Remoção de vírus

[bs*]

Email Enviado...

Log ComboFix

Spoiler

ComboFix 09-09-22.03 - Bruno 23/09/2009 17:56.2.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.55.1046.18.990.657 [GMT -3:00]
Executando de: c:\documents and settings\Bruno\Desktop\ComboFix.exe
Comandos utilizados :: c:\documents and settings\Bruno\Desktop\CFScript.txt
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

FILE ::
"C:\ROOT.exe"
.

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\arquivos de programas\Yahoo!
C:\PenClean
c:\penclean\Leiame.txt
c:\penclean\PenClean.txt
C:\ROOT.exe
C:\SDFix
c:\sdfix\Add_DBFix_RunOnce_key.inf
c:\sdfix\apps\assosfix.reg
c:\sdfix\apps\Cghtme.exe
c:\sdfix\apps\cliptext.exe
c:\sdfix\apps\DBFix.inf
c:\sdfix\apps\download.exe
c:\sdfix\apps\dummy.sys
c:\sdfix\apps\Enable_Command_Prompt.inf
c:\sdfix\apps\Enable_Command_Prompt.reg
c:\sdfix\apps\ERDNT.E_E
c:\sdfix\apps\ERDNTDOS.LOC
c:\sdfix\apps\ERDNTWIN.LOC
c:\sdfix\apps\ERUNT.EXE
c:\sdfix\apps\ERUNT.LOC
c:\sdfix\apps\fix.reg
c:\sdfix\apps\FixBeep.reg
c:\sdfix\apps\FixBH.reg
c:\sdfix\apps\FixComponents.reg
c:\sdfix\apps\FIXCU.reg
c:\sdfix\apps\FIXLM.reg
c:\sdfix\apps\FixPath.exe
c:\sdfix\apps\FixRedir.reg
c:\sdfix\apps\FixSchedule.reg
c:\sdfix\apps\FixWebCheck.reg
c:\sdfix\apps\fixXP.reg
c:\sdfix\apps\FixXPsp2.reg
c:\sdfix\apps\grep.exe
c:\sdfix\apps\HaxdFix.reg
c:\sdfix\apps\HPFix.reg
c:\sdfix\apps\HPFix2.reg
c:\sdfix\apps\HPFix3.reg
c:\sdfix\apps\HPFix4.reg
c:\sdfix\apps\HPFix5.reg
c:\sdfix\apps\HPFix6.reg
c:\sdfix\apps\HPFix7.reg
c:\sdfix\apps\HPFix8.reg
c:\sdfix\apps\HPFix9.reg
c:\sdfix\apps\Installed.txt
c:\sdfix\apps\isadmin.exe
c:\sdfix\apps\leg2.txt
c:\sdfix\apps\legacy.txt
c:\sdfix\apps\legacybk.txt
c:\sdfix\apps\locate.com
c:\sdfix\apps\LS.exe
c:\sdfix\apps\MD5File.exe
c:\sdfix\apps\moveex.exe
c:\sdfix\apps\MyGcpvFix.reg
c:\sdfix\apps\MyGkFix2.reg
c:\sdfix\apps\Process.exe
c:\sdfix\apps\procs.exe
c:\sdfix\apps\psservice.exe
c:\sdfix\apps\Rem.txt
c:\sdfix\apps\Rem2.txt
c:\sdfix\apps\Replace\regedit.exe
c:\sdfix\apps\Replace\w2k\AUTOEXEC.NT
c:\sdfix\apps\Replace\w2k\beep.sys
c:\sdfix\apps\Replace\w2k\command.com
c:\sdfix\apps\Replace\w2k\command.PIF
c:\sdfix\apps\Replace\w2k\CONFIG.NT
c:\sdfix\apps\Replace\w2k\null.sys
c:\sdfix\apps\Replace\xp\AUTOEXEC.NT
c:\sdfix\apps\Replace\xp\beep.sys
c:\sdfix\apps\Replace\xp\command.com
c:\sdfix\apps\Replace\xp\command.PIF
c:\sdfix\apps\Replace\xp\CONFIG.NT
c:\sdfix\apps\Replace\xp\null.sys
c:\sdfix\apps\Reset_AppInit_DLLs.reg
c:\sdfix\apps\RestartIt!.exe
c:\sdfix\apps\Restore_SafeBoot_Windows2000.reg
c:\sdfix\apps\Restore_SafeBoot_WindowsXP.reg
c:\sdfix\apps\Restore_SafeBoot_WindowsXP_SP2.reg
c:\sdfix\apps\Restore_SafeBoot_WindowsXP_SP3.reg
c:\sdfix\apps\Restore_SecurityCenter.reg
c:\sdfix\apps\Restore_SharedAccess.reg
c:\sdfix\apps\sc.exe
c:\sdfix\apps\sed.exe
c:\sdfix\apps\SF.exe
c:\sdfix\apps\shutdown.exe
c:\sdfix\apps\srv2.txt
c:\sdfix\apps\srv2bk.txt
c:\sdfix\apps\svc.txt
c:\sdfix\apps\svcbk.txt
c:\sdfix\apps\Swreg.exe
c:\sdfix\apps\swsc.exe
c:\sdfix\apps\UnRAR.exe
c:\sdfix\apps\unzip.exe
c:\sdfix\apps\vfind.exe
c:\sdfix\apps\WINMSG.EXE
c:\sdfix\apps\winsec.reg
c:\sdfix\apps\zip.exe
c:\sdfix\backups\backupreg.zip
c:\sdfix\backups\catchme.log
c:\sdfix\backups\HOSTS
c:\sdfix\catchme.exe
c:\sdfix\DBFix.bat
c:\sdfix\dummy.sys
c:\sdfix\Report.txt
c:\sdfix\RunThis.bat
c:\sdfix\SDFIX_ReadMe_Online.url
c:\sdfix\W2K_VirusAlert_Repair.inf
c:\sdfix\XP_VirusAlert_Repair.inf

.
(((((((((((((((( Arquivos/Ficheiros criados de 2009-08-23 to 2009-09-23 ))))))))))))))))))))))))))))
.

