Publicado em 19 de ago.

[Resolvido!] log hijackthis

Oi pessoal,

eu uso o antivirus avira e ele detectou um malwere - tr/dropper.gen e um adwere adwere/adwere.gen. O primeiro foi deletado e o segundo foi movido para a quarentena.

Passei o MV regclean, MV antispy, cc cleaner, ATF cleaner e atualizei o spywereBlaster.

Mando o log do hijackthis para vcs analisarem e verem se tem alguma coisa de errada com o pc.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:54:02, on 19/8/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\Arquivos comuns\Java\Java Update\jusched.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\rundll32.exe

C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\agrsmsvc.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

C:\Arquivos de programas\Java\jre6\bin\jqs.exe

C:\Arquivos de programas\Arquivos comuns\LightScribe\LSSrvc.exe

C:\Arquivos de programas\NVIDIA Corporation\nTune\nTuneService.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Arquivos de programas\VIVO INTERNET\VIVO INTERNET.exe

C:\Arquivos de programas\Arquivos comuns\Java\Java Update\jaucheck.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Arquivos de programas\Mozilla Firefox\firefox.exe

C:\Arquivos de programas\Mozilla Firefox\plugin-container.exe

C:\Hijack this\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

O2 - BHO: Facilitador de Leitor de Link Adobe PDF - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Arquivos de programas\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Arquivos de programas\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Arquivos de programas\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Arquivos de programas\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [AzMixerSel] C:\Arquivos de programas\Realtek\InstallShield\AzMixerSel.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Arquivos de programas\Arquivos comuns\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avgnt] "C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Arquivos de programas\NVIDIA Corporation\nTune\nTuneCmd.exe" clear

O4 - HKCU\..\Run: [msnmsgr] "C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARQUIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: &Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARQUIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Arquivos de programas\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O17 - HKLM\System\CCS\Services\Tcpip\..\{0AA6FDCA-4F13-41BE-A638-22698DD370B9}: NameServer = 200.220.227.57 200.142.130.203

O17 - HKLM\System\CS1\Services\Tcpip\..\{0AA6FDCA-4F13-41BE-A638-22698DD370B9}: NameServer = 200.220.227.57 200.142.130.203

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Arquivos de programas\Microsoft Office\Office12\GrooveSystemServices.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARQUIV~1\ARQUIV~1\Skype\SKYPE4~1.DLL

O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\WINDOWS\system32\agrsmsvc.exe

O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Arquivos de programas\Java\jre6\bin\jqs.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Arquivos de programas\Arquivos comuns\LightScribe\LSSrvc.exe

O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Arquivos de programas\NVIDIA Corporation\nTune\nTuneService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

End of file - 6673 bytes

muito grata,

abraços,

Manoela

Discussão (20)

Entre ou cadastre-se para participar da discussão

Entrar Criar conta

Felipe_88· 20 de ago.

Olá, Manoela!

O Hijackthis instalado em seu computador está desatualizado, favor desinstale-o.

>> Hijackthis'>http://go.trendmicro.com/free-tools/hijackthis/HiJackThis.exe"]Hijackthis Atualizado

* Desative seu antivírus temporariamente:

Clique com o botão direito do mouse no ícone do Avira ao lado do relógio Clique na opção "Antivir Guard enable".

*Baixe o MalwareBytes'>http://www.malwarebytes.org/mbam/program/mbam-setup.exe"]MalwareBytes Anti-Malware e salve-o no desktop

*Instale o programa

*Se alguma atualização existir,o download será automático. Aguarde...

*O programa será aberto automaticamente.

*Na aba [Verificação], selecione a opção [Verificação completa]

*Clique em [Verificar] e selecione as partições a serem examinadas (geralmente C:\ e D:\)

*Ao término do scan, poderá ser interrogado se deseja remover objetos da memória. Clique [sIM] > [OK] > [Mostrar Resultados]

*Clique em [Remover Selecionados]

*Um relatório (mbam-log-ano-mês-data.txt) será apresentado.

*Cole-o na sua próxima resposta

No aguardo!

