[Resolvido] ataque do Rojão

Max71 · Agosto 29, 2006

Prezados colegas do iMasters Fóruns,

É a primeira vez que escrevo no fórum, ao qual cheguei pelo Google.

Aparentemente meu micro está sendo atacado por Trojans e/ou Malware, embora não tenha detectado nenhum no meu sistema, no qual tenho instalado e uso AVG, AdAware, Spybot, IE Privacy Keeper e Windows Update. Às vezes o AVG assinala ter defendido o micro de ataques de vários Trojans, obviamente sempre com nomes diferentes.

Além disso, ao ligar o micro, várias vezes aparece uma janela de notificação com a seguinte mensagem: "Socket Error # 11004" e com a palavra "Rojão" na barra de título.

Ao tentar desligar o micro, quase sempre o comando não funciona e, às vezes, é emitido um bipe. Em seguida, após uma ou duas outras tentativas, o micro finalmente desliga.

Portanto, peço por gentileza que analisem meu logfile aqui abaixo, obtido pelo programa HijackThis v1.99.1. Aparentemente, não há registro de coisas suspeitas, sendo os programas instalados todos de confiança, de qualquer forma conto com sua competência, pois me parece que já foram capazes de resolver vários casos similares de outros membros.

Agradeço antecipadamente pela ajuda e aguardo orientação.

Max71.

---

Logfile of HijackThis v1.99.1

Scan saved at 22:15:16, on 28/8/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\Turbo ADSL\WrOS.EXE

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\s3hotkey.exe

C:\WINDOWS\system32\S3Tray2.exe

C:\WINDOWS\System32\00THotkey.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\system32\TFNF5.exe

C:\Program Files\TOSHIBA\TouchED\TouchED.Exe

C:\Program Files\TOSHIBA\TOSHIBA Controls\TFncKy.exe

C:\WINDOWS\system32\TPWRTRAY.EXE

C:\PROGRA~1\MINIMO~1\4DMAIN.EXE

C:\Program Files\Apoint2K\Apntex.exe

C:\WINDOWS\system32\JupitCo.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

C:\Program Files\QuickTime\qttask.exe

C:\PROGRA~1\MINIMO~1\WPOOL.EXE

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\system32.exe

C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE

C:\Program Files\Digital Turtlets\SpamBrave Lite for Outlook Express\oewatcher.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe

C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe

C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\PROGRA~1\COMMON~1\Nokia\MPAPI\MPAPI3s.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Microsoft Office\Office10\WINWORD.EXE

C:\PROGRA~1\COMMON~1\MICROS~1\Msinfo\OFFPROV.EXE

C:\PROGRA~1\COMMON~1\MICROS~1\Msinfo\OFFPRV10.EXE

C:\Program Files\Hijack This\analyse.exe.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.lycos.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://farejador.ig.com.br/ie/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://farejador.ig.com.br/ie/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.cenargen.embrapa.br:3128

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: SafeGuard Popup Blocker - {B824E7B0-E8E3-4D75-895E-2C309EA4CC5D} - C:\Program Files\SafeGuard Popup Blocker Pro\SGPopupBlocker.dll

O2 - BHO: G-Buster Browser Defense - {C41A1C0E-EA6C-11D4-B1B8-444553540000} - C:\WINDOWS\Downloaded Program Files\gbieh.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [s3Hotkey] s3hotkey.exe

O4 - HKLM\..\Run: [s3TRAY2] S3Tray2.exe

O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe

O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [TFNF5] TFNF5.exe

O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe

O4 - HKLM\..\Run: [Drag'n Drop CD] C:\Program Files\Drag'n Drop CD\BinFiles\DragDrop.exe /StartUp

O4 - HKLM\..\Run: [TFncKy] TFncKy.exe /Type 20

O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE

O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\MINIMO~1\4DMAIN.EXE

O4 - HKLM\..\Run: [bAFO USB SECURITY DEVICE CoInstaller] JupitCo.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\Run: [Festoon] C:\Program Files\Santa Cruz Networks\Festoon\Festoon.exe /BOOT

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [system32] C:\WINDOWS\system32\system32.exe

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup

O4 - HKCU\..\Run: [Digital Turtlets\SpamBrave Lite for Outlook Express] C:\Program Files\Digital Turtlets\SpamBrave Lite for Outlook Express\oewatcher.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Forget Me Not.lnk = C:\Program Files\Broderbund\AG Spirit\AGRemind.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: system32.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Xanadu - {5CC384BB-1326-11D5-F4AE-00C04923F885} - C:\Program Files\Foreignword\Xanadu\XanaduLaunch.exe

O9 - Extra button: (no name) - {D5770C25-E0F4-4bb9-BCB6-DB17F7BFBB7F} - C:\Program Files\SafeGuard Popup Blocker Pro\PBOptions.exe

O9 - Extra 'Tools' menuitem: Popup Blocker Options - {D5770C25-E0F4-4bb9-BCB6-DB17F7BFBB7F} - C:\Program Files\SafeGuard Popup Blocker Pro\PBOptions.exe

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .bcf: C:\Program Files\Internet Explorer\Plugins\NPBelv32.dll

O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/200211...meInstaller.exe

O16 - DPF: {E37CB5F0-51F5-4395-A808-5FA49E399F83} (GbPluginObj Class) - https://www14.bancobrasil.com.br/plugin/GbPluginBb.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{00DECD23-9B1A-4BC1-B689-C3A62FED3B88}: NameServer = 200.199.201.23,200.199.201.24

O17 - HKLM\System\CS1\Services\Tcpip\..\{00DECD23-9B1A-4BC1-B689-C3A62FED3B88}: NameServer = 200.199.201.23,200.199.201.24

O17 - HKLM\System\CS2\Services\Tcpip\..\{00DECD23-9B1A-4BC1-B689-C3A62FED3B88}: NameServer = 200.199.201.23,200.199.201.24

O18 - Protocol: Festoon - (no CLSID) - (no file)

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe

O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Program Files\Turbo ADSL\WrOS.EXE

Sam Spade · Agosto 29, 2006

Olá Max71 Há uma infecção por um trojan banker. Este trojan captura senhas e as envia para um hacker. É recomendável que troque as mesmas.