2009-09-22 20:29 . 2009-09-22 20:29 579072 -c--a-w- c:\windows\system32\dllcache\user32.dll
2009-09-22 20:27 . 2009-09-22 20:27 -------- d-----w- c:\windows\ERUNT
2009-09-22 20:22 . 2009-09-23 19:39 -------- d-----w- c:\arquivos de programas\COMODO
2009-09-17 17:08 . 2009-09-23 18:50 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\dvdcss
2009-09-17 17:04 . 2009-09-23 18:50 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\vlc
2009-09-17 17:03 . 2009-09-17 17:03 -------- d-----w- c:\arquivos de programas\VideoLAN
2009-09-13 03:57 . 2009-09-13 03:57 -------- d-----w- c:\arquivos de programas\MIKSOFT
2009-09-03 01:18 . 2009-09-03 01:19 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\Notepad++
2009-09-03 01:18 . 2009-09-03 01:18 -------- d-----w- c:\arquivos de programas\Notepad++
2009-09-01 19:48 . 2009-09-01 19:48 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\Corel
2009-09-01 19:46 . 2009-09-01 19:46 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Protexis
2009-09-01 19:46 . 2009-09-01 19:46 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Corel
2009-09-01 19:43 . 2009-09-01 19:43 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Corel
2009-09-01 19:42 . 2009-09-01 19:42 -------- d-----w- c:\arquivos de programas\Corel
2009-08-31 18:00 . 2009-08-31 18:04 -------- d-----w- c:\windows\SHELLNEW
2009-08-31 17:58 . 2009-08-31 17:58 -------- d-----w- c:\arquivos de programas\Microsoft Synchronization Services
2009-08-31 17:57 . 2009-08-31 18:02 -------- d-----w- c:\documents and settings\All Users\Microsoft
2009-08-31 17:57 . 2009-08-31 17:57 -------- d-----w- c:\arquivos de programas\Microsoft Sync Framework
2009-08-31 17:57 . 2009-08-31 17:57 -------- d-----w- c:\arquivos de programas\Microsoft SQL Server Compact Edition
2009-08-31 17:54 . 2009-08-31 17:54 -------- d-----w- c:\arquivos de programas\Microsoft Visual Studio 8
2009-08-31 17:52 . 2009-08-31 17:52 -------- d-----w- c:\arquivos de programas\Microsoft Analysis Services

.
((((((((((((((((((((((((((((((((((((( Relatório Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-23 20:13 . 2009-03-26 18:16 -------- d-----w- c:\arquivos de programas\Java
2009-09-22 15:25 . 2009-08-29 18:46 2516 --sha-w- c:\documents and settings\All Users\Dados de aplicativos\KGyGaAvL.sys
2009-09-21 13:23 . 2009-07-30 17:38 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\Orbit
2009-09-20 02:09 . 2009-07-15 20:25 -------- d-----w- c:\arquivos de programas\iLuminaPO
2009-09-17 01:36 . 2001-10-28 18:07 79866 ----a-w- c:\windows\system32\perfc016.dat
2009-09-17 01:36 . 2001-10-28 18:07 471012 ----a-w- c:\windows\system32\perfh016.dat
2009-09-14 22:10 . 2009-03-16 17:41 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Microsoft Help
2009-09-10 21:03 . 2009-08-23 18:02 -------- d-----w- c:\arquivos de programas\Opera
2009-09-04 16:01 . 2009-03-17 03:23 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Adobe
2009-09-01 19:48 . 2009-08-29 18:46 88 --sh--r- c:\documents and settings\All Users\Dados de aplicativos\A8D0BBD4AC.sys
2009-08-31 17:59 . 2009-03-27 19:01 -------- d-----w- c:\arquivos de programas\MSBuild
2009-08-29 18:50 . 2009-04-22 16:16 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\uTorrent
2009-08-24 19:37 . 2009-05-21 18:24 -------- d-----w- c:\arquivos de programas\Winamp
2009-08-24 19:36 . 2009-05-21 18:24 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\Winamp
2009-08-18 15:15 . 2009-04-03 16:53 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\BSplayer Pro
2009-08-17 11:12 . 2009-08-15 13:06 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\Download Manager
2009-08-15 04:07 . 2009-07-30 17:38 -------- d-----w- c:\arquivos de programas\Orbitdownloader
2009-08-05 18:59 . 2009-07-20 15:47 55656 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-07-31 16:26 . 2009-03-27 19:10 -------- d---a-w- c:\documents and settings\All Users\Dados de aplicativos\TEMP
2009-07-30 17:38 . 2009-07-30 17:38 -------- d-----w- c:\documents and settings\Bruno\Dados de aplicativos\GrabPro
2009-06-29 02:55 . 2009-03-26 20:00 3082 ----a-w- c:\windows\system32\affv208325p1now.sys
2009-03-18 01:39 . 2009-03-18 01:39 2 ------w- c:\arquivos de programas\.windows-serial
.

((((((((((((((((((((((((((((( SnapShot@2009-09-23_20.01.45 )))))))))))))))))))))))))))))))))))))))))
.
- 2009-03-26 18:17 . 2009-03-26 18:17 148888 c:\windows\system32\javaws.exe
+ 2009-03-26 18:17 . 2009-03-26 18:17 148888 c:\windows\system32\javaws.exe
+ 2009-03-26 18:17 . 2009-03-26 18:17 144792 c:\windows\system32\javaw.exe
- 2009-03-26 18:17 . 2009-03-26 18:17 144792 c:\windows\system32\javaw.exe
+ 2009-03-26 18:17 . 2009-03-26 18:17 144792 c:\windows\system32\java.exe
- 2009-03-26 18:17 . 2009-03-26 18:17 144792 c:\windows\system32\java.exe
.
(((((((((((((((((((((((((( Pontos de Carregamento do Registro )))))))))))))))))))))))))))))))))))))))
.
.
*Nota* entradas vazias e legítimas por defeito não são mostradas.
REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B4F3A835-0E21-4959-BA22-42B3008E02FF}]
2009-04-08 19:05 739688 ----a-w- c:\arquiv~1\MICROS~2\Office14\URLREDIR.DLL