Manoela· 21 de ago.

Oi Felipe,

muito grata pela ajuda.

Fiz tudo o que você falou. Segue o relatório:

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

Versão da Base de Dados: 4454

Windows 5.1.2600 Service Pack 2

Internet Explorer 7.0.5730.13

20/8/2010 21:05:39

mbam-log-2010-08-20 (21-05-39).txt

Tipo de Verificação: Verificação Completa (C:\|D:\|H:\|)

Objetos escaneados: 206651

Tempo decorrido: 46 minuto(s), 48 segundo(s)

Processos de Memória Infectados: 0

Módulos de Memória Infectados: 0

Chaves de Registro Infectadas: 0

Valores de Registro Infectados: 0

Itens de Dados no Registro Infectados: 0

Pastas Infectadas: 0

Arquivos Infectados: 2

Processos de Memória Infectados:

(Não foram detectados ítens maliciosos)

Módulos de Memória Infectados:

(Não foram detectados ítens maliciosos)

Chaves de Registro Infectadas:

(Não foram detectados ítens maliciosos)

Valores de Registro Infectados:

(Não foram detectados ítens maliciosos)

Itens de Dados no Registro Infectados:

(Não foram detectados ítens maliciosos)

Pastas Infectadas:

(Não foram detectados ítens maliciosos)

Arquivos Infectados:

C:\Arquivos de programas\Adobe\Adobe Photoshop CS3\Msvcrt.dll (Malware.Packer.Gen) -> Quarantined and deleted successfully.

C:\Arquivos de programas\Adobe\Adobe Photoshop CS3\Shfolder.dll (Malware.Packer.Gen) -> Quarantined and deleted successfully.

abraços,

>
Olá, Manoela!

O Hijackthis instalado em seu computador está desatualizado, favor desinstale-o.

>> Hijackthis'>http://go.trendmicro.com/free-tools/hijackthis/HiJackThis.exe"]Hijackthis Atualizado

* Desative seu antivírus temporariamente:

Clique com o botão direito do mouse no ícone do Avira ao lado do relógio Clique na opção "Antivir Guard enable".

*Baixe o MalwareBytes'>http://www.malwarebytes.org/mbam/program/mbam-setup.exe"]MalwareBytes Anti-Malware e salve-o no desktop

*Instale o programa

*Se alguma atualização existir,o download será automático. Aguarde...

*O programa será aberto automaticamente.

*Na aba [Verificação], selecione a opção [Verificação completa]

*Clique em [Verificar] e selecione as partições a serem examinadas (geralmente C:\ e D:\)

*Ao término do scan, poderá ser interrogado se deseja remover objetos da memória. Clique [sIM] > [OK] > [Mostrar Resultados]

*Clique em [Remover Selecionados]

*Um relatório (mbam-log-ano-mês-data.txt) será apresentado.

*Cole-o na sua próxima resposta

No aguardo!

Manoela· 22 de ago.

Oi Felipe,

só hoje, domingo, meu antivirus já detectou 3 vezes o tal do adwere.

olha a mensagem que o avira me diz:

Virus or unwanted program 'ADWARE/Adware.Gen [adware]'

detected in file 'C:\System Volume Information\_restore{44D451A9-C440-418A-8729-B80028FC95C0}\RP203\A0115754.exe.

na 3 vez que apitou eu mandei deletar. mas não sei se fiz certo.

Felipe_88· 23 de ago.

Manoela,

*Baixe o ComboFix'>http://download.bleepingcomputer.com/sUBs/ComboFix.exe"]ComboFix e salve-o no desktop

* Desative seu antivírus temporariamente:

Clique com o botão direito do mouse no ícone do Avira ao lado do relógioClique na opção "Antivir Guard enable".

*Execute o Combofix e aceite o contrato

*Se o console de recuperação do Windows já estiver instalado, o ComboFix continuará o processo automaticamente. Caso contrário, clique em [sIM] para a sua instalação.

