Virus tự log off

[ghihoadon]

Chào các bạn
Công ty mình mấy bữa nay có vài máy bị tình trạng là :
Khởi động WIN XP đến màn hình user click vào để nhập PASSWORD
Nhưng khi nhập vào rồi thì chừng 5 giây sau tự động log off
Mình đã thử giải quyết bằng cách

1. Log in bằng account admin
2. Dùngn hiren boot clear PW
3. Chạy trong SAFE MODE

Nhưng cũng không được

BÓ TAY Đành phải gost lại

Mong tin hỗ trợ của các bạn

[minhquan1712]

bạn chạy torng safe mode cũng ko vô được theo mình nghĩ máy bạn ko bị virus. Có thể do hệ đều hành mắc lỗi. Bạn thử dùng chức năng last known good.....coi.Hoặc bạn thử dùng chức năng repair của winXP . Good luck

[denuinq]

Cao thủ đâu ra help GHIHOADON đi kìa .
Theo minhquan1712 thì mà dùng Repair mà kill được Virus thì ... khoái quá.

Tôi là tôi dùng sức trâu bò : Đi in hết những tài liệu quan trọng rồi Format hết các ổ --> Cài lại Hệ điều hành và nhớ từ đó trở đi : Xài USB và ...cho cẩn trọng . Trâu bò hơn tí nữa thì cài Deepfreez cho ổ C (Chứa HĐH). Cài ngon lành rồi thì làm file GHOST cho đỡ mất công .

Mà thời buổi này ko có Virus và các thứ linh tinh phá hoại khác nữa thì ...hehehe --> Ai cũng thành ông bụt hết rồi

[conank]

Chào các bạn
Công ty mình mấy bữa nay có vài máy bị tình trạng là :
Khởi động WIN XP đến màn hình user click vào để nhập PASSWORD
Nhưng khi nhập vào rồi thì chừng 5 giây sau tự động log off
Mình đã thử giải quyết bằng cách

1. Log in bằng account admin
2. Dùngn hiren boot clear PW
3. Chạy trong SAFE MODE

Nhưng cũng không được

BÓ TAY Đành phải gost lại

Mong tin hỗ trợ của các bạn

Tình hình là ở bước 2 bạn phải dùng Hiren boot clear password, Acount Administrator của bạn bị virus khóa password luôn phải ko?

Hôm trước mình cũng bị như vậy, clear pass rồi vào lại cũng bị khóa lại nữa.

Bạn làm lại đi, vào được rồi tạo ngay thêm account khác. Rồi dùnt acc đấy thôi. Quét hoài mà chẳng thấy em virus nào :D

Chúc thành công

[ghihoadon]

Thêm 3 máy nữa bị
Để mình nói thêm cho rõ:
1. Khi click vào user nhập PW nó vẫn log in như bình thường nhưng ngay lập tức tự động log off quay lại màn hình welcome user
2. Mình đã thử last known good cũng không được
3. Quét virus bằng Hiren 8.6

Bó tay

Mong tin

[pippit2hn]

...mới dính hôm trước xong...máy vừa cài Kaspersky xong, restart lại thì ko thể log in vào được, tình trang tương tự là log in vào 1 cái là lại off ra luôn...
mình chạy safe mode thì vẫn log in vào được bằng acc Admin, sau đó kiểm tra thì thấy hoá ra là ông Kaspersky ko biết thằng bạn nó vác ở đâu ra detected 1 loạt file hệ thống, gỡ Kasper đi, restart lại được luôn...

[ghihoadon]

Theo Như bạn trên nói:

1. Vì mình là quản lý phòng máy nên chắc chắn máy đó không cài Kas
2. Acc Admin cũng không log in được nên không thể vào để check phần mềm (add remove)
3. Phòng máy của mình không có internet (cong ty)
4. Mình sẽ thử theo cách khác là dùng Road Starter BootCD để check trong ổ c kiểm tra autoexec.bat or win.ini

Chúc xuân vui vẻ

[conank]

...mới dính hôm trước xong...máy vừa cài Kaspersky xong, restart lại thì ko thể log in vào được, tình trang tương tự là log in vào 1 cái là lại off ra luôn...
mình chạy safe mode thì vẫn log in vào được bằng acc Admin, sau đó kiểm tra thì thấy hoá ra là ông Kaspersky ko biết thằng bạn nó vác ở đâu ra detected 1 loạt file hệ thống, gỡ Kasper đi, restart lại được luôn...

