[Resolvido!]Problema com Bot e Rootkit

Luis Magalhaes · Dezembro 1, 2006

Necessito de help aqui com um log.

Já limpei alguns dos virus, mas aqui um bot volta sempre apos ter eliminado-o. Suponho que falte aqui actualização para que ele não volte.

tambem suspeitava de rootkits e de facto estava com um tal de pe386.sys, detectei-o com o sophos anti rootkit e eliminei-o pelo regedit. (mas nao tenho 100% de certeza)

Agora esse bot que aparece na linha 04 (startup), não me larga. Elimino-o mas ele volta sempre.

Suspeito tambem que a linha 020 que aparece no log, esteja relacionada com o rootkit, pois eu ja dei o fiz nela em modo seguro e sempre aparece, sem mostrar o caminho do arquivo.

feita esta descrição, espero que alguem consiga dar aqui uma help. Agradeço antecipadamente.

segue log:

Logfile of HijackThis v1.99.1

Scan saved at 16:59:50, on 01-12-2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programas\AOL\Active Virus Shield\avp.exe

C:\WINDOWS\System32\PAStiSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\rundll32.exe

C:\WINDOWS\System32\qttask.exe

C:\Programas\AOL\Active Virus Shield\avp.exe

C:\Programas\Messenger\msmsgs.exe

C:\Documents and Settings\All Users\Spybot - Search & Destroy\TeaTimer.exe

C:\Programas\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Programas\Internet Explorer\iexplore.exe

C:\Programas\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pt/

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\DOCUME~1\ALLUSE~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [AME_CSA] rundll32 amecsa.cpl,RUN_DLL

O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\System32\qttask.exe

O4 - HKLM\..\Run: [aol] "C:\Programas\AOL\Active Virus Shield\avp.exe"

O4 - HKLM\..\Run: [ÿ_zskholtsyb^txntgjo]niwmdksz_] c:\windows\system32\_zskdmwin]ojgtnxt^bystloh.exe

O4 - HKLM\..\RunServices: [ÿ_zskholtsyb^txntgjo]niwmdksz_] c:\windows\system32\_zskdmwin]ojgtnxt^bystloh.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programas\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Documents and Settings\All Users\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [ÿ_zskholtsyb^txntgjo]niwmdksz_] c:\windows\system32\_zskdmwin]ojgtnxt^bystloh.exe

O4 - Global Startup: DSLMON.lnk = C:\Programas\SAGEM\SAGEM F@st 800-840\dslmon.exe

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} -

O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://signup.msn.com/pages/MsnInstC.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1164764868512

O16 - DPF: {94EB57FE-2720-496C-B33F-D9353C6E23F7} (F-Secure Online Scanner 2.1) - http://support.f-secure.com/ols/fscax.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll

O20 - Winlogon Notify: Uninstall - C:\WINDOWS\

O23 - Service: Active Virus Shield (AVP) - AOL - C:\Programas\AOL\Active Virus Shield\avp.exe

O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

:joia:

Sam Spade · Dezembro 1, 2006

Olá Luis Magalhaes! Baixe: ComboFix > salve no desktop.

Feche todas as janelas e programas.

Dê um duplo-clique no combofix.exe e tecle "Y" para prosseguir o Fix. Vai durar uma média de 10 minutos.

O ComboFix reiniciará o PC automaticamente para completar o processo de remoção.

Quando acabar, será gerado um log, que vai estar em C:\ComboFix.txt.

Atenção:

Não clique na Janela do ComboFix, nem o feche clicando no X, enquanto estiver rodando, pois senão irá parar e seu desktop ficará em branco.

Para parar ou sair do ComboFix, tecle "N".

Gere um novo log com o HijackThis e poste, juntamente com o ComboFix.txt.

Luis Magalhaes · Dezembro 2, 2006

Antes mais obrigado pela help Sam :thumbsup:

Vi no resultado do combo o pedido pra scan a rootkit. Para adiantar e te ajudar eu passei o da F-Secure e o da sophos e nada de rootkit :upset:

Alguma ideia sobre que raio de *#&*X# :angry: é esse [ÿ_zskholtsyb^txntgjo]niwmdksz_] ?

Thanks

Logfile of HijackThis v1.99.1

Scan saved at 23:22:28, on 01-12-2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Programas\AOL\Active Virus Shield\avp.exe

C:\WINDOWS\System32\PAStiSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wuauclt.exe

C:\WINDOWS\system32\NOTEPAD.EXE