/applications/core/interface/imageproxy/imageproxy.php?img=http://i.imagehost.org/0741/recovery-console-prompt.jpg&key=e82a02a7669077650b575129b2877919986cc4825b1687eb2ffdb0009aaf6732" alt="recovery-console-prompt.jpg" />

*Clique em [sIM] para continuar.

/applications/core/interface/imageproxy/imageproxy.php?img=http://i.imagehost.org/0744/recovery-console-installed.jpg&key=ea128ab96f17dd81ce75cb7ce84d8f5e2e8b2b0e5321caf560d0276a9f2199c4" alt="recovery-console-installed.jpg" />

*Aguarde a conclusão de todas as etapas

/applications/core/interface/imageproxy/imageproxy.php?img=http://d.imagehost.org/0428/etapas.jpg&key=250c1a0bc69aad66089043d6d8150402761d8cb6b9d93671998163470db4d210" alt="etapas.jpg" />

*Enquanto o ComboFix estiver em execução, evite usar o mouse e o teclado!!..... Para interromper o procedimento tecle N ou 2 e depois ENTER.

*O programa será fechado automaticamente e um relatório (C:\combofix.txt) será apresentado. Cole-o na próxima resposta.

No Aguardo.

Manoela· 24 de ago.

Oi Felipe,

segue o relatório do ComboFix:

ComboFix 10-08-22.05 - USER 24/08/2010 11:23:41.1.2 - x86

Microsoft Windows XP Professional 5.1.2600.2.1252.55.1046.18.1790.1234 [GMT -3:00]

Executando de: c:\documents and settings\USER\Desktop\ComboFix.exe

AV: AntiVir Desktop On-access scanning disabled (Outdated) {AD166499-45F9-482A-A743-FDD3350758C7}

* Criado um novo ponto de restauração

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))

c:\documents and settings\USER\Dados de aplicativos\inst.exe

(((((((((((((((( Arquivos/Ficheiros criados de 2010-07-24 to 2010-08-24 ))))))))))))))))))))))))))))

2010-08-20 23:09 . 2010-04-29 18:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2010-08-20 23:09 . 2010-08-20 23:09 -------- d-----w- c:\arquivos de programas\Malwarebytes' Anti-Malware

2010-08-20 23:09 . 2010-04-29 18:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

2010-08-20 23:00 . 2010-08-20 23:00 -------- d-----w- c:\documents and settings\USER\Dados de aplicativos\Malwarebytes

2010-08-20 23:00 . 2010-08-20 23:00 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Malwarebytes

2010-08-05 10:42 . 2010-08-05 10:42 503808 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-5fec2649-n\msvcp71.dll

2010-08-05 10:42 . 2010-08-05 10:42 499712 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-5fec2649-n\jmc.dll

2010-08-05 10:42 . 2010-08-05 10:42 348160 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-5fec2649-n\msvcr71.dll

2010-08-05 10:41 . 2010-08-05 10:41 61440 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-5970bd91-n\decora-sse.dll

2010-08-05 10:41 . 2010-08-05 10:41 12800 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-5970bd91-n\decora-d3d.dll

((((((((((((((((((((((((((((((((((((( Relatório Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))

2010-08-22 14:50 . 2010-03-02 17:37 -------- d-----w- c:\documents and settings\USER\Dados de aplicativos\vlc

2010-08-22 14:46 . 2010-03-03 05:35 -------- d-----w- c:\documents and settings\USER\Dados de aplicativos\dvdcss

2010-08-22 14:05 . 2009-11-11 10:54 -------- d-----w- c:\documents and settings\USER\Dados de aplicativos\Vso

2010-08-20 02:57 . 2008-06-25 19:25 -------- d-----w- c:\arquivos de programas\Mystery Case Files - Prime Suspects

2010-08-20 02:52 . 2010-02-11 22:31 -------- d---a-w- c:\documents and settings\All Users\Dados de aplicativos\TEMP

2010-08-20 02:52 . 2010-02-11 22:31 -------- d-----w- c:\arquivos de programas\SpywareBlaster

2010-08-20 02:39 . 2009-03-21 02:45 -------- d-----w- c:\documents and settings\USER\Dados de aplicativos\Media Player Classic

