[Arquivado]Vírus

Júniorsc · Abril 4, 2007

Enviei um post ontem à tarde informando que meu PC estava "dando pau", travando o mouse, as caixas de som sem funcionar, e por aí vai. Junto, enviei um log do hijackThis.

Como não obtive resposta, comecei a verificar ontem à noite com alguns antivírus e eliminei 29 Trojans.

Só que agora à noite, alguns sites como o Orkut, que exigem senha de acesso, estão recusando minha senha, o que me levou a pensar que algum vírus tenha feito algum estrago. Será possível verificarem o log do Hijack e me darem alguma dica?

Grato,

Júnior/Florianópolis.

Logfile of HijackThis v1.99.1

Scan saved at 01:34:25, on 1/1/2002

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\ARQUIV~1\ALWILS~1\Avast4\ashDisp.exe

C:\Arquivos de programas\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Arquivos de programas\Arquivos comuns\Real\Update_OB\realsched.exe

C:\Arquivos de programas\iolo\System Mechanic 7\SMSystemAnalyzer.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\Messenger\msmsgs.exe

C:\Arquivos de programas\Alwil Software\Avast4\aswUpdSv.exe

C:\Arquivos de programas\Alwil Software\Avast4\ashServ.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Arquivos de programas\iolo\Common\Lib\ioloDMVSvc.exe

C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Arquivos de programas\Alwil Software\Avast4\ashMaiSv.exe

C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Arquivos de programas\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Arquivos de programas\Internet Explorer\iexplore.exe

C:\Arquivos de programas\WinRAR\WinRAR.exe

C:\DOCUME~1\Adilio\CONFIG~1\Temp\Rar$EX00.781\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.informaticapodium.com.br/

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Arquivos de programas\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Arquivos de programas\Java\jre1.5.0_09\bin\ssv.dll

O4 - HKLM\..\Run: [avast!] C:\ARQUIV~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Arquivos de programas\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [imInstaller_IncrediMail] C:\DOCUME~1\Adilio\CONFIG~1\Temp\ImInstaller\IncrediMail\incredimail_install.exe -startup -product IncrediMail

O4 - HKLM\..\Run: [TkBellExe] "C:\Arquivos de programas\Arquivos comuns\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [sMSystemAnalyzer] "C:\Arquivos de programas\iolo\System Mechanic 7\SMSystemAnalyzer.exe"

O4 - HKLM\..\Run: [AVG7_CC] C:\ARQUIV~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Arquivos de programas\Messenger\msmsgs.exe" /background

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{093D0F6D-6664-4AA1-AF20-3EC28956280C}: NameServer = 85.255.116.107,85.255.112.83

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.107 85.255.112.83

O17 - HKLM\System\CS1\Services\Tcpip\..\{093D0F6D-6664-4AA1-AF20-3EC28956280C}: NameServer = 85.255.116.107,85.255.112.83

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.107 85.255.112.83

O17 - HKLM\System\CS2\Services\Tcpip\..\{093D0F6D-6664-4AA1-AF20-3EC28956280C}: NameServer = 85.255.116.107,85.255.112.83

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.107 85.255.112.83

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Arquivos de programas\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Arquivos de programas\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Arquivos de programas\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Arquivos de programas\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgemc.exe

O23 - Service: iolo DMV Service (ioloDMV) - Unknown owner - C:\Arquivos de programas\iolo\Common\Lib\ioloDMVSvc.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Windows Management Service - Unknown owner - C:\WINDOWS\system32\dmuym.exe

DigRam · Abril 4, 2007

Bom Dia Júniorsc!

<!> Vá em Iniciar >> Executar >> Digite: msconfig >> Ok.

<!> Abrir-se-á o: Utilitário de configuração do sistema.

<!> Desmarque a caixa referente à êste Serviço: Windows Management Service

<!> Clique em Aplicar >> Ok.

<!> Reinicie o computador!

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<!> Faça o download do FixWareout.exe.

<!> Salve-o no Desktop!

<!> Dê um duplo clique em FixWareout.exe,para executar a ferramenta.

<!> Clique no botão Next >> Clique,depois,em Install.

<!> Verifique se a caixa Run fixit está marcada!A seguir,clique em Finish.