Baixe > BankerFix

Desinstale > SafeGuard Popup Blocker Pro

Veja este documento da PestPatrol.

Importante: O BankerFix irá finalizar o Internet Explorer. Salve qualquer link que você precisa acessar depois antes de executá-la.

Desative o seu anti vírus temporariamente, para não haver conflitos.

Dê um duplo-clique no bankerfix.exe, dê o Enter e espere ele terminar. Ao terminar, leia a mensagem na tela e aperte Enter novamente.

Habilite o seu anti vírus.

Faça também um novo log do HijackThis para colocar na sua resposta, junto com o relatorio.txt. Está em C:\LinhaDefensiva\relatorio.txt

Depois de fazer sua resposta você pode apagar a pasta LinhaDefensiva que está em C:\

Max71 · Agosto 30, 2006

Olá Max71 Há uma infecção por um trojan banker. Este trojan captura senhas e as envia para um hacker. É recomendável que troque as mesmas.

Baixe > BankerFix

Desinstale > SafeGuard Popup Blocker Pro

Veja este documento da PestPatrol.

Importante: O BankerFix irá finalizar o Internet Explorer. Salve qualquer link que você precisa acessar depois antes de executá-la.

Desative o seu anti vírus temporariamente, para não haver conflitos.

Dê um duplo-clique no bankerfix.exe, dê o Enter e espere ele terminar. Ao terminar, leia a mensagem na tela e aperte Enter novamente.

Habilite o seu anti vírus.

Faça também um novo log do HijackThis para colocar na sua resposta, junto com o relatorio.txt. Está em C:\LinhaDefensiva\relatorio.txt

Depois de fazer sua resposta você pode apagar a pasta LinhaDefensiva que está em C:\

Olá Sam Spade,

antes de mais nada, realmente muito obrigado pela resposta rápida e as preciosas orientações. De fato, estou precisando resolver esses problemas logo, pois trabalho com este micro, na verdade um laptop.

Segui à risca todas suas instruções e, portanto, desinstalei o SafeGuard PopUp Blocker. Achava que não desse problema, mas, pelo report do PestPatrol, melhor não confiar. Pode me recomendar então um anti-popup freeware mais confiável ou você acha que basta o do próprio Windows XP (acho que já tem um instalado, não é?)?

Gostaria tb de receber alguns esclarecimentos:

1) O que significa a mensagem de erro do tal "Rojão"? É provocada pela ação do próprio Trojan Banker ou por outra peste? Neste último caso, como é possível resolver esse problema, i.e. eliminar eventuais outros Trojans ou virus ativos no meu laptop?

2) Agora irei lhe enviar o log e o relatório aqui abaixo e, suponho, você me retornará suas orientações para finalizar o "limpa", pois pelo que parece do relatório do HT, apesar de ter acionado o BankerFix, o maldito continua aí no Registry, pelo que parece lendo as linhas de 012 a 017 abaixo. Essas linhas de registro são aquelas introduzidas/alteradas pelo Trojan ou não? Além dessas, há outras afetadas?

3) Acha necessário formatar o laptop depois de ter eliminado o Trojan e/ou outros virus ativos?

Segue abaixo o log do HT. Mais adiante o do BankerFix.

Muitissimo obrigado pelo help e aguardo receber as próximas orientações para eliminar as malditas pestes.

Abraço,

Max71.

---

Logfile of HijackThis v1.99.1

Scan saved at 22:47:23, on 29/8/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\Turbo ADSL\WrOS.EXE

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\s3hotkey.exe

C:\WINDOWS\system32\S3Tray2.exe

C:\WINDOWS\System32\00THotkey.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\system32\TFNF5.exe

C:\Program Files\TOSHIBA\TouchED\TouchED.Exe

C:\Program Files\Drag'n Drop CD\BinFiles\DragDrop.exe

C:\Program Files\TOSHIBA\TOSHIBA Controls\TFncKy.exe

C:\WINDOWS\system32\TPWRTRAY.EXE

C:\PROGRA~1\MINIMO~1\4DMAIN.EXE

C:\WINDOWS\system32\JupitCo.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

C:\PROGRA~1\MINIMO~1\WPOOL.EXE

C:\Program Files\QuickTime\qttask.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\Santa Cruz Networks\Festoon\Festoon.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Digital Turtlets\SpamBrave Lite for Outlook Express\oewatcher.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe

C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe

C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe

C:\PROGRA~1\COMMON~1\Nokia\MPAPI\MPAPI3s.exe

C:\Program Files\Microsoft Office\Office10\WINWORD.EXE

C:\Program Files\Grisoft\AVG Free\avgcc.exe