2010-08-20 02:39 . 2008-06-11 14:04 -------- d-----w- c:\arquivos de programas\CCleaner

2010-08-20 02:10 . 2010-05-13 10:41 664 ----a-w- c:\windows\system32\d3d9caps.dat

2010-07-28 07:55 . 2009-09-25 21:47 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\NOS

2010-07-20 17:39 . 2008-06-11 14:16 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\DVD Shrink

2010-07-10 22:58 . 2008-06-11 15:57 -------- d-----w- c:\arquivos de programas\Windows Media Connect 2

2010-07-10 22:54 . 2008-06-11 14:29 -------- d-----w- c:\arquivos de programas\Nero

2010-07-10 22:52 . 2010-02-11 22:29 -------- d-----w- c:\arquivos de programas\Marcos Velasco Security

2010-07-10 22:49 . 2009-12-13 23:26 -------- d-----w- c:\arquivos de programas\Auslogics

2010-06-09 18:14 . 1782-01-19 03:14 72078 ----a-w- c:\windows\system32\perfc016.dat

2010-06-09 18:14 . 1782-01-19 03:14 436552 ----a-w- c:\windows\system32\perfh016.dat

2010-06-02 15:05 . 2010-06-02 15:05 503808 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\46\f84c6ae-2aa52a60-n\msvcp71.dll

2010-06-02 15:05 . 2010-06-02 15:05 499712 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\46\f84c6ae-2aa52a60-n\jmc.dll

2010-06-02 15:05 . 2010-06-02 15:05 348160 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\46\f84c6ae-2aa52a60-n\msvcr71.dll

2010-06-02 15:04 . 2010-06-02 15:04 61440 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\50\5535ab32-73b365a1-n\decora-sse.dll

2010-06-02 15:04 . 2010-06-02 15:04 12800 ----a-w- c:\documents and settings\USER\Dados de aplicativos\Sun\Java\Deployment\SystemCache\6.0\50\5535ab32-73b365a1-n\decora-d3d.dll

2010-03-02 17:28 . 2010-03-02 16:31 18499623 ----a-w- c:\arquivos de programas\vlc-1.0.5-win32.exe

(((((((((((((((((((((((((( Pontos de Carregamento do Registro )))))))))))))))))))))))))))))))))))))))

Nota entradas vazias e legítimas por defeito não são mostradas.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NVIDIA nTune"="c:\arquivos de programas\NVIDIA Corporation\nTune\nTuneCmd.exe" [2007-09-04 81920]

"msnmsgr"="c:\arquivos de programas\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883840]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-07-25 8433664]

"nwiz"="nwiz.exe" [2007-07-25 1626112]

"AzMixerSel"="c:\arquivos de programas\Realtek\InstallShield\AzMixerSel.exe" [2007-07-20 53248]

"SunJavaUpdateSched"="c:\arquivos de programas\Arquivos comuns\Java\Java Update\jusched.exe" [2010-02-18 248040]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-07-25 81920]

"avgnt"="c:\arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute REG_MULTI_SZ \0

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^Adobe Reader Speed Launch.lnk]

backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^Adobe Reader Synchronizer.lnk]

backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Iniciar^Programas^Inicializar^HP Digital Imaging Monitor.lnk]

backup=c:\windows\pss\HP Digital Imaging Monitor.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^USER^Menu Iniciar^Programas^Inicializar^Ferramenta de Verificação de Mídia do Picture Motion Browser.lnk]

backup=c:\windows\pss\Ferramenta de Verificação de Mídia do Picture Motion Browser.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]

c:\windows\system32\dumprep 0 -k [X]

HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2008-01-12 00:16 39792 ----a-w- c:\arquivos de programas\Adobe\Reader 8.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr]

2007-07-20 02:18 69632 -c----r- c:\windows\Alcmtr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]

2004-08-04 03:45 15360 ----a-w- c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]

2007-08-24 10:00 33648 ----a-w- c:\arquivos de programas\Microsoft Office\Office12\GrooveMonitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Component Manager]

