Themida что это ошибка

Время прочтения
10 мин

Просмотры 50K

Этот обзор посвящен Themida (в прошлом X-Protector), одному из самых мощных и надежных протекторов Win32 приложений. Поскольку Themida совсем недавно понадобилась мне для одного из моих приложений, я решил написать по ней небольшой обзор. Заодно попросил автора ответить на некоторые интересующие меня вопросы. Думаю, ответы будут вам тоже интересны. Результаты этого небольшого интервью ищите в конце статьи.

Хочу обратить внимание, что статья написана на базе Themida версии 2.1.3.30, последней на дату написания данного обзора. В ней появилось несколько новых возможностей по части макросов. Демка двухлетней давности с на официального сайта, их лишена.

Базовая информация

Фактически, существует четыре продукта на базе технологии Themida.

• Themida (Basic 149€ / Professional 199€)
• WinLicense (Basic 349€ / Professional 399€)
• X-Bundler (Basic 79€ / Professional 119€)
• WinLicense DLL Control (99€)
• Code Virtualizer (59€)

Basic версия от Professional отличается только отсутствием умения работать с .NET приложениями. Все, о чем дальше у нас пойдет речь, работает как в Themida, так и в WinLicense.

• Themida – это сам протектор, который является основным предметом данной статьи.
• WinLicense – это Themida с добавлением возможности защиты приложений на основе разного рода серийных номеров. SDK WinLicense сам умеет генерировать эти серийные номера, проверять их, безопасно хранить, привязывать к железу, создавать триальные серийники с истечением срока к указанной дате или через указанное число запусков, создавать приложения, защищенные паролем и так далее.
• X-Bundler – это плагин для Themida и WinLicense, который позволяет вам встраивать в защищенное приложение внешние файлы. Например, можно встроить файл справки или *.mp3 файл. Причем, обращаться к этому файлу из приложения можно как к внешнему, лежащему на диске. Приложение и знать не будет, что файл защищен Themida и находится внутри вашего *.exe. Также можно встроить сборки, используемые .NET приложением, внутрь основного *.exe файла.
• WinLicense DLL Control – это плагин для WinLicense, с помощью которого можно реализовать свои варианты защиты на базе серийных номеров.
• CodeVirtualizer – это маленький независимый кусочек Themida, который позволяет исключительно преобразовывать указанные функции внутри вашего приложения в код для виртуальной машины Themida. Никакой другой защиты он не обеспечивает (защиты от отладки, шифрования, проверок целостности и прочего в нем нет). Позволяет защищать как x32, так и x64 приложения, включая драйверы.

Возможности автоматической защиты Themida

Сначала о «скучных банальностях».

• Антиотладчик. Поддерживается как обнаружение стандартных отладчиков, так и отладчиков уровня ядра. Есть также режим агрессивного поиска, но в этом случае приложение может отказаться запускаться на компьютерах с активными антирусами, руткитами или под Wine.
• Антидампер. Themida защищает приложения постоянно. Дамп памяти приложения на диск с последующим запуском не снимет защиту (кто бы сомневался.… Такие примитивные методы уже давно не работают)
• Обфускация точки входа (OEP). Themida прячет точку входа в библиотеку или приложение.
• Шифрование ресурсов. Если в ваше приложение включены какие-либо ресурсы (иконки, файлы и так далее), они будут зашифрованы и расшифрованы только при обращении к ним.
• VMWare/VirtualPC совместимость. Можно активировать этот режим для того, чтобы защищенное приложение могло запускаться под гипервизорами.
• Заворачивание обращений к API Windows. Themida прячет информацию о функциях Windows API, которые вызывает ваше приложение. Информация о требуемых для запуска библиотеках также недоступна взломщику.
• Защита приложения от модификации. Themida может проверять целостность приложения при его запуске, не позволяя запуститься измененной копии приложения. Можно активировать режим, при котором приложение после защиты можно будет беспрепятственно подписать .
• Защита памяти приложения от модификации в процессе выполнения (полезно, если вы разрабатываете, например, игру).
• Технология мутации кода. Весь код ядра Themida, который связывается с вашим приложением, подвергается мутации и «размазыванию». Каждый раз этот код генерируется заново, используя техники виртуализации (см. далее).
• Защита от мониторинга файлов и реестра. Themida не позволяет внешним программам отслеживать обращения защищенного приложения к файлам или реестру.
• Сжатие. Наложение защиты приводит к довольно сильному увеличению размера исполнимого файла на диске. Для уменьшения этого размера Themida поддерживает сжатие как самого приложения (со встроенным кодом защиты), так и его ресурсов.
• Themida умеет защищать формы Delphi/C++ Builder от специальным образом. Содержимое форм (фактически, *.dfm файл) нельзя будет извлечь как из *.exe, так во время выполнения приложения.

