[Resolvido!]Micro som spywares

dexter020971 · Fevereiro 7, 2006

Amigos, logo apos entrar em uma pag da net, meu AVG antivirus comecou a dar mensagens

de infeccao do tipo:

-trojan horse.Downloader.Generic.NCR file name:zxczxc

-I worm\Locksky. file name:cdegfr

-Klone. file name: wdcevf

-trojan horse.Dropper.Generic.BJX file name:wdcsadsad

-trojan horse dialer.BIB file name: dial32.exe location: C:\WINDOWS\system32\dial32.exe

Mandei excluir todos, e apos reinciar o computador apareceu um prompt DOS Netsh.exe, e logo apos,

o AVG aparece com todas mensagens novamente, os mesmos virus.

Agora isso acontece a cada vez q reinicio..

O q faço pra livrar-me dessas pragas??

Rodei o Hijackthis e posto o resultado a seguir.

Por favor, ajudem-me.

Obrigado antecipadamente.

Dexter.

---------------------------------------------------------------------

Logfile of HijackThis v1.99.1

Scan saved at 00:19:30, on 7/2/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Arquivos de programas\Ahead\InCD\InCDsrv.exe

C:\WINDOWS\system32\spoolsv.exe

C:\ARQUIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARQUIV~1\Grisoft\AVG7\avgupsvc.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\CTsvcCDA.exe

C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\slserv.exe

C:\Arquivos de programas\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\Java\jre1.5.0_06\bin\jusched.exe

C:\Arquivos de programas\Ahead\InCD\InCD.exe

D:\Arquivos de programas\D-Tools\daemon.exe

C:\Arquivos de programas\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe

C:\ARQUIV~1\Grisoft\AVG7\avgcc.exe

D:\Arquivos de programas\HP\HP Software Update\HPWuSchd2.exe

C:\WINDOWS\system32\cmd32.exe

C:\WINDOWS\system32\ctfmon.exe

D:\Arquivos de Programas\HP\Digital Imaging\bin\hpqtra08.exe

D:\Arquivos de Programas\Nikon\PictureProject\NkbMonitor.exe

D:\Arquivos de programas\HP\Digital Imaging\bin\hpqgalry.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Arquivos de programas\Internet Explorer\iexplore.exe

d:\ARQUIV~1\FREEDO~1\fdm.exe

D:\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 130.104.72.201:3124

O2 - BHO: SuperAdBlockerBHO Class - {00000000-6C30-11D8-9363-000AE6309654} - C:\Arquivos de programas\Super Ad Blocker\SABBHO.dll

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - D:\Arquivos de Programas\iMesh\iMesh5\iMeshBHO.dll (file missing)

O2 - BHO: Watch for Browser Events - {42A7CE31-CEE7-4CCE-A060-A44A7E52E062} - D:\ARQUIV~1\KEYBOA~2\kie.dll

O2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARQUIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O3 - Toolbar: Super Ad Blocker Toolbar - {B4B3001E-0F56-4E51-8250-BDE11547EC55} - C:\Arquivos de programas\Super Ad Blocker\sabtb.dll

O3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Arquivos de programas\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [inCD] C:\Arquivos de programas\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Arquivos de programas\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [CTSysVol] C:\Arquivos de programas\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe /r

O4 - HKLM\..\Run: [AWMON] "C:\Arquivos de programas\Ad-Aware SE Professional\Ad-Watch.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARQUIV~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [Atualizador - Puxa Rápido] d:\Arquivos de programas\Puxa Rápido 0.846\Atualiza.exe

O4 - HKLM\..\Run: [HP Software Update] "D:\Arquivos de programas\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\system32\cmd32.exe internat.dll,LoadKeyboardProfile

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: Adobe Gamma.lnk = C:\Arquivos de programas\Arquivos comuns\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Arquivos de programas\Arquivos comuns\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = D:\Arquivos de Programas\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Inicialização rápida do HP Image Zone.lnk = D:\Arquivos de Programas\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: NkbMonitor.exe.lnk = D:\Arquivos de Programas\Nikon\PictureProject\NkbMonitor.exe

O8 - Extra context menu item: Download all by Free Download Manager - file://d:\Arquivos de programas\Free Download Manager\dlall.htm

O8 - Extra context menu item: Download by Free Download Manager - file://d:\Arquivos de programas\Free Download Manager\dllink.htm

O8 - Extra context menu item: Download selected by Free Download Manager - file://d:\Arquivos de programas\Free Download Manager\dlselected.htm

O8 - Extra context menu item: Download web site by Free Download Manager - file://d:\Arquivos de programas\Free Download Manager\dlpage.htm

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Arquivos de programas\ICQLite\ICQLite.exe

O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Arquivos de programas\ICQLite\ICQLite.exe

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O16 - DPF: {CC05BC12-2AA2-4AC7-AC81-0E40F83B1ADF} (Live365Player Class) - http://www.live365.com/players/play365.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{4810D9E7-F17A-44C4-8D01-05A9148915DF}: NameServer = 10.2.10.2

O23 - Service: Adobe LM Service - Adobe Systems - C:\Arquivos de programas\Arquivos comuns\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Arquivos de programas\Arquivos comuns\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Arquivos de programas\Ahead\InCD\InCDsrv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Super Ad Blocker Service (SABSVC) - SuperAdBlocker.com - C:\Arquivos de programas\Super Ad Blocker\SABSVC.EXE

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Arquivos de programas\Analog Devices\SoundMAX\SMAgent.exe

jgarcia · Fevereiro 7, 2006

Caro dexter020971,

Vamos lá.

