[Resolvido] arquivo .cmd

Frondek · Junho 16, 2006

infelizmente, alguém baixou um arquivo que dizia ser um vídeo do ronaldinho gaúcho... ¬¬

dando uma olhada nos outros tópicos, eu baixei o hijackthis e salvei o meu log, que é esse aqui:

Logfile of HijackThis v1.99.1

Scan saved at 19:05:56, on 16/6/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

F:\WINDOWS\System32\smss.exe

F:\WINDOWS\system32\winlogon.exe

F:\WINDOWS\system32\services.exe

F:\WINDOWS\system32\lsass.exe

F:\WINDOWS\system32\svchost.exe

F:\WINDOWS\System32\svchost.exe

F:\WINDOWS\Explorer.EXE

F:\WINDOWS\system32\spoolsv.exe

F:\WINDOWS\system32\sistray.EXE

F:\WINDOWS\system32\khooker.exe

F:\WINDOWS\system32\pctspk.exe

F:\Arquivos de programas\Java\jre1.5.0_06\bin\jusched.exe

F:\Arquivos de programas\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

F:\Arquivos de programas\PowerISO\PWRISOVM.EXE

F:\WINDOWS\system32\rundll32.exe

F:\WINDOWS\system32\ctfmon.exe

F:\Arquivos de programas\MSN Messenger\MsnMsgr.Exe

F:\Arquivos de programas\Save\Save.exe

F:\Arquivos de programas\eMule\emule.exe

F:\Arquivos de programas\BrOffice.org 2.0\program\soffice.exe

F:\Arquivos de programas\BrOffice.org 2.0\program\soffice.BIN

F:\WINDOWS\system\msmsgc.cmd

F:\WINDOWS\system32\wscntfy.exe

F:\WINDOWS\System32\svchost.exe

F:\WINDOWS\system32\wuauclt.exe

C:\Hijackthis\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = F:\WINDOWS\SYSTEM\blank.htm

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Arquivos de programas\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - F:\Arquivos de programas\NewDotNet\newdotnet7_22.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - F:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [siS Tray] F:\WINDOWS\system32\sistray.EXE

O4 - HKLM\..\Run: [siS KHooker] F:\WINDOWS\system32\khooker.exe

O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] F:\Arquivos de programas\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [RemoteControl] "F:\Arquivos de programas\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [PWRISOVM.EXE] F:\Arquivos de programas\PowerISO\PWRISOVM.EXE

O4 - HKLM\..\Run: [New.net Startup] rundll32 F:\ARQUIV~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "F:\Arquivos de programas\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [WhenUSave] "F:\Arquivos de programas\Save\Save.exe"

O4 - HKCU\..\Run: [eMuleAutoStart] F:\Arquivos de programas\eMule\emule.exe -AutoStart

O4 - Startup: BrOffice.org 2.0.lnk = F:\Arquivos de programas\BrOffice.org 2.0\program\quickstart.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = F:\Arquivos de programas\Arquivos comuns\Adobe\Calibration\Adobe Gamma Loader.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - F:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Arquivos de programas\Messenger\msmsgs.exe

O10 - Hijacked Internet access by New.Net

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: Win32 Classes - file://F:\WINDOWS\Java\classes\win32ie4.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by112fd.bay112.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://cdn2.zone.msn.com/binFramework/v10/...ro.cab34246.cab

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://zone.msn.com/bingame/zuma/default/popcaploader_v6.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{91DC6D32-1E7B-4AA0-B56A-D489924709A0}: NameServer = 10.1.1.1,200.195.192.10

O17 - HKLM\System\CS1\Services\Tcpip\..\{91DC6D32-1E7B-4AA0-B56A-D489924709A0}: NameServer = 10.1.1.1,200.195.192.10

O17 - HKLM\System\CS2\Services\Tcpip\..\{91DC6D32-1E7B-4AA0-B56A-D489924709A0}: NameServer = 10.1.1.1,200.195.192.10

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - "F:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "F:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

jgarcia · Junho 18, 2006

Opa Frondek,

Vamos ao ataque.

Habilite o Windows para mostrar todos os arquivos (até ocultos).

Baixe o WinsockFix.

Em algumas ocasiões a remoção de NewDotNet provoca a perda de conexão à internet (talvez não ocorra com você).

Se, após desinstalar o NewDotNet, você perder a conexão, execute o WinsockFix.exe e então clique em Fix.

Desinstale:

--> NewDotNet

--> Save

Utilize Adicionar / Remover programas.

Desinstale, um a um, e reinicie após tê-los desinstalado.

OBS.: Caso não encontre algum(ns) do(s) programa(s) apenas passe para o próximo e/ou para a próxima etapa.

1ª Etapa

Baixe o Killbox em:

Killbox

1. Execute o Killbox, clique em Delete on Reboot.

2. Copie a lista abaixo em negrito para a área de transferência. Selecione --> Editar --> Copiar.

F:\Arquivos de programas\NewDotNet
F:\Arquivos de programas\Save

F:\WINDOWS\system\msmsgc.cmd

3. Retorne ao Killbox. Clique em File > Paste from clipboard. Clique em All Files.

4. Aperte em "X". Responda "não" à pergunta.

É prudente que você faça a impressão deste documento ou salve-o em um lugar de fácil acesso, pois na próxima etapa entraremos em Modo de Seguro e a conexão à internet não será possível.

2ª Etapa

Reinicie o computador em Modo Seguro (após reiniciar aperte a tecla F8 até aparecer uma tela preta em DOS e escolha Modo Seguro).

Execute o HijackThis, clique em Do a system scan only e marque:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = F:\WINDOWS\SYSTEM\blank.htm
O2 - BHO: URLLink - {4A2AACF3-ADF6-11D5-98A9-00E018981B9E} - F:\Arquivos de programas\NewDotNet\newdotnet7_22.dll

O4 - HKLM\..\Run: [New.net Startup] rundll32 F:\ARQUIV~1\NEWDOT~1\NEWDOT~2.DLL,ClientStartup -s

O4 - HKCU\..\Run: [WhenUSave] "F:\Arquivos de programas\Save\Save.exe"

Clique em Fix Checked.

3ª Etapa

Reinicie em modo normal.

Poste o novo log do HijackThis.

Aguardo retorno.

Um abraço.

Frondek · Junho 19, 2006

Ae,

bom, esse foi o novo log:

Logfile of HijackThis v1.99.1

Scan saved at 18:11:14, on 19/6/2006