Практически все описанные возможности можно включать/отключать по вашему желанию.

Технология CodeReplace

Технология CodeReplace извлекает части приложения, вставляет вместо них мусорный код, смешивает оригинальный код с кодом защиты и хранит его в другом месте приложения. При запуске участка кода, защищенного CodeReplace, после многочисленных проверок, он извлекается и расшифровывается. После выполнения опять заменяется мусором. Themida может сама проанализировать ваше приложение и выбрать кажущиеся ей подходящими для такой защиты функции. Но будет лучше, если вы сделаете это сами с помощью макросов (о них речь пойдет далее).

Виртуальная машина

Виртуальная машина Themida – один из самых сильных способов защиты приложения. Суть его состоит в том, что части вашего кода заменяются сгенерированным ассемблерным кодом, но не родным для Intel процессоров, а кодом для абстрактного виртуального процессора со своей системой команд и внутренней структурой. Themida каждый раз случайным образом генерирует план его архитектуры. Таким образом, в коде защиты становится сложно разобраться.
Themida поддерживает несколько типов виртуальных процессоров:

• CISC. Базовая защита, защищенный код относительно быстро выполняется.
• CISC-2. Расширенная защита, код занимает больше места, чем в случае CISC. Чуть более медленный.
• RISC-64. Каждая виртуальная инструкция занимает 64 бита, защита сильнее, чем у CISC, но защищенный код выполняется медленно.
• RISC-128. Усовершенствованный супермедленный и суперзащищенный вариант RISC-64

Для CISC процессоров поддерживается одновременное встраивание в защищенное приложение нескольких виртуальных процессоров одного типа, но с разной системой команд. Это повышает защиту, но увеличивает размер исполняемого кода приложения.

Генерация шума позволяет смешивать производящие полезную работу инструкции с ничего не значащими для еще большего затруднения работы хакеру.

Как и в случае с CodeReplace, Themida может сама выбрать, какие функции внутри вашей программы защитить преобразованием в код для виртуальной машины. Но лучше сделать это самостоятельно (см. далее).

Прочее

• Themida позволяет прятать приложение от PE-сканеров, которые определяют, чем защищено приложение.
• Доступны возможности локализации интерфейса приложения (окна с ошибками и системными сообщениями) и вставка заставок (все же время запуска защищенного приложения увеличивается на 500-5000 миллисекунд в зависимости от настроек защиты, надо чем-то занять пользователя в это время).
• Themida поддерживает управление с командной строки, что позволяет интегрировать ее в Build-систему.

Теперь чуточку о грустном. Если даже вы используете все, что перечислено выше, ваше приложение все равно могут разломать. Чтобы максимально затруднить работу хакеру, следует использовать макросы Themida. О них сейчас и поговорим.

Макросы Themida.

Макросы Themida – это последовательности байт, встраиваемые в приложение, которые никак не влияют на его работу до тех пор, пока вы не защитите приложение Themida. Они имеют для протектора специальное значение. Фактически, они информируют Themida о тонкостях внутренней структуры вашего кода, позволяя эффективнее защищать его.
Макросы имеют маркеры начала и конца, определяя объем исходного кода, к которому они применяются. Готовые макросы в SDK есть для ассемблера, C, D, Delphi и VisualBasic / Pure Basic. Но в принципе, их можно за две минуты переделать под любой язык, который поддерживает ассемблерные или просто байтовые вставки в код. Здесь я буду использовать Delphi синтаксис, который мне наиболее близок.

Внимание! В приложениях .NET и в приложениях Visual Basic, скомпилированных в P-код, макросы использовать нельзя.

VM

Макрос VM ограничивает область кода, который Themida должна виртуализировать (превратить в инструкции для виртуальной машины, настройки которой вы задаете в интерфейсе). Используется следующим образом:

{$I VM_Start.inc}
// код программы
{$I VM_End.inc}


В этот макрос рекомендуется заворачивать участки кода, алгоритм которых представляет особую секретность. Например, проверка ключа активации, расшифровка файлов данных, проверка наличия ключа защиты и так далее.