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sunkist2k"="c:\arquivos de programas\Multimedia Card Reader\shwicon2k.exe" [2004-12-10 139264]
"avgnt"="c:\arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^Adobe Reader Speed Launch.lnk]
path=c:\documents and settings\All Users\Menu Iniciar\Programas\Inicializar\Adobe Reader Speed Launch.lnk
backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^Adobe Reader Synchronizer.lnk]
path=c:\documents and settings\All Users\Menu Iniciar\Programas\Inicializar\Adobe Reader Synchronizer.lnk
backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^OfficeSAS.lnk]
path=c:\documents and settings\All Users\Menu Iniciar\Programas\Inicializar\OfficeSAS.lnk
backup=c:\windows\pss\OfficeSAS.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^Utility Tray.lnk]
path=c:\documents and settings\All Users\Menu Iniciar\Programas\Inicializar\Utility Tray.lnk
backup=c:\windows\pss\Utility Tray.lnkCommon Startup

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Arquivos de programas\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Arquivos de programas\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Arquivos de programas\\Java\\jre6\\launch4j-tmp\\frd.exe"=
"c:\\Arquivos de programas\\uTorrent\\uTorrent.exe"=
"c:\\Arquivos de programas\\Orbitdownloader\\orbitdm.exe"=
"c:\\Arquivos de programas\\Orbitdownloader\\orbitnet.exe"=
"c:\\Arquivos de programas\\Microsoft Office\\Office14\\GROOVE.EXE"=
"c:\\Arquivos de programas\\Microsoft Office\\Office14\\ONENOTE.EXE"=
"c:\\Arquivos de programas\\Microsoft Office\\Office14\\OUTLOOK.EXE"=

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\arquivos de programas\Avira\AntiVir Desktop\sched.exe [20/7/2009 12:47 108289]
R2 osppsvc;Office Software Protection Platform;c:\windows\system32\OSPPSVC.EXE [8/4/2009 15:37 4319136]
S3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:\arquivos de programas\Microsoft Office\Office14\GROOVE.EXE [25/4/2009 18:18 33480048]
S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
.
.
------- Scan Suplementar -------
.
uStart Page = about:blank
IE: &Download by Orbit - c:\arquivos de programas\Orbitdownloader\orbitmxt.dll/201
IE: &Grab video by Orbit - c:\arquivos de programas\Orbitdownloader\orbitmxt.dll/204
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Do&wnload selected by Orbit - c:\arquivos de programas\Orbitdownloader\orbitmxt.dll/203
IE: Down&load all by Orbit - c:\arquivos de programas\Orbitdownloader\orbitmxt.dll/202
IE: E&xport to Microsoft Excel - c:\arquiv~1\MICROS~2\Office14\EXCEL.EXE/3000
IE: E&xportar para o Microsoft Excel - c:\arquiv~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: S&end to OneNote - c:\arquiv~1\MICROS~2\Office14\ONBttnIE.dll/105
IE: {{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - {FFFDC614-B694-4AE6-AB38-5D6374584B52} - c:\arquivos de programas\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - c:\arquivos de programas\Arquivos comuns\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
FF - ProfilePath - c:\documents and settings\Bruno\Dados de aplicativos\Mozilla\Firefox\Profiles\m8ftgrj1.default\
FF - plugin: c:\arquivos de programas\Google\Picasa3\npPicasa3.dll
FF - plugin: c:\arquivos de programas\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll
FF - plugin: c:\arquivos de programas\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll

---- FIREFOX POLICIES ----
c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".com.br");
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2009-09-23 18:00
Windows 5.1.2600 Service Pack 3 NTFS

Procurando processos ocultos ...

Procurando entradas auto inicializáveis ocultas ...

Procurando ficheiros/arquivos ocultos ...

Varredura completada com sucesso
arquivos/ficheiros ocultos: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]
"ImagePath"="c:\windows\system32\GameMon.des -service"
.
Tempo para conclusão: 2009-09-23 18:02
ComboFix-quarantined-files.txt 2009-09-23 21:02
ComboFix2.txt 2009-09-23 20:05

Pré-execução: 535.339.008 bytes disponíveis
Pós execução: 500.408.320 bytes disponíveis

258

 

[Mr.Wolf]

Email Enviado...

Muito obrigado pela gentileza amigo bs*

Seu log está limpo agora bs*.

Os problemas com a máquina persistem?

 

[bs*]

Muito obrigado pela gentileza amigo bs*

Seu log está limpo agora bs*.

Os problemas com a máquina persistem?

vlw Mr. Wolf.
os processos tão todos normais agora vlw ^^
ja instalei o Outpost...

tinha esquecido do Log do HijackThis
ta ae ^^

Spoiler

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:14:50, on 23/9/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe
C:\Arquivos de programas\Multimedia Card Reader\shwicon2k.exe
C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe
C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe
c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\Arquivos de programas\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Arquivos de programas\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: btorbit.com - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Arquivos de programas\Orbitdownloader\orbitcth.dll
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Facilitador de Leitor de Link Adobe PDF - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\ARQUIV~1\MICROS~2\Office14\GROOVEEX.DLL
O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\ARQUIV~1\MICROS~2\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Arquivos de programas\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Grab Pro - {C55BBCD6-41AD-48AD-9953-3609C48EACC7} - C:\Arquivos de programas\Orbitdownloader\GrabPro.dll
O4 - HKLM\..\Run: [Sunkist2k] C:\Arquivos de programas\Multimedia Card Reader\shwicon2k.exe
O4 - HKLM\..\Run: [avgnt] "C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [OutpostMonitor] C:\ARQUIV~1\Agnitum\OUTPOS~1\op_mon.exe /tray /noservice
O4 - HKLM\..\Run: [OutpostFeedBack] "C:\Arquivos de programas\Agnitum\Outpost Firewall\feedback.exe" /dumps_startup
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Download by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/201
O8 - Extra context menu item: &Grab video by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/204
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Do&wnload selected by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/203
O8 - Extra context menu item: Down&load all by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/202
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office14\EXCEL.EXE/3000
O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: S&end to OneNote - res://C:\ARQUIV~1\MICROS~2\Office14\ONBttnIE.dll/105
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: Linked Notes - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: &Linked Notes - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe
O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O20 - AppInit_DLLs: c:\arquiv~1\agnitum\outpos~1\wl_hook.dll
O23 - Service: Agnitum Client Security Service (acssrv) - Agnitum Ltd. - C:\ARQUIV~1\Agnitum\OUTPOS~1\acs.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Arquivos de programas\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Arquivos de programas\Arquivos comuns\Ahead\Lib\NMIndexingService.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe

--
End of file - 6664 bytes

vlw msm ^^

 

[MerlimBR]

Amigo Merlim, você já retirou da inicialização os itens que o colega Gustavo postou anteriormente? Se ainda não o fez, faça e deixe apenas o antivirus inicializando.