<!> Siga as instruções da tela e,quando perguntar se quer reiniciar ( Restart ).Clique em Sim!

<!> Vai demorar para reiniciar.Aguarde!

<!> Verifique se foi gerado no Disco Local-C,o Log ( report.txt ).

<!> Execute esta ferramenta,desconectado e com tôdas as janelas fechadas!

<!> Durante os procedimentos,lhe será pedido uma conecção a um servidor remoto.Aceite a solicitação!

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<!> Reinicie o computador e entre em Modo de Segurança.Durante a reinicialização aperte,intermitentemente,a tecla F8 ou F5 e,no Menu que aparecer,escolha: Modo Seguro ou de Segurança.

<!> Abra o HijackThis e clique em Do a system scan only e marque as entradas,logo abaixo:

O4 - HKLM\..\Run: [imInstaller_IncrediMail] C:\DOCUME~1\Adilio\CONFIG~1\Temp\ImInstaller\IncrediMail\incredimail_install.exe -startup -product IncrediMail
O17 - HKLM\System\CCS\Services\Tcpip\..\{093D0F6D-6664-4AA1-AF20-3EC28956280C}: NameServer = 85.255.116.107,85.255.112.83

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.107 85.255.112.83

O17 - HKLM\System\CS1\Services\Tcpip\..\{093D0F6D-6664-4AA1-AF20-3EC28956280C}: NameServer = 85.255.116.107,85.255.112.83

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.107 85.255.112.83

O17 - HKLM\System\CS2\Services\Tcpip\..\{093D0F6D-6664-4AA1-AF20-3EC28956280C}: NameServer = 85.255.116.107,85.255.112.83

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.107 85.255.112.83

<!> Finalize-as clicando em Fix checked!

<!> Ainda no HijackThis,clique em Open the misc tools section.

<!> Clique em Delete an NT Service.

<!> Coloque o nome do Serviço: Windows Management Service ,na caixa.

<!> Clique em Ok!

<!> Reinicie,em Modo Normal,o computador!

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<!> Poste,na sua resposta,o Log ( report.txt ) do FixWareout.

<!> Poste,também,um nôvo Log do HijackThis feito em Modo Normal.

Sem Mais!

DigRam

Júniorsc · Abril 4, 2007

Caro DigRam,Ao digitar "msconfig', não aparece em "geral", nenhuma opção "windows management service" ou similar. Entretanto, em "serviços", na mesma janela, há uma caixa habilitada como "gerenciamento de aplicativo". Seria esta a caixa a ser desabilitada?Sem mais,júniorsc/Florianópolis/SC.Caro DigRam,Ao digitar "msconfig', não aparece em "geral", nenhuma opção "windows management service" ou similar. Entretanto, em "serviços", na mesma janela, há uma caixa habilitada como "gerenciamento de aplicativo". Seria esta a caixa a ser desabilitada?Sem mais,Júniorsc/Florianópolis/SC.

DigRam · Abril 4, 2007

Boa Noite Júniorsc!

<!> No Utilitário de configuração do sistema,clique na aba Serviços.

<!> Marque a caixa: Ocultar todos os serviços Microsoft.

<!> Caso o Gerenciamento de aplicativos esteja como fabricante Desconhecido,pode desmarcar a caixa.

<!> Caso contrário,pare o procedimento e siga com os outros!

<!> Não use,também,o HijackThis para deletar êste serviço.( ..por ora! )

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<1> O arquivo: C:\WINDOWS\system32\dmuym.exe ( Arquivo legítimo! )

<2> O arquivo: C:\WINDOWS\System\dmuym.exe ( Arquivo malware! )

<3> Não encontrei,ainda,referências bibliográficas mais detalhadas!

<4> Posso ter cometido um engano,ao pedir-lhe que elimine êste serviço!

<5> Siga,então,com os outros procedimentos!Que estão corretos!

<6> Desculpe-me o contratempo!

Sem Mais!