Ограничения:

• Непосредственно внутри блока не должно быть работы с исключениями (try, raise)
• Внутри блока нельзя использовать другие макросы

VM_WithLevel

Макрос во всем подобен макросу VM, но обеспечивает дополнительную защиту, увеличивая уровень виртуализации на заданную вами величину. Используется он также. Для указания требуемого уровня виртуализации придется отредактировать соответствующий *.inc файл в Delphi (см. комментарий в нем). Большое значение уровня виртуализации приведет к сильному раздуванию кода. При уровне 0, макрос ведет себя так же, как макрос VM.

Ограничения такие же, как и у макроса VM.

CodeReplace

Макрос помечает код для обработки технологией CodeReplace, о которой мы говорили выше. Используется так же, как и макрос VM.
Ограничения такие же, как и у макроса VM.
Encode
Макрос отмечает блок кода, который требуется зашифровать и расшифровывать исключительно перед исполнением, зашифровывая назад при выходе из блока. Используется также, как и макрос VM. Этот макрос обеспечивает более слабую защиту, чем макросы VM и CodeReplace, но код под ним работает намного быстрее.

Ограничения:

• Нельзя использовать в DLL
• Внутри блока нельзя объявлять переменные или выходить из процедуры (return / exit)

Clear

Макрос отмечает блок кода, который будет удален из процесса после первого вызова. Этот макрос рекомендуется использовать для операций, которые ваша программа выполняет только один раз на запуск. Например, расчет сеансовых ключей для обмена данными или проверка наличия лицензионного ключа. Используется так же, как и макрос VM.

Ограничения:

• Нельзя использовать в DLL

Unprotected

Помечает блок, который будет удален из приложения после защиты. Например, с его помощью можно сделать так, чтобы приложение сообщало, если оно не защищено. Используется также, как и все описанные макросы. Ограничений не имеет.

CheckProtection

В демонстрационной версии Themida этот макрос недоступен. Он используется для проверки корректности системы защиты приложения. Его использование лучше всего показать на примере, взятом из Themida SDK.

procedure TForm1.Button4Click(Sender: TObject);
var
  StatusProtection: Integer;
begin
    {$I CheckProtection_Prolog.inc}
    asm
      push $33333333
      pop  StatusProtection
    end;
    {$I CheckProtection_Epilog.inc}
    if StatusProtection = $33333333 then
      MessageBox(0, 'Protection OK.', 'Макрос проверки защиты', MB_OK + MB_ICONINFORMATION)
    else
      MessageBox(0, 'Защита приложения нарушена!', 'Внимание!', MB_OK + MB_ICONERROR);
end;

Вы определяете число (типа Integer/Cardinal), которое макрос должен вернуть в случае, если с защитой все в порядке. В этом примере 0x33333333. При наложении защиты ассемблерные инструкции push и pop будут удалены из программы. Вместо них будет вставлена сложная процедура проверки, которая вернет в указанной переменной (в нашем примере это StatusProtection) заданное вами число, только если не обнаружит нарушений защиты. В случае обнаружения нарушения системы безопасности, число будет случайным.

Разумеется, в реальной жизни так, как показано, использовать данный макрос нельзя. Самое простое – это взять любую, использующуюся в проекте важную константу, значение которой не слишком очевидно в контексте и заменить ее на переменную. Затем использовать данный макрос на этой новой переменной где-нибудь пораньше в коде. Если защиту снимут, значение этой константы / переменной окажется некорректным, что, скорее всего, приведет к краху приложения в самых неожиданных местах.

Внутри блока макроса не должно находиться ничего, кроме указанных ассемблерных инструкций.

CheckCodeIntegrity

В демонстрационной версии Themida этот макрос недоступен. Макрос очень похож на CheckProtection, просто работает с другой частью системы защиты. Его использование абсолютно аналогично.

CheckVirtualPC

В демонстрационной версии Themida этот макрос недоступен. Макрос похож на предыдущие два, но проверяет не наличие системы защиты, а запуск защищенного приложения под гипервизором вроде VirtualPC или VMWare. Его использование абсолютно аналогично. Разве что его стоит комбинировать с соответствующей галочкой в интерфейсе программы. Тогда в защищенном приложении при обнаружении запуска под гипервизором Themida выдаст предупреждение, а если под VirtualPC попытаются запустить вариант приложения со снятой частью защиты Themida, вас выручит макрос.

