[Arquivado]oi pessoal! estou com um problema

Dreake · Maio 31, 2007

Logfile of HijackThis v1.99.1Scan saved at 07:15:54, on 31/5/2007Platform: Windows XP SP1 (WinNT 5.01.2600)MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)Running processes:C:\WINDOWS\System32\smss.exeC:\WINDOWS\system32\winlogon.exeC:\WINDOWS\system32\services.exeC:\WINDOWS\system32\lsass.exeC:\WINDOWS\system32\svchost.exeC:\WINDOWS\System32\svchost.exeC:\WINDOWS\system32\spoolsv.exeC:\WINDOWS\System32\Ati2evxx.exeC:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exeC:\WINDOWS\Explorer.EXEC:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exeC:\Arquivos de programas\Eset\nod32krn.exeC:\WINDOWS\System32\svchost.exeC:\Program Files\Venturi2\Client\ventc.exeC:\Arquivos de programas\Eset\nod32kui.exeC:\Arquivos de programas\Arquivos comuns\InstallShield\UpdateService\issch.exeC:\WINDOWS\System32\svschost.exeC:\WINDOWS\System32\ctfmon.exeC:\Arquivos de programas\Modem Speed\NtwSpeed.exeC:\WINDOWS\System32\iexplore.exeC:\WINDOWS\System32\tbjr.exeC:\WINDOWS\System32\svschost.exeC:\Documents and Settings\Henrique\Desktop\HijackThis.exeR3 - URLSearchHook: CUOLSearchHook Object - {1FE8243E-0A3A-41B9-B9CE-EFFEE51974D3} - C:\Arquivos de programas\Arquivos comuns\uol\urlsearch\UOLSearchHook.dllO2 - BHO: btorbit.com - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Arquivos de programas\Orbitdownloader\orbitcth.dllO2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dllO2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)O2 - BHO: &iG - {7EEF1E3D-FD97-4401-BCDB-5827F2D11709} - C:\ARQUIV~1\iGv6\igshop.dllO2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dllO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\arquivos de programas\google\googletoolbar1.dll (file missing)O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Arquivos de programas\Windows Live Toolbar\msntb.dllO3 - Toolbar: Discador iBest - {4F869C58-D71D-4850-8BDD-7B5CDF8EC911} - C:\Arquivos de programas\Discador iBest\ibestbar.dllO3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocxO3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Arquivos de programas\Windows Live Toolbar\msntb.dllO3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\arquivos de programas\google\googletoolbar1.dll (file missing)O3 - Toolbar: &iG - {7EEF1E3D-FD97-4401-BCDB-5827F2D11709} - C:\ARQUIV~1\iGv6\igshop.dllO4 - HKLM\..\Run: [nod32kui] "C:\Arquivos de programas\Eset\nod32kui.exe" /WAITSERVICEO4 - HKLM\..\Run: [mysvcig38] mysvcc.exeO4 - HKLM\..\Run: [MSNS PLUS XP2] rvpujd.exeO4 - HKLM\..\Run: [iSUSPM Startup] C:\ARQUIV~1\ARQUIV~1\INSTAL~1\UPDATE~1\isuspm.exe -startupO4 - HKLM\..\Run: [iSUSScheduler] "C:\Arquivos de programas\Arquivos comuns\InstallShield\UpdateService\issch.exe" -startO4 - HKLM\..\Run: [601FA62D] C:\WINDOWS\System32\sys.exeO4 - HKLM\..\Run: [Microsoft Update] svschost.exeO4 - HKLM\..\Run: [explore] C:\WINDOWS\System32\explore.exeO4 - HKLM\..\Run: [CTF Loader] ctfmon.exeO4 - HKLM\..\Run: [speed] "C:\Arquivos de programas\Modem Speed\NtwSpeed.exe" /HIDEO4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS\System32\iexplore.exeO4 - HKLM\..\Run: [Advanced DHTML Enable] C:\WINDOWS\System32\tbjr.exeO4 - HKLM\..\RunServices: [mysvcig38] mysvcc.exeO4 - HKLM\..\RunServices: [MSNS PLUS XP2] rvpujd.exeO4 - HKLM\..\RunServices: [Microsoft Update] svschost.exeO4 - HKLM\..\RunServices: [CTF Loader] ctfmon.exeO4 - HKCU\..\Run: [Microsoft genuine service ] genuine.exeO4 - HKCU\..\Run: [WhenUSave] "C:\Arquivos de programas\Save\Save.exe"O4 - HKCU\..\Run: [Microsoft Update] svschost.exeO4 - HKCU\..\Run: [Microsoft Update Device Drivers] C:\WINDOWS\System32\drivers\wuauclt.exeO4 - HKCU\..\Run: [CTF Loader] ctfmon.exeO4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exeO4 - HKCU\..\RunServices: [Microsoft genuine service ] genuine.exeO4 - HKCU\..\RunServices: [Microsoft Update Device Drivers] C:\WINDOWS\System32\drivers\wuauclt.exeO4 - HKCU\..\RunServices: [CTF Loader] ctfmon.exeO8 - Extra context menu item: &Clean Traces - C:\Arquivos de programas\DAP\Privacy Package\dapcleanerie.htmO8 - Extra context menu item: &Download all by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/202O8 - Extra context menu item: &Download by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/201O8 - Extra context menu item: &Download selected by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/203O8 - Extra context menu item: &Download with &DAP - C:\Arquivos de programas\DAP\dapextie.htmO8 - Extra context menu item: &Grab video by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/204O8 - Extra context menu item: &Windows Live Search - res://C:\Arquivos de programas\Windows Live Toolbar\msntb.dll/search.htmO8 - Extra context menu item: Download &all with DAP - C:\Arquivos de programas\DAP\dapextie2.htmO9 - Extra button: Barra do iG - {FD1672E0-AE0D-465B-B345-F7B0944A121D} - C:\ARQUIV~1\iGv6\igshop.dllO14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.aspO18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLLO18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLLO23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exeO23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exeO23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exeO23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exeO23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Arquivos de programas\Eset\nod32krn.exeO23 - Service: Microsoft sdk core (sdk) - Unknown owner - C:\WINDOWS\lsass.exe (file missing)O23 - Service: Venturi2 Client (Venturi2) - Fourelle Systems, Inc - C:\Program Files\Venturi2\Client\ventc.exeO23 - Service: Print Spooler Service (ytlt3zfejussw) - Unknown owner - C:\WINDOWS\System32\sys.exe