DigRam

Júniorsc · Abril 5, 2007

Caro DigRam,

Efetuei os passos que solicitou. Entretanto, ao aplicar o HijackThis, em "open the misc tools section" e digitar "windows management service", apareceu a seguinte mensagem:

"service 'windows management service' was not found in the registry, make sure you entered the short name of the service, vbExclamation". OK

Reiniciei o computador em modo normal e apareceu a janela do "utilitário de configuração do sistema" dizendo que eu havia efetuado modificações e que para que não aparecessem mais deveria rconfigurá-lo. Fechei e tentei mandar essa mensagem pra você, mas de cara, travou o mouse, tendo que efetuar um "boot" e ligá-lo novamente (pareceu até vingança!).

De qualquer modo, estou enviando-lhe os logs que pediu:

Fixwareout Last edited 2/11/2007

Post this report in the forums please

...

»»»»»Prerun check

HKLM\SOFTWARE\~\Winlogon\ "System"="csnqh.exe"

Service: "Windows Management Service" = C:\WINDOWS\System32\dmuym.exe

»»»»» System restarted

»»»»» Postrun check

HKLM\SOFTWARE\~\Winlogon\ "system"=""

....

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls "0mdm" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls "1mdm" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls "2mdm" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\_r "}52D4AD866412-8589-2854-9E61-6B0C39C4{" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\_r "}D3A4A5475A4D-4159-83C4-D7A9-7852EECC{" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\_r "myumd" Deleted

....

»»»»» Misc files.

C:\WINDOWS\system32\{E4E18244-A630-4E2E-B113-D28EA295F511}.exe Deleted

C:\WINDOWS\System32\kernel32.exe Deleted

....

»»»»» Checking for older varients.

....

Search five digit cs, dm, kd, jb, other, files.

The following files NEED TO BE SUBMITTED to one of the following URL'S for further inspection.

C:\WINDOWS\system32\csmvf.exe 52765 31/01/2007

Click browse, find the file then click submit.

http://www.virustotal.com/flash/index_en.html

Or http://virusscan.jotti.org/

»»»»» Other

C:\WINDOWS\TEMP\dmuym.ren 57878 04/08/2004

»»»»» Current runs

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"avast!"="C:\\ARQUIV~1\\ALWILS~1\\Avast4\\ashDisp.exe"

"RemoteControl"="\"C:\\Arquivos de programas\\CyberLink DVD Solution\\PowerDVD\\PDVDServ.exe\""

"ImInstaller_IncrediMail"="C:\\DOCUME~1\\Adilio\\CONFIG~1\\Temp\\ImInstaller\\IncrediMail\\incredimail_install.exe -startup -product IncrediMail"

"TkBellExe"="\"C:\\Arquivos de programas\\Arquivos comuns\\Real\\Update_OB\\realsched.exe\" -osboot"

"SMSystemAnalyzer"="\"C:\\Arquivos de programas\\iolo\\System Mechanic 7\\SMSystemAnalyzer.exe\""

"AVG7_CC"="C:\\ARQUIV~1\\Grisoft\\AVGFRE~1\\avgcc.exe /STARTUP"

"MSConfig"="C:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\MSConfig.exe /auto"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"

"MSMSGS"="\"C:\\Arquivos de programas\\Messenger\\msmsgs.exe\" /background"

....

Hosts file was reset, If you use a custom hosts file please replace it

»»»»» End report »»»»»

Logfile of HijackThis v1.99.1

Scan saved at 00:12:55, on 1/1/2002

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\ARQUIV~1\ALWILS~1\Avast4\ashDisp.exe

C:\Arquivos de programas\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

C:\Arquivos de programas\Arquivos comuns\Real\Update_OB\realsched.exe

C:\Arquivos de programas\iolo\System Mechanic 7\SMSystemAnalyzer.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgcc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\Messenger\msmsgs.exe

C:\Arquivos de programas\Alwil Software\Avast4\aswUpdSv.exe

C:\Arquivos de programas\Alwil Software\Avast4\ashServ.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Arquivos de programas\iolo\Common\Lib\ioloDMVSvc.exe

C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\system32\slserv.exe

C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Arquivos de programas\Internet Explorer\iexplore.exe

C:\Arquivos de programas\Alwil Software\Avast4\ashMaiSv.exe

C:\Arquivos de programas\Alwil Software\Avast4\ashWebSv.exe

C:\Arquivos de programas\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Arquivos de programas\WinRAR\WinRAR.exe

C:\DOCUME~1\Adilio\CONFIG~1\Temp\Rar$EX00.156\HijackThis.exe