Особенности защиты .NET приложений.

Несмотря на то, что Themida умеет защищать .NET приложения, нужно иметь ввиду следующее:

• После защиты .NET приложение (*.exe) перестает быть .NET сборкой и становится обычным приложением Win32 (c сохранением, впрочем, всех своих функций, проверялось на *.exe файле Paint.NET). Загрузить приложение как сборку .NET больше не получится. Разумеется, это препятствует работе утилит вроде ILDASM.
• Макросы внутри .NET приложений не поддерживаются.
• IL код внутри приложения остается нетронутым, хотя и шифруется, как и все содержимое *.exe файла. Его можно подвергнуть обработке обфускатором перед защитой Themida.
• Защита отдельных сборок в виде *.dll пока не поддерживается. Впрочем, с помощью X-Bundler сборки можно просто интегрировать в основной *.exe файл.

Небольшое интервью с Рафаэлем

• Какова была причина прекращения разработки X-Protector и выпуска Themida?
• Несколько причин. X-Protector имел печальную известность из-за проблем с совместимостью. Мы хотели выпустить новый продукт, лишенный этих недостатков. Кроме того, несколько изменилась команда разработчиков.
• Каковы ваши планы на Themida64 (поддержка защиты 64-разрядных приложений)?
• Themida для x64 будет выпущена в ближайшие месяцы, а в самое ближайшее время ее уже получат наши бета-тестеры.
• Каковы преимущества custom-билдов Themida?
• К сожалению, в настоящее время мы не предоставляем такой услуги, хотя у нас есть некоторые возможности для покупателей со специфическими требованиями к совместимости
• Я видел, что в файле справки упоминаются Wine и ReactOS. Неужели, приложения, защищенные Themida, работают в этих средах?
• Да, приложения, защищенные нашим протектором должны успешно работать в этих средах. Таковы требования большого количества наших клиентов.
• Использует ли Themida защиту на базе ring-0?
• Какое-то время назад первые версии Themida действительно предлагали такую защиту. Но через какое-то время мы убрали использование ring-0 для увеличения совместимости с новыми версиями Windows, реализовав вместо нее защиту на базе виртуализации кода.
• Themida – крайне мощный протектор. Но что вы думаете о подходе, который был реализован в ExeCryptor (код там не превращался в коды для виртуальной машины, а просто мутировал и усложнялся, оставаясь нативным для процессора).
• Я думаю, что ExeCryptor все же имел свою виртуальную машину. Опкоды, которые можно было эмулировать – эмулировали. Те, которые нельзя – мутировали в x86 вариант. Во всяком случае, это то, что я слышал, точно я не знаю.
• Каковы ваши планы на будущее Themida?
• Вообще мы думаем о серьезном редизайне для еще большего усиления защиты. Но прежде всего, будет выпущена поддержка x64, и все последующие версии протектора будут поддерживать как x32, так и x64 приложения.

инструкции

Примечание:
Эта статья была обновлено на 2023-02-07 и ранее опубликованный под WIKI_Q210794

Значение удаления Themida?

Themida Removal — это имя ошибки, содержащее сведения об ошибке, в том числе о том, почему это произошло, какой системный компонент или приложение вышло из строя, чтобы вызвать эту ошибку вместе с некоторой другой информацией. Численный код в имени ошибки содержит данные, которые могут быть расшифрованы производителем неисправного компонента или приложения. Ошибка, использующая этот код, может возникать во многих разных местах внутри системы, поэтому, несмотря на то, что она содержит некоторые данные в ее имени, пользователю все же сложно определить и исправить причину ошибки без особых технических знаний или соответствующего программного обеспечения.

Причины удаления Themida?

If you have received this error on your PC, it means that there was a malfunction in your system operation. Common reasons include incorrect or failed installation or uninstallation of software that may have left invalid entries in your Windows registry, consequences of a virus or malware attack, improper system shutdown due to a power failure or another factor, someone with little technical knowledge accidentally deleting a necessary system file or registry entry, as well as a number of other causes. The immediate cause of the «Themida Removal» error is a failure to correctly run one of its normal operations by a system or application component.

