[Resolvido] PC infectado com spyware

[mosuai 0]

Gente, desde ontem de noite meu pc está infectado, já passei o Norton 2004 várias vezes de ontem pra hoje e a cada nova verificação surge alguma coisa, nunca consigo excluir tudo o que aparece. Baixei tb um programa que verifica spyware no pc e os deleta; mesmo assim sempre após um scan o problema continua e a mensagem do windows que o computador está infectado permanece. Não sei mais o que fazer, não entendo muito dessas coisas preciso muito da ajuda de vcs! AbraçosLogfile of HijackThis v1.98.2Scan saved at 14:32:52, on 15/12/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccSetMgr.exeC:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\system32\CTsvcCDA.EXEC:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7Debug\mdm.exeC:\Arquivos de programas\Webroot\Spy Sweeper\WRSSSDK.exeC:\WINDOWS\system32\ZONELABS\vsmon.exeC:\WINDOWS\system32\MsPMSPSv.exeC:\WINDOWS\Explorer.exeC:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exeC:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exeC:\Arquivos de programas\Webroot\Spy Sweeper\SpySweeper.exeC:\WINDOWS\system32\kernels64.exeC:\WINDOWS\system32\ctfmon.exeC:\Arquivos de programas\MSN Messenger\msnmsgr.exeC:\Arquivos de programas\Creative\PlayCenter2\CTNMRUN.EXEC:\winstall.exeC:\WINDOWS\system32\vxh8jkdq2.exeC:\WINDOWS\system32\vxh8jkdq6.exeC:\WINDOWS\system32\vxh8jkdq7.exeC:\Arquivos de programas\WinZip\WZQKPICK.EXEC:\Documents and Settings\All Users\Menu Iniciar\Programas\Inicializar\palstart.exeC:\Arquivos de programas\SilentIdea\silentid.exeC:\ARQUIV~1\NORTON~1\navw32.exeC:\Arquivos de programas\Internet Explorer\iexplore.exeC:\WINDOWS\system32\vxh8jkdq5.exeC:\HijackThisv1.98.2\HijackThis.exeC:\Arquivos de programas\Messenger\msmsgs.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.aspF2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\kernels64.exeO2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - C:\Arquivos de programas\iMesh\iMesh5\iMeshBHO.dllO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\3.bin\IMESHBAR.DLLO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Arquivos de programas\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Arquivos de programas\Norton AntiVirus\NavShExt.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Arquivos de programas\Norton AntiVirus\NavShExt.dllO3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\3.bin\IMESHBAR.DLLO4 - HKLM\..\Run: [ccApp] "C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\ARQUIV~1\SYMNET~1\SNDMon.exeO4 - HKLM\..\Run: [Zone Labs Client] C:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exeO4 - HKLM\..\Run: [spySweeper] "C:\Arquivos de programas\Webroot\Spy Sweeper\SpySweeper.exe" /startintrayO4 - HKLM\..\Run: [system] C:\WINDOWS\system32\kernels64.exeO4 - HKLM\..\RunServices: [systemTools] C:\WINDOWS\system32\kernels64.exeO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [msnmsgr] "C:\Arquivos de programas\MSN Messenger\msnmsgr.exe" /backgroundO4 - HKCU\..\Run: [NOMAD Detector] "C:\Arquivos de programas\Creative\PlayCenter2\CTNMRUN.EXE"O4 - HKCU\..\Run: [Windows installer] C:\winstall.exeO4 - Startup: SilentId.lnk = C:\Arquivos de programas\SilentIdea\silentid.exeO4 - Global Startup: Microsoft Office.lnk = C:\Arquivos de programas\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: WinZip Quick Pick.lnk = C:\Arquivos de programas\WinZip\WZQKPICK.EXEO4 - Global Startup: palstart.exeO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Arquivos de programas\Arquivos comuns\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exeO14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.aspO17 - HKLM\System\CCS\Services\Tcpip\..\{BEF07FA9-43B3-44A6-AAFE-D25EC845E75A}: NameServer = 200.165.132.154 200.149.55.142O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

[jgarcia 1]

Caro mosuai,

 

Vamos lá.

 

Habilite o Windows para mostrar todos os arquivos (até ocultos).

 

Desinstale:

--> iMesh

 

Utilize Adicionar / Remover programas.

 

Desinstale e reinicie após tê-lo desinstalado.

 

1ª Etapa

 

Baixe o Killbox em:

Killbox

 

Baixe, mas não execute ainda.

 

Baixe o CWShredder em:

CWShredder

 

Baixe, mas não execute ainda.

 

2ª Etapa

 

Execute o KillBox:

1) Selecione Delete on reboot;

2) Full path of file to delete;

3) Coloque:

C:\Arquivos de programas\iMesh - Aperte X. Responda "sim" à primeira pergunta e "não" à segunda.

 

Repita a operação para:

C:\WINDOWS\system32\kernels64.exe

C:\WINDOWS\system32\vxh8jkdq2.exe

C:\WINDOWS\system32\vxh8jkdq5.exe

C:\WINDOWS\system32\vxh8jkdq6.exe

C:\WINDOWS\system32\vxh8jkdq7.exe

C:\Documents and Settings\All Users\Menu Iniciar\Programas\Inicializar\palstart.exe

C:\winstall.exe

Caso o Killbox acuse a não existência de algum arquivo/pasta, apenas passe para o próximo.

