[Resolvido!]Ibm0001 ERROR!

[odrac 0]

eu peguei um malware, e resolvi o problema mas estava dando o erro do ibm00001 resolvi tbm mas quando reinicio o Windows ela da uma mensagem assim ERROR! somente isso tem como eu resolver isso, aguardo resposta...

[jgarcia 1]

Caro odrac,

 

Faça o seguinte:

 

Baixe o HijackThis versão 1.99.1.

 

Depois > Iniciar > Meu Computador > 02 cliques no C > Coloca o HijackThis no C (extraindo do zip --> para uma pasta própria tipo c:/Hijack).

 

Execute o Hijack a partir do C, fechando os demais programas (deixando somente a área de trabalho).

 

Clique em Do a system scan and save a logfile, mas não marque nada, apenas poste o log gerado aqui neste mesmo tópico.

 

Abraços.

[odrac 0]

Logfile of HijackThis v1.99.1

Scan saved at 19:11:03, on 10/02/06

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v5.00 (5.00.2614.3500)

 

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\PCTVOICE.EXE

C:\WINDOWS\ptsnoop.exe

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGCC.EXE

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGAMSVR.EXE

C:\ARQUIVOS DE PROGRAMAS\PANDA SOFTWARE\PANDA ANTIVIRUS TITANIUM\APVXDWIN.EXE

C:\WINDOWS\SYSTEM\SVCH0ST.EXE

C:\WINDOWS\SYSTEM\SISTRAY.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\ARQUIVOS DE PROGRAMAS\PANDA SOFTWARE\PANDA ANTIVIRUS TITANIUM\PAVPROXY.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

\\CPD_FULL\C\ARQUIVOS DE PROGRAMAS\MSN MESSENGER\MSNMSGR.EXE

C:\ARQUIVOS DE PROGRAMAS\INTERNET EXPLORER\IEXPLORE.EXE

C:\WINDOWS\SYSTEM\PSTORES.EXE

C:\HIJACKTHIS\HIJACKTHIS.EXE

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.moneyscript.com.br

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :8080

O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\SYSTEM\msnscps.dll

O2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - C:\WINDOWS\inet20004\3.01.00.dll (file missing)

O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [PCTVOICE] pctvoice.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe

O4 - HKLM\..\Run: [PTSNOOP] ptsnoop.exe

O4 - HKLM\..\Run: [Repair Service Manager] C:\WINDOWS\SYSTEM\lzxdpo.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGEMC.EXE

O4 - HKLM\..\Run: [AVG7_AMSVR] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE

O4 - HKLM\..\Run: [APVXDWIN] "C:\Arquivos de programas\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [sVCH0ST] C:\WINDOWS\SYSTEM\SVCH0ST.EXE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [schedulingAgent] mstask.exe

O4 - HKCU\..\RunServices: [aupd] C:\WINDOWS\SYSTEM\symsvcsa.exe

O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=

O14 - IERESET.INF: START_PAGE_URL=

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 13.0.0.2

 

Pronto aí está o resultado!

[jgarcia 1]

Caro odrac,

 

Vamos lá.

 

Habilite o Windows para mostrar todos os arquivos (até ocultos).

 

1ª Etapa

 

Baixe o Killbox em:

Killbox

 

Execute o KillBox:

1) Selecione Delete on reboot;

 

2) Copie a lista abaixo em negrito para a área de transferência. Selecione --> Editar --> Copiar:

C:\WINDOWS\SYSTEM\SVCH0ST.EXE

C:\WINDOWS\SYSTEM\lzxdpo.exe

C:\WINDOWS\SYSTEM\symsvcsa.exe

C:\WINDOWS\SYSTEM\msnscps.dll

C:\WINDOWS\inet20004\3.01.00.dll

Não confunda C:\WINDOWS\SYSTEM\SVCH0ST.EXE com C:\WINDOWS\SYSTEM\SVCHOST.EXE, pois o primeiro, que é malicioso, possue o número zero no lugar da letra O.

 

3) Retorne ao Killbox. Clique em File --> Paste from clipboard --> All files;

 

4) Aperte em "X". Responda "não" à pergunta.

 

É prudente que você faça a impressão deste documento ou salve-o em um lugar de fácil acesso, pois na próxima etapa entraremos em Modo de Segurança e a conexão à internet não será possível.

 

2ª Etapa

 

Reinicie o computador em Modo de Segurança (após reiniciar aperte a tecla F8 até aparecer uma tela preta em DOS e escolha Modo de Segurança).