Veja se a lentidão do boot persiste. Pois às vezes pode nem ser o NOD32 que esteja causando a lentidão.

Sim, deixei só os drivers de audio e video, o java, os arquivos do iomega, que na verdade não é um hd externo, é um ZIP100, meu pai usa ele bastante, e o nod.
Mas logo falei do nod, porque ele fica escaneando, e na mesma hora que para de escanear, o pc fica mais "rapido".

 

[Mr.Wolf]

bs*, abra o HijackThis, clique em Do a system scan only, marque as entradas abaixo e clique no botão Fix checked:

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

Clique em Sim na mensagem e feche o programa.

Vá em Iniciar > Executar, digite ComboFix /u e dê um OK para remover a ferramenta do computador. Remova todas as ferramentas que utilizamos também, caso estejam salvas aí ainda.

Algo mais em que eu possa ajudá-lo amigo bs*?

 

[Mr.Wolf]

Sim, deixei só os drivers de audio e video, o java, os arquivos do iomega, que na verdade não é um hd externo, é um ZIP100, meu pai usa ele bastante, e o nod.
Mas logo falei do nod, porque ele fica escaneando, e na mesma hora que para de escanear, o pc fica mais "rapido".

Merlim tente o seguinte:

Vá em Iniciar > Executar, copie e cole o comando abaixo e dê um OK:

"D:\Arquivos de programas\ESET\ESET Smart Security\egui.exe" /no-boots

Veja se o NOD32 permanecerá verificando o boot.

 

[bs*]

Tudo feito como solicitado ^^

vlw Mr. Wolf

 

[MerlimBR]

Blz, vlw Wolf, vou por o comando lá, mas só vou verificar isso amanha, pois meu pai vai ficar usando o pc e não vai querer reiniciar agora, demora muito

 

[tjlfranca]

Amigo, não utilizei nenhuma ferramenta daqui, utilizei o malwarebyte que detectou e removeu alguns malwares, quanto ao trojan que vc referiu, poderia me descrever melhor e como remove-lo

 

[didifpg]

Olá Mr. Wolf...

estou com uma dúvida...

Quando ligo meu computador aparece uma mensagem de Alerta de Segurança do Windows. Quando clico nela, entro na Centra de Segurança do Windows, que me informa que minha proteção Antivirus está desatualizada. Meu antivirus é o Avira. O que devo fazer? baixar outro antivirus, baixar o avira novamente?

Aguardo respostas!!!

Abraço

 

[Megadeeth]

Megadeeth, esta máquina está extremamente infestada de rootkits em nível de kernel (classe "AW"). Estes rootkits são um dos piores da classe. Eles geralmente cobrem ações maléficas de backdoors e/ou worms, escrevendo um código adicional ou substituindo partes do código do kernel com código modificado através de drivers de dispositivos no Windows, inclusive, até os módulos carregáveis do kernel no Linux. Estes rootkits podem ter um sério efeito sobre a estabilidade do sistema se o código do kit agregar erros.

No entanto, não é recomendado utilizar um computador neste estado, mesmo após uma possível remoção dos rootkits. Sugeria à você e ao seu tio, que, infelizmente, formatassem o PC ao invés de tentar remover a infecção e utilizar o computador após isso. Porque, de fato, o mesmo ficará instável.

A decisão é sua Megadeeth!

Se quiser, podemos tentar, veja bem, tentar, a remoção destes rootkits. O que não será uma tarefa nada fácil e muito menos rápida.

Já conseguiram entrar em contato com o suporte da UOL?

faaaala grande Mestre Wolf tdo bem irmaozin??? :yes: vlw dinovo pela resp Mestre!!!!!!!!

poutz serio msm hmy: rootkits????? kcete irmao i ahora???

q bosta esse porcaria de anti-virus do uol,eu falei pro meu tio por o avira ou o kapersky aki mais ele achou melhor essa ***** do uol pq ele tem a net do uol aki e ia ficar mais barato p ele. Eu disse p ele q o barato sai caro e olha agora!!!! :boring:

nos conseguimos conversar com o suporte do uol Mestre Wolf hj e eles disseram q era p gnt faze um escan em modo de segurança no pc,a gnt fez e ñ deu ***** nenhuma continuou a msm porcaria por isso q nem entrei hj. Dpois tentamos fala no uol dinovo e nao conseguimos mais.

esse povinho do uol sao ums imcompetentes msm viu pqp!!!!! :ranting3:

o pc la da loja ta uma porcaria msm de meche Mestre,nao tamo conseguindo faze nada!!! eu tentei baixa o malwarebytes mais nao tamo conseguindo baixa nada agora q os erros tao começando,sera q eh agora q esses rootkits começaram a trabalhar hauaheuhau???

eu vou fala pro meu tio amanha na loja e vou passar o q vc me passou p ele dai ele v se formata ou nao. O foda eh q nao posso faze isso por conta propria pq ele vai me xinga!!!!! :boring:

mais Mestre meu tio eh mto insistente axo q ele nao vai quere formata e vai quere tenta e vai pedir sua ajuda tb neh!!!!!!!

vc axa q se a gnt tentar como vc disse podemos vencer???? ou eh 90% de nao conseguimos????

mto obrigado de coraçao Mestre,vc sempre ajuda eu aki

vlw msm brigadao Mr.Wolf

um abraçao

ps: amanha atarde eu posto aki pq nao trampo de manha soh na parte da tarde pq de manha eu to na facul

eu vo conversa com meu tio amanha e o q ele decidir eu volto aki e te digo Mestre

ahhhh se ele quise tenta cabeça dura do caramba hauaheuhauaheua,vc poderia ajudar a gnt Mestre????

obrigado des de ja

ate mais Mr.Wolf :yes:

 

[Gustavo MPO]

Opa meu grande amigo Gustavo, é um prazer tê-lo aqui nos ajudando no tópico, sempre fique à vontade para isto. Como sempre, não há inconformidade alguma em suas respostas. Apenas o parabenizo-o por elas!