Cái này em cũng bị, cài KAV là tèo ngay. Bị mấy máy, cáu bỏ KAV luôn :D

Hì, cái con virus của ghihoadon bị lạ nha. Có ai bị hông, giúp với nè

[Xpro]

bạn tháo HDD ra gắn vào máy khác lấy BitDefender Internet Security v10 quét thử coi sao

[chauduyphanvu]

Theo tình trạng trên thì phần lớn là đã bị xung đột hệ thống.Bạn có thể khởi động máy trong chế độ Safe Mode (Nhấn F8 trong lúc khởi động).Rồi bạn có thể vào Control Panel-Add Or Remove Programs để Uninstall chương trình nào mà bạn nghi ngờ là đã "đụng độ" với hệ thống.Sau đó Restart lại máy tính.Hãy thử xem!

[ghihoadon]

Hôm nay 12/3/2007 lại thêm 2 máy bị nữa mình chẳng biết phải làm sao ngoài việc ghost lại điệu này chắc sếp để ý quá. Không lẽ chỉ có mình bị PAN này sao.
Mình cũng vào safe mode nhưng vừa click vào user để logon thì windows vẫn cho phép vào nhưng sau 5 giây thì tự động log out (MÁY NÀY KHÔNG CÓ PASWORD USER - CHỈ CÓ PASSWORD ADMIN).

[black_ghost]

Trước đây tôi cũng gặp hiện tượng tương tự ở máy 1 người bạn,Tôi xử lý như sau:
1.boot bằng Hiren's cd.Vô set lai pass của tất cả các user
2.Hãy dùng vc trong Hiren vào các đường dẫn sau:
C:\Documents and Settings\"các user"\Start Menu\Programs\Startup
Hay xóa tất cả các file trong đó đi
Khởi động lại máy và vào Windows ngon lành.
Thực chất đây ko phải là 1 con virus nên các bạn quét ko thấy là đương nhiên.Ai muốn tìm hiểu về nó thì hãy cut(move) nó(trong thư mục startup sang chỗ khác rồi vào windows mà coi lại),Nó chỉ là 1 shotcut command thôi.
nếu bạn nào ko làm được thì pm mình giúp

[royal1402]

Trước đây tôi cũng gặp hiện tượng tương tự ở máy 1 người bạn,Tôi xử lý như sau:
1.boot bằng Hiren's cd.Vô set lai pass của tất cả các user
2.Hãy dùng vc trong Hiren vào các đường dẫn sau:
C:\Documents and Settings\"các user"\Start Menu\Programs\Startup
Hay xóa tất cả các file trong đó đi
Khởi động lại máy và vào Windows ngon lành.
Thực chất đây ko phải là 1 con virus nên các bạn quét ko thấy là đương nhiên.Ai muốn tìm hiểu về nó thì hãy cut(move) nó(trong thư mục startup sang chỗ khác rồi vào windows mà coi lại),Nó chỉ là 1 shotcut command thôi.
nếu bạn nào ko làm được thì pm mình giúp

mình đã thử cách này rồi vẫn không ổn
bạn thử vào đây nghiên cứu xem,mình mới tìm ra cách này khá hay nhưng không có CD boot nào sửa hệ thống registry ngoài dos cả
vào đây đọc nha toàn tiếng anh không http://windowsxp.mvps.org/peboot.htm
bạn nào có đĩa multiBoot thì pm cho mình,Thanks! để mình thử chiêu này hehe...

[phuchoang]

Tui đã bị 2 lần như thế này rồi. Thực ra tình trạng này là do bạn cài Bkav trên máy, khi quét bạn chọn chế độ "diệt không cần hỏi", khi Bkav quét nó sẻ vô tình xóa mất đi các file hệ thống nên mới có trường hợp trên. Cách duy nhất để hồi phục là bạn Repair lại Win thôi. Rút kinh nghiệm các máy khác bạn nên gỡ bỏ Bkav, nên cái AVG Free mà dùng, cái này tui thấy tốt và hiệu quả lắm

[Sadowking]

Hic hic tuần rồi máy mình cũng bị như thế :)) mà may qua sửa đc rồi :)
+ đầu tiên mình cho đĩa mềm LHT bản mới nhất vào máy dùng DOS diệt tất cả virus và Trojan keylogger
+ sau đó thấy máy báo ko có gì mình cho đĩa win vào và Repair lại
+ sau khi repair máy chạy laị bình thường mình cho điã LHT vào lại vài scan lại toàn bộ máy cuối cùng diệt được 3 con 1 con keylogger Pro 2 con kia là virus gì đó mình ko nhớ tên và 1 con virus có tên ctfmon.exe
Nguên nhân là do con Keylogger Pro mà bạn vô tình đãm lấy từ Internet về đó sau việc này mình đã phải đóng bẵng máy lại cho chắc ăn dù biết mình chẳng mở Net bậy bạ nhưng mà vẫn dính hic hic

