tải công cụ

Malwarebyte AntiMalware Free v1.51.2.1300
SuperAntiSpyware Free v5
TDSSkiller

Đặc Biệt Cám Ơn Rogueamp, Malwarebytes AntiMalware.org, Kaspersky Lab & Microsoft đã giúp tác giả hoàn thành bài viết này.

Qduc.