Entretanto, Gustavo, sinta-se à vontade para ajudar na remoção de infecções também. Pelo conhecimento que tem, não há restrições ou queixas para isto. Você é de casa

Principalmente porque meu tempo está bem corrido aqui, como você sabe. Às vezes não me sobra tempo para acessar à fóruns, e é incômodo pra mim deixar os amigos aqui sem retorno.

Abraços Gustavo, e obrigado pela resposta antecipada ao colega MerlimBr!

Obrigado pela credibilidade amigo Mr.Wolf.
Sempre que vejo que você está afastado por um tempo, tento dar uma amenizada na situação aqui pois sei como é seu tempo aí, outras vezes passo "só pra encher o saco" :whistle: mesmo, hehe.

faaaala grande Mestre Wolf tdo bem irmaozin??? :yes: vlw dinovo pela resp Mestre!!!!!!!!

poutz serio msm hmy: rootkits????? kcete irmao i ahora???

q bosta esse porcaria de anti-virus do uol,eu falei pro meu tio por o avira ou o kapersky aki mais ele achou melhor essa ***** do uol pq ele tem a net do uol aki e ia ficar mais barato p ele. Eu disse p ele q o barato sai caro e olha agora!!!! :boring:

...

Megadeeth, me diz uma coisa. Onde você consegue tantos rootkits assim?
Pode parecer brincadeira mas já estive procurando alguns pra me infectar aqui mas o máximo que consegui foram alguns worms e trojans simples.
Acho que você é a melhor pessoa pra me dar essa informação, visto que parece que você é especialista em conseguir esse tipo de infecção hehehe .

 

[~~RiplaY~~!!!]

sonny´´ -->> pode ter certeza que sim, os mp3 players tbm são vulneraveis a essas pragas virtuais.. ja sofri muito com isso mais agora to de boa...

 

[karolz]

Usei o ESET e dessa vez deu tudo certo! E... Nossa como isso demora!
Salvei o relatorio q tinha lá e taí. Agora tem mais alguma coisa?
Abração e muitíssimo obrigada pelo o q tem feito por mim e todo mundo! :yes:

Spoiler

C:\Arquivos de programas\Sony Setup\DVD Architect 3.0\InstMsi-x86w.exe Win32/Sality.NAU virus cleaned - quarantined
C:\System Volume Information\_restore{7745B88D-056A-4473-B5BE-1440E3D7E93D}\RP21\A0006184.exe Win32/Sality.NAU virus cleaned - quarantined
C:\System Volume Information\_restore{7745B88D-056A-4473-B5BE-1440E3D7E93D}\RP96\A0028866.exe Win32/Sality.NAU virus cleaned - quarantined
C:\WINDOWS\system32\cmpe.dll probably a variant of Win32/Agent trojan cleaned by deleting - quarantined
C:\WINDOWS\system32\cmpe.exe probably a variant of Win32/Agent trojan cleaned by deleting (after the next restart) - quarantined

 

[pcw-ladrao]

Manoooooooo... vlwss... vai salvar muita gente véi

 

[Megadeeth]

faaaala Mestre Wolf tdo joia irmao????

intao como eu t falei ontem eu conversei com meu tio aki e ele viu tdas as suas resps e nois pesquisamo no google tb sobre esse maldito rootkit de kernel ai q vc falo p gnt e meu tio viu q o negocio eh brabo memu hUHAUHEUAHhauheu!!!!!!!!!!!

ele falo q formata esse pc nao eh problema mais ele disse q aki na loja mais 7 pcs tao numa rede de nao sei do q aki e disse q se ele formata esse vai te q formata os outros tb????

ele e eu nao sabemo se os outros pcs tao infectados pelo rootkits tb e tb nao sabemo ve isso,eu tentei faze akele esquema do livekd e por akele comando q vc passou p mim antes no executar mais nos outros pcs nao deu certo,como podemo saber se os outros pcs tao infectado tb???

e se tiverem a gnt vai te q formata os 8 pcs aki?????

mto obrigado irmao Mr.Wolf,vc eh o cara véi hauahueha

um dia eu vo ser igual a vc ainda,vai demora mais eu chego lah HAUAHhauheua qm me dera neh!!!!!!!!!!

um abraçao irmao e agradeço des de ja

 

[Megadeeth]

Megadeeth, me diz uma coisa. Onde você consegue tantos rootkits assim?
Pode parecer brincadeira mas já estive procurando alguns pra me infectar aqui mas o máximo que consegui foram alguns worms e trojans simples.
Acho que você é a melhor pessoa pra me dar essa informação, visto que parece que você é especialista em conseguir esse tipo de infecção hehehe .

HUAHAUEHUhauheuhuahauehuhau :lol:

faaaaala Gustavo Mpo blz irmaozim?????

intao vei nem eu sei como eu fiz isso eu ia ate pergunta p Mestre Wolf como a gnt pega esses rootkits!!!!!!!!

pq tipo eu n baixo crack aki nos pcs da loja,orkut e msn essas paradas sao tdo bloquiado e tal!!!!!!! a unica coisa q faço eh baixar uns programas q criam celos digitais aki pra loja,sera q foi isso??? :cry:

tb num entro em site porno HUAAHuhauheua

de veiz em quando tb colocamos ums pendrivers e cartao de memorias aki no pc p passa as coisas de trabalho!!!!!!!

mais tu eh loco cara,ker pega virus??????????????? hmy: hauHUAHUEHhaushru

cara vcs manjam d++ vc o Mestre Wolf,o victorm e os caras sabem d++!!!!!!!! vcs brincam com virus keria ser assim tb!!!!!! :wacko:

um abraçao irmao hehaua :yes:

 

[pcw-ladrao]

formatei o meu a pouco

 

[Shynta]

Olá pessoal, boa tarde à todos!



Shynta, vá em Painel de Controle > Adicionar ou Remover Programas. Encontre e desinstale o DAEMON Tools Toolbar.

No mais, não há nada de preocupante em seu log. Mas gostaria de verificar uma coisa.