 

É prudente que você faça a impressão deste documento ou salve-o em um lugar de fácil acesso, pois na próxima etapa entraremos em Modo Seguro e a conexão à internet não será possível.

 

3ª Etapa

 

Reinicie o computador em Modo Seguro (após reiniciar aperte a tecla F8 até aparecer uma tela preta em DOS e escolha Modo Seguro).

 

Execute o HijackThis, clique em Do a system scan only e marque:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\kernels64.exe

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - C:\Arquivos de programas\iMesh\iMesh5\iMeshBHO.dll

O2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\3.bin\IMESHBAR.DLL

O3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\3.bin\IMESHBAR.DLL

O4 - HKLM\..\Run: [system] C:\WINDOWS\system32\kernels64.exe

O4 - HKLM\..\RunServices: [systemTools] C:\WINDOWS\system32\kernels64.exe

O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe

O4 - Global Startup: palstart.exe

Clique em Fix Checked.

 

4ª Etapa

 

Ainda em Modo Seguro faça o seguinte:

 

1) Execute o CWShredder.

 

5ª Etapa

 

Reinicie em modo normal.

 

Poste o novo log.

 

Aguardo retorno.

 

Um abraço.

[mosuai 0]

Apesar dos erros que lhe disse atraves da mensagem pessoal, eu prosegui o processo. Uma coisa interessante foi que, alguns das coisas que você pediu para marcar no hajackthis no modo de segurança não estavam lá; uns 2 ou 3 não constavam, marquei todos os que estavam lá e que foram pedidos. Aqui é o novo log. O aviso do windows que o pc estava infectado com spyware sumiu! Espero que esteja td certinho, valeu!Logfile of HijackThis v1.98.2Scan saved at 20:23:39, on 15/12/2005Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccSetMgr.exeC:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccEvtMgr.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\system32\CTsvcCDA.EXEC:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7Debug\mdm.exeC:\Arquivos de programas\Webroot\Spy Sweeper\WRSSSDK.exeC:\WINDOWS\Explorer.EXEC:\WINDOWS\system32\ZONELABS\vsmon.exeC:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exeC:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exeC:\Arquivos de programas\Webroot\Spy Sweeper\SpySweeper.exeC:\WINDOWS\system32\ctfmon.exeC:\Arquivos de programas\MSN Messenger\msnmsgr.exeC:\Arquivos de programas\Creative\PlayCenter2\CTNMRUN.EXEC:\WINDOWS\system32\MsPMSPSv.exeC:\Arquivos de programas\WinZip\WZQKPICK.EXEC:\Arquivos de programas\SilentIdea\silentid.exeC:\WINDOWS\system32\wuauclt.exeC:\WINDOWS\system32\wuauclt.exeC:\HijackThisv1.98.2\HijackThis.exeC:\Arquivos de programas\Messenger\msmsgs.exeR1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.aspO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocxO2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Arquivos de programas\Spybot - Search & Destroy\SDHelper.dllO2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Arquivos de programas\Norton AntiVirus\NavShExt.dllO3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Arquivos de programas\Norton AntiVirus\NavShExt.dllO4 - HKLM\..\Run: [ccApp] "C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exe"O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\ARQUIV~1\SYMNET~1\SNDMon.exeO4 - HKLM\..\Run: [Zone Labs Client] C:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exeO4 - HKLM\..\Run: [spySweeper] "C:\Arquivos de programas\Webroot\Spy Sweeper\SpySweeper.exe" /startintrayO4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exeO4 - HKCU\..\Run: [msnmsgr] "C:\Arquivos de programas\MSN Messenger\msnmsgr.exe" /backgroundO4 - HKCU\..\Run: [NOMAD Detector] "C:\Arquivos de programas\Creative\PlayCenter2\CTNMRUN.EXE"O4 - Startup: SilentId.lnk = C:\Arquivos de programas\SilentIdea\silentid.exeO4 - Global Startup: Microsoft Office.lnk = C:\Arquivos de programas\Microsoft Office\Office10\OSA.EXEO4 - Global Startup: WinZip Quick Pick.lnk = C:\Arquivos de programas\WinZip\WZQKPICK.EXEO4 - Global Startup: Adobe Gamma Loader.lnk = C:\Arquivos de programas\Arquivos comuns\Adobe\Calibration\Adobe Gamma Loader.exeO8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office10\EXCEL.EXE/3000O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exeO9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exeO14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.aspO18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

[jgarcia 1]

Caro mosuai,

 

O seu log está LIMPO!!! :thumbsup:

 

Para finalizar:

 

1. Desabilite e Reabilite a função de Restauração Automática do XP. Clique aqui e saiba como.

 

Abraços.

[Shine 0]

PROBLEMA RESOLVIDO!

 

Caso o autor necessite que o tópico seja reaberto é necessário enviar uma Mensagem Privada para um Moderador com um link para o tópico.