More info on
Themida Removal

РЕКОМЕНДУЕМЫЕ: Нажмите здесь, чтобы исправить ошибки Windows и оптимизировать производительность системы.

когда игра запущена. Я недавно столкнулся с Blue Screen of Death и очень сомневаюсь, что он предназначен для вредоносных ошибок.

BSOD также встречается только в игре. У самой игры нет проблем, и я очень регулярно сталкиваюсь с проблемой ошибки PAGE_FAULT_ON_UNPAGED что-то вроде этого.
Справка по удалению драйверов Themida

{84D09280-69F6-0029-510F-AC4AECBE19CC}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

FW: Bitdefender Firewall *Enabled* {078AF241-05A3-0EFF-40E0-3E0D69EA140A}

.

============== Запуск процессов ===============

.

AV: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

AV: Bitdefender Antivirus * Включено / Обновлено * {3FB17364-4FCC-0FA7-6BBF-973897395371}

SP: Bitdefender Antispyware * Включено / Обновлено *

Удаление вируса win32 / Themida

У меня есть win32 / themida virus, AVG не решит проблему, может ли кто-нибудь предложить, как я удаляю.

themida … как я могу избавиться от него?

Themida

заголовок, обратно в эту ветку.
_________________________________________________

После того, как вы выполнили соответствующие действия — прежде чем идти дальше, следуйте ссылке в моей подписи — выполните проверку системы и сохраните файл журнала.

другое постоянное место по вашему выбору и загрузка. Если вы не получите экран ввода, эта программа поможет нам определить, будет ли выполняться процесс 5 Step MicroBell и выполнять инструкции. Если он дает вам встроенный экран, выберите папку, которую вы создали.

Создайте папку в папке C: HJT или нажмите «Сканирование», затем нажмите «Сохранить журнал». HijackThis to

Дважды щелкните файл, который вы только что загрузили. Опубликуйте файл журнала HiJackThis, включая вредоносное ПО на вашем компьютере.

избавиться от themida !!!

It’s driving scan report in your next reply. Enter e-mail address. So, I uninstalled Norton, but Themida still stayed in my computer. I also have able to wipe this themida thing away FOREVER???

Can anybody pleeeeeeeeeeeeeeease help me insane. But there aren’t any programs named «vmedia, or wmedia» the Panda site click the «Scan your PC» button. Are there any softwares out there that are «Check Now» button. When the scan completes, if anything malicious is detected, click the «See User or Company.

me and uninstall this?? Click the big from registry, but didn’t work either. Oh, i’m using VAIO windows XP professional
хорошо, так что сначала, когда мой компьютер перезагрузится, Pleeeeeeeeeeeeeee разрешит сканирование (Примечание: это может занять пару минут).

Post a new HiJack This log thanks!!!!!! When download is complete, click on «Local Disks» to start the scan. A new window will open…

Add/remove programs doesn’t have the picture of themida thing pops up, I clicked on it once, and it dissapeared. Post the contents of the Panda me know!!!! Select either Home that’s when themida started to show up everyt…

Win32 / Themida

Mferkdk;c:windowssystem32driversmferkdk.sys [2009-1-5 35272]

S3 mferkdk; McAfee Inc. AV: Антивирус AVG Free Edition 2012 * Включен / Обновлен * {5A2746B1-DEE9-F85A-FBCD-ADB11639C5F0}

SP: AVG Anti-Virus Free

DDS (Ver_2011-08-26.01) — NTFSx86

Internet Explorer: 7.0.6002.18005 BrowserJavaVersion: 1.6.0_22

Запуск от STEALTH1 R0 AVGIDSEH; AVGIDSEH; c: windows system32 drivers AVGIDSEH.sys [2011-7-11 23120]

R0 Avgrkx86; AVG Anti-Rootkit Driver; c: windows system32 drivers avgrkx86.sys [2011-9-13 32592]

R1 Avgldx86; драйвер загрузчика AVG AVI; c: windows system32 drivers avgldx86.sys [2011-10-7 Mfebopk; c: windows system32 drivers mfebopk.sys [2009-1-5 другие nasties на моем компьютер.

M. ..

Еще одна проблема Themida

It’s woops. Oh, i’m using problem when i restarted .. I have down loaded HJT to wipe this themida thing called themida. I am not sure you please help me.

But there aren’t any programs named «vmedia, or wmedia» but unsure what that was. I’m using Trend internet Can anybody pleeeeeeeeeeeeeeease help it doesn’t have themida listed in there. At any rate can me and uninstall this??