Siga os passos abaixo no spoiler Shynta:

Spoiler

- Faça o download do AVZ4 e salve-o no desktop;

- Extraia os arquivos do WinZip para o desktop, onde será criada uma pasta chamada avz4 no mesmo local;
- Entre nesta pasta e dê um duplo clique sobre o arquivo AVZ.exe para rodar a ferramenta;
- Ao abrir a janela do programa, clique no menu File > Database Update. Ou clique no botão

no canto direito do painel da ferramenta, e clique no botão Start para atualizar a ferramenta;
- Clique no menu File > Standard scripts e marque a opção "2. Advanced System Analysis";
- Clique então no botão Execute selected scripts e clique em Yes na próxima mensagem. Aguarde a análise;
- Quando a análise terminar, clique em OK na mensagem. Voltando à janela Standard scripts, clique em Close para fechá-la. E feche também a janela do AVZ4;
- Vá até a pasta avz4 no desktop, e abra a pasta LOG que está dentro dela;
- Nesta estará os logs e uma pasta zipada denominada: virusinfo_syscheck.zip.

Anexe esta pasta em sua próxima resposta.

Olá amigo desculpa a demora mais só hoje pude ver a sua ajuda, fiz tudo q vc me pediu eu só não removi o Daemon pois eu uso ele mais é muito necessário caso contrario eu removo sem problemas e só mais uma pergunta o meu IE ele vive travando quando vou abriri uma pagina ou link vc saberia me dizer o porq???

Desde já agradeço abraços!!!!

 

[Primoit]

Olá Mr.Wolf

olha eu aqui de novo, agora com um outro pc
esse pc reinicia sozinho aleatoriamente

tem algo infectado?

Spoiler

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:46:02, on 24/9/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Arquivos de programas\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\system32\VTTimer.exe
C:\Arquivos de programas\Lexmark X1100 Series\lxbkbmgr.exe
C:\WINDOWS\system32\rundll32.exe
C:\Arquivos de programas\Analog Devices\SoundMAX\SMTray.exe
C:\Arquivos de programas\Lexmark X1100 Series\lxbkbmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe
C:\Arquivos de programas\Messenger\msmsgs.exe
C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Arquivos de programas\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Arquivos de programas\Internet Explorer\iexplore.exe
C:\Arquivos de programas\Internet Explorer\iexplore.exe
C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Arquivos de programas\Java\jre1.6.0_05\bin\jucheck.exe
C:\Arquivos de programas\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrador\Desktop\willian\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Arquivos de programas\AVG\AVG8\Toolbar\IEToolbar.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: CompSegIB - {2E3C3651-B19C-4DD9-A979-901EC3E930AF} - C:\Arquivos de programas\Scpad\scpsssh2.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Arquivos de programas\AVG\AVG8\avgssie.dll (file missing)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Arquivos de programas\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Arquivos de programas\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Arquivos de programas\AVG\AVG8\Toolbar\IEToolbar.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Arquivos de programas\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Arquivos de programas\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Arquivos de programas\Google\Google Toolbar\Component\fastsearch_B7C5AC242193BB3E.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [PV92TRAY] PV92Tray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Arquivos de programas\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Arquivos de programas\Lexmark X1100 Series\lxbkbmgr.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Smapp] C:\Arquivos de programas\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [Siemens SmartSync - ScheduleSync] C:\ARQUIV~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE
O4 - HKLM\..\Run: [temp27.exe] C:\WINDOWS\temp27.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Arquivos de programas\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] "C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [MsnMsgr] "C:\Arquivos de programas\MSN Messenger\MsnMsgr.Exe" /background (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Incluir no Blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Arquivos de programas\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Incluir no Blog no Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Arquivos de programas\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe
O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp
O14 - IERESET.INF: START_PAGE_URL=http://www.compartilhando.org/
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {9EC30204-384D-11D3-9CA3-00A024F0AF03} (ValidaUsuario Class) - https://cpne.bradesco.com.br/certifexp.cab
O16 - DPF: {B3D3825B-2120-4B0E-8C45-80ECC1D3E70D} (GeraCert Class) - https://bradesconetempresa.com.br/ne/CA.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - Winlogon Notify: avgrsstarter - avgrsstx.dll (file missing)
O21 - SSODL: CompIBBrd - {A3717295-941D-416F-9384-ED1736729F1C} - C:\Arquivos de programas\Scpad\scpLIB.dll
O22 - SharedTaskScheduler: scpLIB - {A3717295-941D-416F-9384-ED1736729F1C} - C:\Arquivos de programas\Scpad\scpLIB.dll
O23 - Service: Google Software Updater (gusvc) - Google - C:\Arquivos de programas\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Arquivos de programas\Analog Devices\SoundMAX\SMAgent.exe

--
End of file - 8271 bytes

 

[romulo_]

romulo_, siga abaixo no spoiler por favor:

ótimo, obrigado Wolf!
vou desfragmentar e colocar mais ram hehe.
um abraço!

 

[Mr.Wolf]

Olá pessoal, boa tarde!



tjlfranca, se puder postar o log do Malwarebytes irá facilitar bastante o nosso trabalho. O trojan que citei anteriormente, é apenas uma suposição. Em seu log constam entradas ocultas, como relatei anteriormente. E isso me leva a crer que sejam de um trojan, mas nada certo! Preciso ver as entradas para garantir se são ou não do trojan realmente.

Siga abaixo no spoiler tjlfranca:

Spoiler

- Faça o download do RSIT e salve no seu desktop;

● Dê dois cliques em RSIT.exe para executar o programa;
● Na janela que abrir clique no botão Continue para que a ferramenta comece a rodar;
● Quando a ferramenta terminar de rodar, abrirá um log automaticamente no bloco de notas contendo o resultado do scan. Cole o resultado desse log (log.txt) na sua próxima resposta;
● Cole também o conteúdo do arquivo info.txt que estará em C:\rsit\info.txt.

______________________________________


didifpg, o Avira é problemático com suas atualizações. O servidor de atualização da AntiVir sempre fica com problemas de congestionamento, e isso impede que as atualizações cheguem até o banco de dados do antivirus. Se for realmente um problema no servidor de atualização da AntiVir, que é comum de acontecer, não adiantará reinstalar o Avira porque não resultará em nada.

Tente atualizar manualmente o banco de dados do Avira seguindo as dicas deste link didifpg.

______________________________


karolz, vá em Iniciar > Executar, digite sysdm.cpl e dê um OK. Clique na guia Restauração do Sistema, marque a opção "Desativar restauração do sistema" > OK. Logo após isto, volte neste mesmo local e desmarque esta opção.