[royal1402]

repair lại win thì nói làm gì,gót lấy data ra rùi cài lại cho xong , có cao thủ nào ko cần repair và cài lại win mà vẫn vào được win ko(post lên đây mình wa rủ uống cafe)

[ghihoadon]

Mình phải bỏ công tạo Acronic true image cho khoảng 50 máy (có gì restore lại cho dễ), nói chung là pan này vẫn chưa có cách fix triệt để . Có bạn ở trên nói là do conflict với bkav mình khẳng định là không có cài Bkav.
Chúc các bạn vui, công tác tốt.
---- SỚM TÌM ĐƯỢC CÁCH FIX LỖI NÀY -------

[Sadowking]

theo mình đc biết thì do máy bạn vô tình nhiễm keylogger Pro nên tốtt nhất nên repair :)
Repair xong thì máy nó sẽ lên lại thôi rồi khi đó dùng các chương trình diệt virus diệt là nó hết thôi
Nếu ai còn cách nào hay hơn thì post lên cho mọi người tham khảo riêng mình mình làm như vậy

[ghihoadon]

Hôm nay 31/3/2007
Thêm 1 máy nữa bị, máy laptop của sếp mới chết chứ (dell 610)máy này không có nối mạng nội bộ, không internet, chĩ chép file bằng usb thôi. Tối hôm trước còn sử dụng bình thừong mà sáng nay bị bịnh luôn rồi, vậy là phải bỏ công ra setup win . Chẳng lẽ không có cách nào fix lỗi này sao.
Mong tin

[vudung0608]

Hic hic tuần rồi máy mình cũng bị như thế :)) mà may qua sửa đc rồi :)
+ đầu tiên mình cho đĩa mềm LHT bản mới nhất vào máy dùng DOS diệt tất cả virus và Trojan keylogger
+ sau đó thấy máy báo ko có gì mình cho đĩa win vào và Repair lại
+ sau khi repair máy chạy laị bình thường mình cho điã LHT vào lại vài scan lại toàn bộ máy cuối cùng diệt được 3 con 1 con keylogger Pro 2 con kia là virus gì đó mình ko nhớ tên và 1 con virus có tên ctfmon.exe
Nguên nhân là do con Keylogger Pro mà bạn vô tình đãm lấy từ Internet về đó sau việc này mình đã phải đóng bẵng máy lại cho chắc ăn dù biết mình chẳng mở Net bậy bạ nhưng mà vẫn dính hic hic

cái file ctfmon.exe trong system32 ah, nó cũng là virus hả bạn? Máy mình cũng có, nhưng mình chưa thấy nó tác động gì cả, nên hiện tại cứ để cho nó sống vô tư, khi nào nó "gây tội" thì lúc đấy giải quyết sau. :D

[buidanhthuy]

ctfmon.exe có phải là virus đâu các bro.Nó là 1 thành phần của mso đó chứ.Nhưng nó phải ở trong system32 thì mới ok nếu ko thì phải cẩn thận.
Bác ra ngoài hàng mua cái đĩa xp chạy trên ổ cdrom xem nào.
Dùng mấy phần mềm hijackthis kiểm tra có j lạ ko.Cả process viewer nữa.

[luclam]

Có phải ý bạn nói là repair lại kiểu như cài repair lại win lâu bà cố chứ gì.
Nếu khởi động lên không được đầu tiên hãy khởi động lại, nhấn F8 và chọn cái dòng LAST KNOWN RECENT BOOT....gì đó nếu vẫn không vào được hãy tiến hành làm như sau: Bạn đưa đĩa WinXP vào, khởi động lại cho boot từ CD-R. Sau đó đợi cho quá trình twj động của đĩa WinXp chạy khoảng 2-3 phút, đến lúc nó bảo repair bạn cứ chọn repair. Một màn hình dos hiện ra:
C:>Windows. lúc này bạn gõ thêm vào: cd system32 và enter. Bây giờ hãy gõ vào: HELP nó hiện ra một loạt các lệnh trên màn hình, bạn hãy chú ý đến các lẹnh có chữ BOOT. Bạn hãy gõ lệnh LOGON, nó hiện ra có muốn tái tạo lại không hãy chọn Y.
Tiếp theo hãy gõ tất cả các lệnh BOOT từng lệnh một và cứ chọn Y. Bây giờ thì khởi động lại vào WIN OK rồi đấy. Tất cả c chưa đến 10 phút.
Có rủ đi uống cà phê không đó đại ca...Hiiiiiii!