 

Execute o HijackThis, clique em Do a system scan only e marque:

O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\SYSTEM\msnscps.dll

O2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - C:\WINDOWS\inet20004\3.01.00.dll (file missing)

O4 - HKLM\..\Run: [Repair Service Manager] C:\WINDOWS\SYSTEM\lzxdpo.exe

O4 - HKLM\..\Run: [sVCH0ST] C:\WINDOWS\SYSTEM\SVCH0ST.EXE

O4 - HKCU\..\RunServices: [aupd] C:\WINDOWS\SYSTEM\symsvcsa.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=

O14 - IERESET.INF: START_PAGE_URL=

Clique em Fix Checked.

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.moneyscript.com.br

Você escolheu esta página como sendo a sua inicial?

 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :8080

Sua conexão é compartilhada?

 

3ª Etapa

 

Reinicie em modo normal.

 

Verifique se os problemas foram resolvidos e poste o novo log.

 

Aguardo retorno.

 

Um abraço.

[odrac 0]

olá j garciada etapa 1 fiz o 1 o 2n encontrei os arquivosC:\WINDOWS\SYSTEM\symsvcsa.exeC:\WINDOWS\inet20004\3.01.00.dlla pasta inet20004 n existemas mesmo assim continueifiz o 3só q no 4 apareceu uma msg assimfile errorYou have not Specified any File to Delete, You must Specify a File Path in the yellow box

[odrac 0]

ola jgarcia

 

pelo motivo q ocorreu acima preferi passa o hijack novamente,

agradeço a atenção><

 

 

Logfile of HijackThis v1.99.1

Scan saved at 11:05:29, on 12/02/06

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v5.00 (5.00.2614.3500)

 

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\PCTVOICE.EXE

C:\WINDOWS\ptsnoop.exe

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGCC.EXE

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGAMSVR.EXE

C:\ARQUIVOS DE PROGRAMAS\PANDA SOFTWARE\PANDA ANTIVIRUS TITANIUM\APVXDWIN.EXE

C:\WINDOWS\SYSTEM\SVCH0ST.EXE

C:\WINDOWS\SYSTEM\SISTRAY.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\ARQUIVOS DE PROGRAMAS\PANDA SOFTWARE\PANDA ANTIVIRUS TITANIUM\PAVPROXY.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

\\CPD_FULL\C\ARQUIVOS DE PROGRAMAS\MSN MESSENGER\MSNMSGR.EXE

C:\WINDOWS\SYSTEM\PSTORES.EXE

C:\WINDOWS\SYSTEM\WINOA386.MOD

C:\HIJACKTHIS\HIJACKTHIS.EXE

 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :8080

O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\SYSTEM\msnscps.dll

O2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - C:\WINDOWS\inet20004\3.01.00.dll (file missing)

O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [PCTVOICE] pctvoice.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe

O4 - HKLM\..\Run: [PTSNOOP] ptsnoop.exe

O4 - HKLM\..\Run: [Repair Service Manager] C:\WINDOWS\SYSTEM\lzxdpo.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGEMC.EXE

O4 - HKLM\..\Run: [AVG7_AMSVR] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE

O4 - HKLM\..\Run: [APVXDWIN] "C:\Arquivos de programas\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s

O4 - HKLM\..\Run: [sVCH0ST] C:\WINDOWS\SYSTEM\SVCH0ST.EXE

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [schedulingAgent] mstask.exe

O4 - HKCU\..\RunServices: [aupd] C:\WINDOWS\SYSTEM\symsvcsa.exe

O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=

O14 - IERESET.INF: START_PAGE_URL=

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 13.0.0.2

[odrac 0]

olá eu dnovoO2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - C:\WINDOWS\inet20004\3.01.00.dll (file missing)O4 - HKCU\..\RunServices: [aupd] C:\WINDOWS\SYSTEM\symsvcsa.exeencontrei esta duas referência no registro do windows.as q n encontrei no meo computador

[jgarcia 1]

Caro odrac,

 

Vamos lá.

 

Não tente localizar os arquivos, apenas siga as instruções como estão colocadas.

 

1ª Etapa

 

Execute o KillBox:

1) Selecione Delete on reboot;

 

2) Copie a lista abaixo em negrito para a área de transferência. Selecione --> clique direito no mouse --> Copiar:

C:\WINDOWS\SYSTEM\SVCH0ST.EXE

C:\WINDOWS\SYSTEM\lzxdpo.exe

C:\WINDOWS\SYSTEM\symsvcsa.exe

C:\WINDOWS\SYSTEM\msnscps.dll

C:\WINDOWS\inet20004\3.01.00.dll

Não confunda C:\WINDOWS\SYSTEM\SVCH0ST.EXE com C:\WINDOWS\SYSTEM\SVCHOST.EXE, pois o primeiro, que é malicioso, possue o número zero no lugar da letra O.