Algumas variantes do Sality foram encontradas e removidas pelo ESET de seu computador. Você teve sorte de apenas cinco arquivos terem sido infectados por este file infector. O Sality geralmente contamina todos os .exe da máquina.

No mais, o log está ok amiga Karol.

______________________________


Megadeeth, você pode ter a sorte dos outros sete computadores da rede não estarem infectados. Suponhamos que os rootkits não estejam cobrindo ações de worms, há grandes chances dos PCs estarem limpos. Mas se for um worm, com certeza os oito estão infectados.

De nada adiantará baixar Malwarebytes, ComboFix, SDFix, ou qualquer outra ferramenta específica utilizada aqui, pois nenhuma delas serão eficazes na detecção e remoção destes rootkit, ainda mais que já estão muito avançados. Se formos tentar uma remoção, teremos que "alternar" todas as ferramentas - e olhe lá ainda - pessoalmente, creio que será inútil tentar a remoção destas pragas. As chances de não conseguirmos são muito maiores, infelizmente.

Para verificar se os outros computadores estão infectados, veja se o arquivo hajkslo1.sys existe nas outras máquinas Megadeeth. Este arquivo é o rootkit principal e o responsável pela total disseminação dos malwares. Se as máquinas estiverem infectadas este arquivo estará presente, afinal vocês possuem uma rede na loja, portanto, a contaminação principal das máquinas será a mesma. Se o arquivo em questão não existir em nenhuma das máquinas, elas não estão infectadas pelos rootkits.

______________________________



Shynta, não é para remover o programa DAEMON Tools, mas apenas a toolbar dele: DAEMON Tools Toolbar. É somente a toolbar do programa que é maliciosa. O programa em si é totalmente seguro. Remover a toolbar não fará efeito algum sob o programa. Pode remover sem preocupação alguma, apenas a toolbar!

Bem Shynta, seu log do AVZ também está limpo, tal como o do HijackThis, como respondi anteriormente.

Quanto ao problema com o IE, tente instalar a versão 8 do navegador e veja se o travamento continuará. Ele pode ser baixado pelos links abaixo:

IE 8 para Vista x86
IE 8 para Vista x64

Uma pergunta amigo Shynta: O travamento só ocorre com o IE? Ou com Chrome também?

______________________________


Primoit, siga abaixo:

Spoiler

1ª Etapa

- Faça o download do Win32kDiag e salve no desktop.

- Vá em Iniciar > Executar, digite este comando abaixo e dê um OK:

"%userprofile%\desktop\win32kdiag.exe" -f -r

- Abrirá uma janela do prompt. Quando aparecer a mensagem: "Finished! Press any key to exit..." tecle Enter para fechar a janela.
- O log Win32kDiag.txt será criado no desktop.


2ª Etapa

- Faça o download do ComboFix e salve-o na área de trabalho;

● Desative temporariamente o seu antivirus para não detectar a ferramenta como vírus;
● Duplo clique no ícone combofix.exe para iniciar o scan;
● Leia o contrato que aparecerá e clique em Sim para continuar;
● Abrirá uma janela do Console de Recuperação, clique em Sim para instalar. Se aparecer outra janela do Console, clique em OK > Sim;
● Aguarde enquanto o ComboFix faz o scan;
● Se ocorrer algum problema durante o scan, reinicie seu computador em Modo de Segurança e repita o procedimento;
● Não clique na janela do ComboFix e procure não utilizar o teclado também, para não atrapalhar a varredura da ferramenta;
● Se quiser sair ou parar o ComboFix, tecle N;
● Quando terminar seu micro será reiniciado. Após o reinicio, a ferramenta executará novamente, aguarde;
● Será gerado um log em C:\ComboFix.txt.

Cole os logs das duas ferramentas em sua próxima resposta.

 

[Megadeeth]

Megadeeth, você pode ter a sorte dos outros sete computadores da rede não estarem infectados. Suponhamos que os rootkits não estejam cobrindo ações de worms, há grandes chances dos PCs estarem limpos. Mas se for um worm, com certeza os oito estão infectados.

De nada adiantará baixar Malwarebytes, ComboFix, SDFix, ou qualquer outra ferramenta específica utilizada aqui, pois nenhuma delas serão eficazes na detecção e remoção destes rootkit, ainda mais que já estão muito avançados. Se formos tentar uma remoção, teremos que "alternar" todas as ferramentas - e olhe lá ainda - pessoalmente, creio que será inútil tentar a remoção destas pragas. As chances de não conseguirmos são muito maiores, infelizmente.

Para verificar se os outros computadores estão infectados, veja se o arquivo hajkslo1.sys existe nas outras máquinas Megadeeth. Este arquivo é o rootkit principal e o responsável pela total disseminação dos malwares. Se as máquinas estiverem infectadas este arquivo estará presente, afinal vocês possuem uma rede na loja, portanto, a contaminação principal das máquinas será a mesma. Se o arquivo em questão não existir em nenhuma das máquinas, elas não estão infectadas pelos rootkits.

faaala Mestre blz???

poutz q m3rda hein o pc ta tdo estorado HAUHAUEHuahue

eu falei pro meu tio e ele ta dando uma olhada nos outros pcs aki p ve se o arquivo hajkslo1.sys ta aki!!!!!!! tomara q nao neh??? mais se ele nao tive nos pc eh certeza eles nao tarem infectados neh Mr.Wolf???

bem q eu tentei baixa o combo fix msm e n deu certo passar o escan com ele!!!! :S

n sei se adianta mto mais vo posta o log do hijack this desse pc p vc ve como ele ta HUAHAhuehau teve ta soh nos virus