Habilite o Windows para mostrar todos os arquivos (até ocultos).

Desinstale:

--> iMesh5

--> iMeshBar

Utilize Adicionar / Remover programas.

Desinstale, um a um, e reinicie após tê-los desinstalado.

D:\Downloads\HijackThis.exe <-- Não.

Atenção --> Coloque o HijackThis em uma pasta prórpia, por exemplo: D:\HTJ\HijackThis.exe.

1ª Etapa

Baixe o Killbox em:

Killbox

1) Execute o Killbox, clique em Delete on Reboot.

2) Copie a lista abaixo em negrito para a área de transferência. Selecione --> Editar --> Copiar.

C:\WINDOWS\system32\cmd32.exe
C:\Arquivos de programas\iMeshBar

D:\Arquivos de Programas\iMesh

3. Retorne ao Killbox. Clique em File > Paste from clipboard. Clique em All Files.

4. Aperte em "X". Responda "não" à pergunta.

É prudente que você faça a impressão deste documento ou salve-o em um lugar de fácil acesso, pois na próxima etapa entraremos em Modo de Seguro e a conexão à internet não será possível.

2ª Etapa

Reinicie o computador em Modo Seguro (após reiniciar aperte a tecla F8 até aparecer uma tela preta em DOS e escolha Modo Seguro).

Execute o HijackThis, clique em Do a system scan only e marque:

O2 - BHO: DownloadRedirect Class - {00000000-6CB0-410C-8C3D-8FA8D2011D0A} - D:\Arquivos de Programas\iMesh\iMesh5\iMeshBHO.dll (file missing)
O2 - BHO: iMeshBar BHO - {5345A7A1-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)

O3 - Toolbar: iMeshBar - {5345A7A9-805A-4923-B505-86B2FEBA3FE0} - C:\Arquivos de programas\iMeshBar\bar\1.bin\IMESHBAR.DLL (file missing)

O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\system32\cmd32.exe internat.dll,LoadKeyboardProfile

O16 - DPF: {CC05BC12-2AA2-4AC7-AC81-0E40F83B1ADF} (Live365Player Class) - http://www.live365.com/players/play365.cab

Clique em Fix Checked.

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 130.104.72.201:3124

Você utiliza um Proxy para conectar-se à internet?

3ª Etapa

Reinicie em modo normal.

Execute os seguintes scans:

Active Scan da Panda

Scan Online F-Secure

Poste os resultados e um novo log do HijackThis.

Aguardo retorno.

Abraços.

dexter020971 · Fevereiro 7, 2006

Caro jgarcia,Primeiramente, gostaria de agradecer pelo rápido retorno.Peço desculpas também pelo título que coloquei no post.Estou no trabalho neste momento e, logo que chegar em casa,estarei colocando em prática o que você me passou.Apenas quero informar algo que esqueci quando fiz o post:Notei também que foi instalado o SpySheriff obviamente sem minha autorização.Se isso alterar a lista de passos que tenho que seguir, por favor, informe.Muito Obrigado.Dexter.

jgarcia · Fevereiro 7, 2006

Notei também que foi instalado o SpySheriff obviamente sem minha autorização.
Se isso alterar a lista de passos que tenho que seguir, por favor, informe.

A priori a resposta fica inalterada. ;)

dexter020971 · Fevereiro 8, 2006

Olá...

Após cumprir as medidas mencionadas, o AVG não manifestou mais mensagens de vírus, e o

Netsh.exe não apareceu mais.

Porém notei que:

1) O SpySheriff continua sendo executado a cada inicialização.

2) Quando tento CTRL+ALT+DEL aparece a mensagem: "O Gerenciador de Tarefas foi desativado pelo Administrador"

3) Pelos logs aparecem varios virus, pragas, etc não desinfectados...

Bem, terminei o processo do SpySheriff com o Killbox, entrei no MsConfig e desativei, na aba Inicializar, as referências para c:\winstall.exe e c:\program files\spysheriff\spysheriff.exe.

Reiniciei o micro e o spysheriff não se manifestou, mas quando verifiquei no MsConfig, as duas

entradas estavam novamente habilitadas para inicializar junto com o Windows...

Aguardo novas instruções.. estou postando abaixo os logs..

Muito Obrigado.

Dexter.

-----------------------------------------

HIJACKTHIS

Logfile of HijackThis v1.99.1

Scan saved at 23:03:10, on 7/2/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Arquivos de programas\Ahead\InCD\InCDsrv.exe

C:\WINDOWS\system32\spoolsv.exe

C:\ARQUIV~1\Grisoft\AVG7\avgamsvr.exe

C:\ARQUIV~1\Grisoft\AVG7\avgupsvc.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\WINDOWS\System32\CTsvcCDA.exe

C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\slserv.exe

C:\Arquivos de programas\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\MsPMSPSv.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\Java\jre1.5.0_06\bin\jusched.exe

C:\Arquivos de programas\Ahead\InCD\InCD.exe

C:\Arquivos de programas\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe

C:\ARQUIV~1\Grisoft\AVG7\avgcc.exe

D:\Arquivos de programas\HP\HP Software Update\HPWuSchd2.exe

D:\Arquivos de programas\D-Tools\daemon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\symsvcsa.exe

D:\Arquivos de Programas\HP\Digital Imaging\bin\hpqtra08.exe

D:\Arquivos de Programas\Nikon\PictureProject\NkbMonitor.exe

D:\Arquivos de programas\HP\Digital Imaging\bin\hpqgalry.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Arquivos de programas\Internet Explorer\iexplore.exe

D:\HTJ\HijackThis.exe