2003-12-22 10:38 241664 ----a-w- c:\arquivos de programas\HP\hpcoretech\hpcmpmgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]

2003-08-04 19:28	49152	----a-w-	c:\arquivos de programas\HP\HP Software Update\hpwuSchd.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]

2004-10-13 16:24 1694208 ------w- c:\arquivos de programas\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]

2009-07-26 18:44 3883840 ----a-w- c:\arquivos de programas\Windows Live\Messenger\msnmsgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2006-01-12 17:40 155648 ----a-w- c:\windows\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl]

2003-12-08 20:35 32768 ----a-w- c:\arquivos de programas\CyberLink\PowerDVD\PDVDServ.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]

2007-07-20 02:18 16132608 -c----r- c:\windows\RTHDCPL.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Arquivos de programas\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

"c:\\Arquivos de programas\\Microsoft Office\\Office12\\GROOVE.EXE"=

"c:\\Arquivos de programas\\Microsoft Office\\Office12\\ONENOTE.EXE"=

"c:\\Arquivos de programas\\iWin Games\\WebUpdater.exe"=

"c:\\Arquivos de programas\\Messenger\\msmsgs.exe"=

"c:\\WINDOWS\\system32\\javaw.exe"=

"c:\\Arquivos de programas\\Skype\\Phone\\Skype.exe"=

"c:\\Arquivos de programas\\Mozilla Firefox\\firefox.exe"=

"c:\\Arquivos de programas\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Arquivos de programas\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Arquivos de programas\\BitTorrent\\bittorrent.exe"=

"c:\\Arquivos de programas\\Java\\jre6\\bin\\javaw.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"2561:TCP"= 2561:TCP:tbomrby

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\arquivos de programas\Avira\AntiVir Desktop\sched.exe [13/12/2009 20:05 108289]

R3 hidshim;Service for HID-KMDF Shim layer;c:\windows\system32\drivers\hidshim.sys [11/6/2008 10:57 5632]

R3 hwusbdev;Huawei DataCard USB PNP Device;c:\windows\system32\drivers\ewusbdev.sys [26/1/2007 13:36 100480]

R3 winbondhidcir;Winbond HID CIR Receiver;c:\windows\system32\drivers\winbondhidcir.sys [11/6/2008 10:57 21504]

S2 bxgqieybo;Monitor Driver;c:\windows\system32\svchost.exe -k netsvcs [4/8/2004 00:45 14336]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

bxgqieybo

Conteúdo da pasta 'Tarefas Agendadas'

2009-09-05 c:\windows\Tasks\NSSstub.job

c:\windows\system32\Adobe\Shockwave 11\nssstub.exe [2009-09-05 02:51]

------- Scan Suplementar -------

uInternet Connection Wizard,ShellNext = iexplore

IE: E&xportar para o Microsoft Excel - c:\arquiv~1\MICROS~2\Office12\EXCEL.EXE/3000

TCP: {0AA6FDCA-4F13-41BE-A638-22698DD370B9} = 200.220.227.57 200.142.130.203

FF - ProfilePath - c:\documents and settings\USER\Dados de aplicativos\Mozilla\Firefox\Profiles\hlw1vgmr.default\

FF - prefs.js: browser.search.selectedEngine - BS.Player Search

FF - prefs.js: browser.startup.homepage - hxxp://www.google.com.br

FF - plugin: c:\arquivos de programas\Mozilla Firefox\plugins\npdeployJava1.dll

FF - plugin: c:\documents and settings\All Users\Dados de aplicativos\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll

---- FIREFOX POLICIES ----

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type", 5);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size", 4096);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);

c:\arquivos de programas\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);

c:\arquivos de programas\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");

c:\arquivos de programas\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);

c:\arquivos de programas\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox-l10n.js - pref("browser.fixup.alternate.suffix", ".com.br");

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);

c:\arquivos de programas\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-08-24 11:26

Windows 5.1.2600 Service Pack 2 NTFS

Procurando processos ocultos ...