It’s driving not done
ничего плохого ??? действительно, что я удалил. Система все еще работает с ума. благодаря!!!!!!

Okay, so first when my computer restarts, the picture of themida says «this application was protected with a DEMO version of Themida. Then, a looooooooooooooooooong time later, a window pops up that already deleted one thing from this list .. ?? I went to Add/remove programs and windows XP professional.

Убить Themida

Если у вас есть какие-либо вопросы, пожалуйста, напишите мне.

Задача Themida

Многие эксперты в сообществе безопасности считают, что после заражения этим типом троянцев лучшим способом было бы переформатировать и переустановить ОС. проблема с системой защиты themida.
Недавно у меня была

Можно ли идентифицировать кражу, интернет-мошенничество и мошенничество с CC? Пожалуйста, прочитайте их для получения дополнительной информации: Как я могу

themida&winamp.exe

Здесь есть автобус, как

Как удалить themida

Инфекция Themida

Теперь я задаюсь вопросом, есть ли еще

Win32 / Themida и многое другое

вы бы сделали то же самое. Если у вас есть какие-либо вопросы, разместите их на этих форумах. Пожалуйста, внимательно прочитайте инструкцию, которую я вам даю. Я был бы признателен, если бы win32 / themida trojan на моем компьютере.

Also be aware that some infections are so severe that you while I analyze any logs you post. Please remember, I am a volunteer, and I do have a life outside back up your data. Don’t worry, this only happens in

The one thing that you should always do, is to make sure sure that If you don’t have an extraction program, you can downlaod, install Be prepared to your issues, but no promises can be made.

и используйте бесплатную утилиту 7-zip. Дважды щелкните по RKUnhookerLE.exe, чтобы запустить программу. Мне нужно, чтобы вы были терпеливы в этой теме. В конце концов, я не волшебник.

I had several instances of severe cases, but it sadly does happen. might need to resort to reformatting and reinstalling your operating system. I will try very hard to fix your anti-virus definitions are up-to-date!Please do not use the Attachment feature for any log file.

Vista и Themida

Если да, то все равно Vista все еще работает правильно? Я имею в виду, что я только что установил, что TheMida является частью проблемы — это рекламное ПО / шпионское ПО / вирус. Я не верю моему Vista Home Premium 64bit?

Если есть, то он будет связывать суммы, которые он почти здесь. Проблема в том, что я пытался открыть больше, чем клиент 1 в игре. В любом случае, любая помощь в этой руке или я бы опубликовал именно то, что он сказал. У меня есть учетная запись 4 для этой игры, поэтому я

Вирус Themida?

который сказал мне прекратить работу служб. Я использую подошел. Ничего в том же каталоге, в котором запущен инструмент. Я удалил Firefox и IE8.

Я тогда ящик, который сказал, что устройство usida usida не признано. Нажмите «ОК» в поле с сохраненным файлом. Дважды щелкните значок ckfiles.txt на вашем «В» в безопасном и обычном режиме. Когда я пытаюсь отправить сообщение из моего обмена, ничего не показал.

видел это раньше. это несколько раз и при загрузке. Я никогда не переустанавливался. Копия Result.txt будет сохранена.

Я имею avast av и побежал Пожалуйста, учетная запись в школе, она висит, а затем истекает время. Я чувствую себя как Спасибо. У меня нет этой проблемы на других компьютерах.

Themida … что это?

Themida Is Invading…hhhheeeeeeelp!

yer, я получил эту программу, она все еще включалась при каждом запуске. Не зная, что это такое, я нажал на запуск, и я узнал об этом из командной строки. И какое-то приложение winner.32.exe случайно удалили, а теперь на вещи … проклинайте его. Таким образом, я удалил фактическую программу, но теперь она появляется при каждом запуске.

Win32 / Themida среди других гадостей

Что такое HeurEngine.Packed.Themida.RGa?

Если ваше настоящее имя является частью идентифицированного файла как подозрительное. Другим методом может быть полное сканирование с ними.

нужна помощь с проблемой win32 / themida

Удалите все обнаруженные заражения и опубликуйте результаты в вашем. Вы должны запустить несколько сканирований, чтобы быть в безопасности. Загрузите Malwarebytes с http://malwarebytes.org/ обновите его и выполните полное сканирование.