[AcademyB]

Chào các bạn
Công ty mình mấy bữa nay có vài máy bị tình trạng là :
Khởi động WIN XP đến màn hình user click vào để nhập PASSWORD
Nhưng khi nhập vào rồi thì chừng 5 giây sau tự động log off
Mình đã thử giải quyết bằng cách

1. Log in bằng account admin
2. Dùngn hiren boot clear PW
3. Chạy trong SAFE MODE

Nhưng cũng không được

BÓ TAY Đành phải gost lại

Mong tin hỗ trợ của các bạn

Nếu do virus tự động logoff thì triệu chứng phải là vào được màn hình window rồi mới out. Trường hợp của bác có thể là trong 1 phút "bồng bột" táy máy nghịch Registry, bác(hay ai đó) đã xóa béng cái key userinit đi rồi. Xử lý trường hợp này bắt buộc phải có máy nằm trong mạng Lan, dùng máy khác vào Run > Regedit: Trong giao diện Registry Editor click File > Connect Network Reistry... > chọn máy bị lỗi và sửa hoặc add lại key userinit.

Chúc bác thành công :lick:

[doanhungit]

Bị lỗi file Explorer.exe thì phải, bạn kiểm tra lại xem. Dùng Hiren's boot khởi động windows 98 từ ram rồi vào Scan xem sao.

[anhquocbuon]

Mình nhớ lần trước đã có một bài viết về trường hợp này. Ai đó có thể search lại nào. Chỉ cần sửa lại một đoạn regedit thôi.

[anhquocbuon]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
C:\WINDOWS\system32\userinit.exe


CAUSE
Wsaupdater.exe is spyware that changes Userinit.exe, to Wsaupdater.exe in the registry.
Ad-Aware by Lavasoft removes the Wsaupdater.exe file from the computer,
but it cannot change the registry subkey back to Userinit.exe,.
The registry subkey that is changed is
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Value: Userinit
Data: %Windir%\System32\Wsaupdater.exe

Note %windir% represents the location of the System32 folder. For example,
if the location is C:\Windows\System32, the data would be C:\Windows\System32\Wsaupdater.exe.

The data should contain Userinit.exe, instead of Wsaupdater.exe. In the previous example,
the data would be C:\Windows\System32\Userinit.exe,.

[maradona]

Hihi, hôm nọ sang nhà thằng bạn xử lý vụ này rồi. Ku cậu dính con Virut (không phải viết sai chính ta đâu nhá), dùng KIS quét rồi đi luôn cả máy. Login là logout luôn.

=> Đừng dùng KIS trong những trường hợp virus khó =))

[moonflower]

Sad but true. KIS diệt mấy con vớ vẩn thì giỏi, diệt lây file là toàn cắm đầu xóa file của win. Sợ khiếp luôn. Tốt nhất là đừng cài Antivirus :)

[luckyluke113]

virus nó thịt mấy cái userinit.exe trong C:\Windows\System32\ rồi .Lấy cái disc Win chép lại vào C:\Windows\System32\ rồi vào registry mà sửa lại cái đường dẫn (vào bằng cách nào thì tự nghiên cứu nhé !!!!!). Nói chung là vào đây xem cho rồi vì có bác trong ddth hướng dẫn kỹ lắm rồi :
http://www.ddth.com/showthread.php?t=155038&page=2

Good Luck !!!

[MotNguoiYeuNuoc]

Đúng là gần đây các antivirus thường xuyên "thịt" các file hệ thống, trường hợp này là 1 ví dụ.