Procurando entradas auto inicializáveis ocultas ...

Procurando ficheiros/arquivos ocultos ...

Varredura completada com sucesso

arquivos/ficheiros ocultos: 0

**************************************************************************

Tempo para conclusão: 2010-08-24 11:28:18

ComboFix-quarantined-files.txt 2010-08-24 14:28

Pré-execução: 10 pasta(s) 18.011.897.856 bytes disponíveis

Pós execução: 14 pasta(s) 17.965.998.080 bytes disponíveis

WindowsXP-KB310994-SP2-Pro-BootDisk-PTG.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- End Of File - - 91511E88D3064EDAFD389014E178CADF

Grata,

>
Manoela,

*Baixe o ComboFix'>http://download.bleepingcomputer.com/sUBs/ComboFix.exe"]ComboFix e salve-o no desktop

* Desative seu antivírus temporariamente:

Clique com o botão direito do mouse no ícone do Avira ao lado do relógioClique na opção "Antivir Guard enable".

*Execute o Combofix e aceite o contrato

*Se o console de recuperação do Windows já estiver instalado, o ComboFix continuará o processo automaticamente. Caso contrário, clique em [sIM] para a sua instalação.

*Clique em [sIM] para continuar.

*Aguarde a conclusão de todas as etapas

/applications/core/interface/imageproxy/imageproxy.php?img=http://d.imagehost.org/0428/etapas.jpg&key=250c1a0bc69aad66089043d6d8150402761d8cb6b9d93671998163470db4d210" alt="etapas.jpg" />

*Enquanto o ComboFix estiver em execução, evite usar o mouse e o teclado!!..... Para interromper o procedimento tecle N ou 2 e depois ENTER.

*O programa será fechado automaticamente e um relatório (C:\combofix.txt) será apresentado. Cole-o na próxima resposta.

No Aguardo.

Felipe_88· 25 de ago.

Manoela,

*Abra o bloco de notas, selecione, copie e cole nele todo o conteúdo do código abaixo:

>
Registry::

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"2561:TCP"=-

NetSvc::

bxgqieybo

Driver::

bxgqieybo

*Salve o arquivo no desktop como CFScript.txt

*Arraste o arquivo para o Combofix conforme ilustração abaixo:

/applications/core/interface/imageproxy/imageproxy.php?img=http://e.imagehost.org/0616/CFScript.gif&key=995821588d89147a56f11f5fac3fa9589d8f9b036ce5e2e1e08b37718477c6a9" alt="CFScript.gif" />

*Importante: enquanto o combofix estiver em execução, não use o mouse nem o teclado!!

*Ao final do procedimento, o programa será fechado automaticamente e será mostrado o relatório

*Cole o relatório criado em C:\combofix.txt

Manoela· 26 de ago.

Oi Felipe,

eu gostaria de entender o que você anda vendo nos logs, me explica?! esse adwere fez o que? O que o combofix fez no meu computador?

Eu vi que esse combofix criou algumas pastas aqui no C: tipo, Mmi_email_temp; MSOcache; Qoobox .

Agora segue o relatório do combofix:

ComboFix 10-08-22.05 - USER 26/08/2010 1:03.2.2 - x86

Microsoft Windows XP Professional 5.1.2600.2.1252.55.1046.18.1790.1160 [GMT -3:00]

Executando de: c:\documents and settings\USER\Desktop\ComboFix.exe

Comandos utilizados :: c:\documents and settings\USER\Desktop\CFScript.txt

AV: AntiVir Desktop On-access scanning disabled (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

* Criado um novo ponto de restauração

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))

((((((((((((((((((((((((((((((((((((((( Drivers/Serviços )))))))))))))))))))))))))))))))))))))))))))))))))

-------\Legacy_BXGQIEYBO

-------\Service_bxgqieybo

(((((((((((((((( Arquivos/Ficheiros criados de 2010-07-26 to 2010-08-26 ))))))))))))))))))))))))))))

2010-08-26 03:54 . 2010-08-26 03:54 -------- d-----w- c:\windows\LastGood.Tmp