Spoiler

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:25:21, on 25/9/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Arquivos de programas\GbPlugin\GbpSv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Arquivos de programas\UOL Tecnologia\Adnuol.exe
C:\Arquivos de programas\UOL Tecnologia\Shauol.exe
C:\Arquivos de programas\Java\jre6\bin\jusched.exe
C:\Arquivos de programas\Anti Spyware\Spyware Terminator\SpywareTerminatorShield.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\atievxx.exe
C:\Arquivos de programas\Internet Explorer\IEXPLORE.EXE
C:\Arquivos de programas\Internet Explorer\iexplore.exe
C:\Arquivos de programas\Internet Explorer\iexplore.exe
C:\Arquivos de programas\Internet Explorer\iexplore.exe
C:\Arquivos de programas\Java\jre6\bin\jqs.exe
C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Arquivos de programas\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Arquivos de programas\UOL Tecnologia\FhPortScan.exe
C:\Arquivos de programas\Mozilla Firefox\firefox.exe
C:\Arquivos de programas\MSN Messenger\MsnMsgr.Exe
C:\Arquivos de programas\Hijackthis\HijackThis.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.uol.com.br/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: Gyhsll56.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\LOJASD~1\CONFIG~1\Uhncrow932.exe
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: G-Buster Browser Defense - {C41A1C0E-EA6C-11D4-B1B8-444553540000} - C:\ARQUIV~1\GBPLUGIN\gbieh.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Arquivos de programas\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Arquivos de programas\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.d ll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [UOL Softwares] "C:\Arquivos de programas\UOL Tecnologia\Adnuol.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Arquivos de programas\Adobe Reader\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Arquivos de programas\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Arquivos de programas\Anti Spyware\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Arquivos de programas\MSN Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe
O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab56986.cab
O16 - DPF: {DB6BF2CD-4F59-4F1C-AA9C-D08C0B61A931} (GbpDistObj Class) - https://www14.bancobrasil.com.br/plugin/GbpDist.cab
O16 - DPF: {E37CB5F0-51F5-4395-A808-5FA49E399003} - https://imagem.caixa.gov.br/cab/GbPluginCef.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O20 - Winlogon Notify: GbPluginBb - C:\ARQUIV~1\GBPLUGIN\gbieh.dll
O23 - Service: Firebird Guardian - DefaultInstance (FirebirdGuardianDefaultInstance) - The Firebird Project - C:\Arquivos de programas\Firebird\Firebird_1_5\bin\fbguard.exe
O23 - Service: Firebird Server - DefaultInstance (FirebirdServerDefaultInstance) - The Firebird Project - C:\Arquivos de programas\Firebird\Firebird_1_5\bin\fbserver.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Arquivos de programas\Java\jre6\bin\jqs.exe
O23 - Service: NMIndexingService - Unknown owner - C:\Arquivos de programas\Arquivos comuns\Ahead\Lib\NMIndexingService.exe (file missing)
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Arquivos de programas\Spyware Terminator\sp_rsser.exe
O23 - Service: UOL Softwares Control Service - UOL Tecnologia - C:\Arquivos de programas\UOL Tecnologia\Shauol.exe
O23 - Service: UOL Softwares Control Service - UOL Tecnologia - C:\Arquivos de programas\UOL Tecnologia\Adnuol.exe
O23 - Service: UOL Softwares Control Service - UOL Tecnologia - C:\Arquivos de programas\UOL Tecnologia\DservicesUOL.exe

--
End of file - 7065 bytes

mto obrigado por tda ajuda sempre Mestre :yes:

um abraçao

ps: se for encomodo olha o log e n precisa n precisa olha ok?? eu soh puis p vc p vc ve como tah o pc msm o estado dele HAUAHhuehuahe

 

[Mr.Wolf]

Rootkits em nível de kernel, quando já estão a um bom tempo na máquina, não aparecem em log nenhum Megadeeth. Seja do HijackThis, ComboFix, RSIT, DDS, etc. Sendo que a detecção deles deverá ser por meios incomuns, isto é, indo diretamente no arquivo principal.

Um log do HijackThis neste momento, poderá apenas nos apresentar o malware que o rootkit está cobrindo. No entanto, você "acordou com o pé direito" hoje Megadeeth, veja:

F2 - REG:system.ini: Gyhsll56.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUM E~1\LOJASD~1\CONFIG~1\Uhncrow932.exe

São backdoors. Nenhum sinal de worms no log. Isso significa que não há indícios desta infecção, portanto, se isso for certeza (para isso teríamos que analisar mais à fundo), tem grandes chances dos outros computadores da rede não estarem comprometidos.

Vá em Iniciar > Executar, digite system.ini e dê um OK.

Volte ao Executar, digite win.ini e dê um OK.

Poste os conteúdos dos dois arquivos abertos Megadeeth.

 

[Megadeeth]

Oraaaa q blz Mestre sera q vamo conseguir??? sera q acordei msm com o ped direito hUAHAUHEUAHhauaheuha poutz tomara irmao pq vai da trampo se tive q formata tdos os pcs eh mta coisa hauhauHAUAHhauaheu

Mr.Wolf tao ake os logs q me pediu

system.ini

Spoiler

; for 16-bit app support
[drivers]
wave=mmdrv.dll
timer=timer.drv
[mci]
[driver32]
[386enh]
32BitDiskAcess=on
32BitFileAcess=on
DMABufferSize=64
MinSPs=16
PageBuffers=32
ConservativeSwapFileUsage=1
[FileExtractMove]
Delete=893
HFull=13
Gnahjsod=76
Jhas=24
woafont=app850.FON
EGA80WOA.FON=EGA80850.FON
EGA40WOA.FON=EGA40850.FON
CGA80WOA.FON=CGA80850.FON
CGA40WOA.FON=CGA40850.FON

win.ini

Spoiler

; for 16-bit app support
[fonts]
[extensions]
[mci extensions]
[files]
[Mail]
MAPI=1
[MCI Extensions.BAK]
aif=MPEGVideo
aifc=MPEGVideo
aiff=MPEGVideo
asf=MPEGVideo
asx=MPEGVideo
au=MPEGVideo
m1v=MPEGVideo
m3u=MPEGVideo
mp2=MPEGVideo
mp2v=MPEGVideo
mp3=MPEGVideo
mpa=MPEGVideo
mpe=MPEGVideo
mpeg=MPEGVideo
mpg=MPEGVideo
mpv2=MPEGVideo
snd=MPEGVideo
wax=MPEGVideo
wm=MPEGVideo
wma=MPEGVideo
wmv=MPEGVideo
wmx=MPEGVideo
wpl=MPEGVideo
wvx=MPEGVideo
[SYSTEM]
Manager Advanced=1
FONT External=Y
JINF=0
[Tale]
[Advanced]
[CODE Open]
[PPORT SCAN]

vlw Mestre