[tranth86]

repair cho nó gọn, nhỡ virus chỉnh khóa registry userinit thành C:\windows\system32\********.exe, hay là c:\windows\*******.exe thì biết đường đâu để mà copy và rename lại file userinit.exe thế vào chỗ file ********.exe do virus tạo. (bước này để logon vào được win hay safe mode để sửa lại cái khóa registry cho đúng với mặc định của win.

các bạn nên chỉ rõ ràng chứ nói chung chung, úp úp mở mở thì nhiều khi người ta không biết máy móc làm theo lại khổ. (điển hình là tui từng là một noob sau bao lần lận đận cũng rút tỉa được chút kinh nghiệm).

mình chỉ nói lên ý kiến thôi xin lỗi nếu có đụng chạm ai nha. ^ ^

[canonlaser]

Thì ra là file userinit.exe đã bị chỉnh sữa trí phép ah. Hay thật.
Chỉ cần nhập lại cho đúng key là thôi phải không bạn.
The registry subkey that is changed is
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Value: Userinit
Data: %Windir%\System32\Wsaupdater.exe

Note %windir% represents the location of the System32 folder. For example,
if the location is C:\Windows\System32, the data would be C:\Windows\System32\Wsaupdater.exe.

[Huy Quang]

Minh dung internet binh thuong minh cài phần mêm symantec dẻ diệt va chông vius thi minh truy cập vao web nao may cung van chạy tot đến khi minh go no ra cai kapersky vao la bi sự cố minh dành phai ghost lại ghó lai cung ko dc bo tay cuoi cung mainh quyet đinh cai lai win roi lai cai symantec tư day dên giơ may vãn chay tốt chang saio cả

[nnduyanh]

repair lại win thì nói làm gì,gót lấy data ra rùi cài lại cho xong , có cao thủ nào ko cần repair và cài lại win mà vẫn vào được win ko(post lên đây mình wa rủ uống cafe)

Virus này lây nhiểm vào userinit.exe trong windows/system32/
bạn boot =LHT rồi vc vào xóa file đó đi, copy lại file đó từ dllcache trong windows vào lại system32 roi khởi động lại !
Nếu bạn bị dính virus tên là mixa_.exe thì copy userinit.exe thành systemio.exe ( trước đó KAV fát hiện ra systemio.exe là virus nên đã diệt) --> nên dẫn đến tình trạng máy bạn login vào là logout ra.
vì khi login windows được virus patch cho hiểu là fải load systemio.exe thay cho userinit.exe (userinit.exe là file luôn load để check khi star vào comp).

[dangquocvuong]

vius logoff khi máy bị nhiễm thì bạn gỡ ổ cứng ra dem qua máy khác "sạch" dùng Antivir quet qua một cái la xong. quét xong tạo ủe mới là Ok. chúc bạn thành công

[xmentphcm]

Đó là con Misa
Cách diệt: Do con virus không cho vào Windows nữa nên chúng ta cần dùng đến đĩa CD
-Dùng đĩa Hiren’s Boot :sử dụng DOS có hỗ trợ NTFS (nếu ổ đĩa của bạn chia theo định dạng này)
+ Xóa tất cả các file autorun.inf, Mixa_I.exe trong tất cả các ổ đĩa
+ Xóa C:\Windows\Mixa.exe
+ Xóa C:\Windows\System32\systemio.exe
+ Copy C:\Windows\System32\Userinit.exe sang ổ D:\Userinit.exe
+ Đổi tên D:\Userinit.exe thành D:\systemio.exe
+ Move D:\systemio.exe sang C:\Windows\System32\
-Khởi động Windows: lúc này bạn đã có thể log on vào windows đc rồi đấy!
Bài này sưu tầm

[xuantruong0507]

Trường hợp của mình cũng bị vậy, lúc trước dùng McAfee thì nó báo là máy bị virus New majware.J (ko bít đúng ko tại ko nhớ rõ) trong file windown/system32/system32.exe nhưng mà không xóa được. Sợ quá cài AVG vào thì nó xóa luôn file system32.exe đồng thời detect cái file userinit.exe (gì đó ko có nhớ rõ). Bây giờ máy chỉ hiện ra màn hình logon chứ không thể login vào được. Giờ phải sửa làm sao đây, nhiều dữ liệu trong đó quá.

[hungvq7888]

Tôi cài AVG vào máy thằng bạn nhà gần bên cũng bị tương tự log off
thế mới khổ thân tôi cơ chứ giờ tôi vẫn chưa tìm ra cách. Mong các bác chỉ giáo cho tui với

[se7enlove_3w]

Mấy bác làm gì mệt thế, cách tốt nhất là nên kiếm cái "Mini PE" sau đó khởi động lại máy cho vào khi đó mình sẽ xâm nhâp vào regedit của Win mình khi đó sẽ sửa xong thôi. Còn chi tiết làm như thees nào thì gôgle ro "may tu dong log of sau khi quet virut" sẽ có hàng đống