 

3) Retorne ao Killbox. Clique em File --> Paste from clipboard --> All files;

 

4) Aperte em "X". Responda "não" à pergunta.

 

É prudente que você faça a impressão deste documento ou salve-o em um lugar de fácil acesso, pois na próxima etapa entraremos em Modo de Segurança e a conexão à internet não será possível.

 

2ª Etapa

 

Reinicie o computador em Modo de Segurança.

 

Execute o HijackThis, clique em Do a system scan only e marque:

O2 - BHO: (no name) - {78364D99-A640-4ddf-B91A-67EFF8373045} - C:\WINDOWS\SYSTEM\msnscps.dll

O2 - BHO: HBO Class - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - C:\WINDOWS\inet20004\3.01.00.dll (file missing)

O4 - HKLM\..\Run: [Repair Service Manager] C:\WINDOWS\SYSTEM\lzxdpo.exe

O4 - HKLM\..\Run: [sVCH0ST] C:\WINDOWS\SYSTEM\SVCH0ST.EXE

O4 - HKCU\..\RunServices: [aupd] C:\WINDOWS\SYSTEM\symsvcsa.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=

O14 - IERESET.INF: START_PAGE_URL=

Clique em Fix Checked.

 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :8080

Sua conexão é compartilhada? Coloque a resposta em seu próximo post.

 

3ª Etapa

 

Reinicie em modo normal.

 

Verifique se os problemas foram resolvidos e poste o novo log.

 

Aguardo retorno.

 

Um abraço.

[odrac 0]

Ok jgarciaDeu tudo certo aqui o erro parou de aparecer Agradeço pela ajuda Valews abraços...

[jgarcia 1]

Deu tudo certo aqui o erro parou de aparecer

Seria bom que você postasse o novo log, a fim de que eu possa verificar se o processo de desinfecção ocorreu a contento.

 

Abraços.

[odrac 0]

ai vai o log

 

Logfile of HijackThis v1.99.1

Scan saved at 08:09:13, on 14/02/06

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v5.00 (5.00.2614.3500)

 

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\WINDOWS\EXPLORER.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\PCTVOICE.EXE

C:\WINDOWS\ptsnoop.exe

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGCC.EXE

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGEMC.EXE

C:\ARQUIVOS DE PROGRAMAS\GRISOFT\AVG FREE\AVGAMSVR.EXE

C:\ARQUIVOS DE PROGRAMAS\PANDA SOFTWARE\PANDA ANTIVIRUS TITANIUM\APVXDWIN.EXE

C:\WINDOWS\SYSTEM\SISTRAY.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE

C:\ARQUIVOS DE PROGRAMAS\PANDA SOFTWARE\PANDA ANTIVIRUS TITANIUM\PAVPROXY.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\WINDOWS\SYSTEM\PSTORES.EXE

C:\ARQUIVOS DE PROGRAMAS\INTERNET EXPLORER\IEXPLORE.EXE

C:\HIJACKTHIS\HIJACKTHIS.EXE

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.moneyscript.com.br/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = :8080

O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [PCTVOICE] pctvoice.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe

O4 - HKLM\..\Run: [PTSNOOP] ptsnoop.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGEMC.EXE

O4 - HKLM\..\Run: [AVG7_AMSVR] C:\ARQUIV~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE

O4 - HKLM\..\Run: [APVXDWIN] "C:\Arquivos de programas\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [schedulingAgent] mstask.exe

O4 - Startup: Utility Tray.lnk = C:\WINDOWS\SYSTEM\sistray.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=

O14 - IERESET.INF: START_PAGE_URL=

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 13.0.0.2

 

ok odrac

 

valews jgarcia

aguardo resp...

[jgarcia 1]

Caro odrac,

 

Beleza! O seu log está LIMPO. :thumbsup:

 

MSIE: Internet Explorer v5.00 (5.00.2614.3500)

Baixe a versão mais recente do IE. A sua é bem antiga e bastante vulnerável.

 

Abraços.

[odrac 0]

valeu mesmo jgarcia muito obrigado pela ajuda....>>>>>>>> ODRAC <<<<<<<<

[jgarcia 1]

PROBLEMA RESOLVIDO!

 

Caso o autor necessite que o tópico seja reaberto é necessário enviar uma Mensagem Privada para um Moderador com um link para o tópico.