DigRam · Maio 31, 2007

Bom Dia Dreake!

>@< Como o Log está mostrando muitas infecções,executaremos,primeiramente,as ferramentas Espanholas.Posteriormente,faremos a operação 'rescaldo',com outras ferramentas.

>@< Siga os procedimentos,na ordem em que estão dispostos e,imprima-os,pois voçê os executará em Modo Seguro e o acesso à Internet será impossível.

<!> Configure o Windows para que mostre: Ver todos os Arquivos,até os ocultos!

<!> Desabilite as proteções residentes de AntiVírus e AntiSpywares!

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<!> Faça o download da EliStarA.

<!> Baixe-a para o Disco Local-C e crie uma pasta para a ferramenta,estabelecendo um caminho para o Desktop! ( Atalho. )

<!> Faça o download do ELINOTIF.DLL.Salve-o no interior da pasta criada para EliStarA!

<!> Faça o download do EliTriIP.

<!> Baixe-a para o Desktop!

<!> Ps: Ambas,as ferramentas,estarão na página descargas ( Descargas > Utilidades SATINFO ).

<!> Selecione as ferramentas ( Uma por vez! ) e clique no pé da página,no botão Descargar xxx.Onde xxx é a denominação da ferramenta escolhida!

<!> Faça o download do Clean.

<!> Salve-o no Disco Local-C e descompacte-o aí mesmo,enviando o executável para o Desktop! ( Atalho. )

<!> O executável é um ícone denominado: clean.

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<!> Reinicie o computador e entre em Modo de Segurança.

<!> Execute,primeiro,a ferramenta: EliStartA.

<!> Vá ao seu ícone e execute-a!

<!> Aceite as condições propostas e aguarde o término do scan.Aguarde!Pois vai demorar um pouco para concluír a varredura do PC.

<!> Terminando,execute a ferramenta EliTriIP.

<!> O scan desta ferramenta é mais rápido!

<!> Terminando,execute o programa de limpeza profunda ( clean ) com um duplo clique no seu executável.

<!> Abrir-se-á um prompt com três opções: Escolha o dois ( 2 )!

<!> Aperte Enter! >> Aperte Enter,novamente! >> Aguarde!

<!> Aperte Enter,novamente!

<!> Surgirá um relatório ( rapport_clean ),que voçê deverá copiar e postar para análise.

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

<!> Poste o relatório infoSAT.txt que está na raíz C:\ ( Disco Local-C ) + rapport_clean.

<!> Selecione e copie!

<!> Poste,também,um nôvo Log do HijackThis,feito em Modo Normal,na sua resposta.

<!> Ps: A ferramenta EliStarA,deletará (Opcional! ) a sua página inicial!Posteriormente,voçê à configurará novamente.

Sem Mais!

DigRam

Dreake · Maio 31, 2007

Ai os resultados q você pedio !!!

E obrigado pela ajuda deis de ja !!!

INFOSAT

Thu May 31 14:16:02 2007

--------------------------------------------------

Lista de Acciones (por Acción Directa):

(Valor Run y RunServices "CTF LOADER")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\ctfmon.exe

a "virus@satinfo.es". Gracias.

(Valor Run y RunServices "MICROSOFT UPDATE")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\svschost.exe

a "virus@satinfo.es". Gracias.

(Valor Run y RunServices "CTF LOADER")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\ctfmon.exe

a "virus@satinfo.es". Gracias.

C:\WINDOWS\WEB\RELATED.HTM --> Eliminado

C:\WINDOWS\MSMPENG.EXE --> Dropper.Delsim Renombrado a .VIR

C:\ARQUIVOS DE PROGRAMAS\ARQUIVOS COMUNS\DELSIM\DEL.EXE --> Eliminado Dialer.Delsim

Por favor, envienos una muestra del fichero

C:\Muestras\EXPLORE.EXE.Muestra EliStartPage v14.11

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\EXPLORE.EXE --> Eliminado

Por favor, envienos una muestra del fichero

C:\Muestras\UOLSEARCHHOOK.DLL.Muestra EliStartPage v14.11

a "virus@satinfo.es". Gracias.

C:\ARQUIVOS DE PROGRAMAS\ARQUIVOS COMUNS\UOL\URLSEARCH\UOLSEARCHHOOK.DLL --> Eliminado

C:\Documents and Settings\All Users\Menu Iniciar\DEL.LNK --> Eliminado (Fichero Complementario).

Entrada Eliminada [HKCU\...\Run] "WhenUSave"=""C:\Arquivos de programas\Save\Save.exe""

Eliminada Class, "{1FE8243E-0A3A-41B9-B9CE-EFFEE51974D3}" -> C:\Arquivos de programas\Arquivos comuns\uol\urlsearch\UOLSearchHook.dll

Eliminado Servicio, "Windows Defender User Interface"

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu May 31 14:32:15 2007

--------------------------------------------------

Lista de Acciones (por Acción Directa):

(Valor Run y RunServices "CTF LOADER")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\ctfmon.exe

a "virus@satinfo.es". Gracias.

(Valor Run y RunServices "MICROSOFT UPDATE")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\svschost.exe

a "virus@satinfo.es". Gracias.

(Valor Run y RunServices "CTF LOADER")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\ctfmon.exe

a "virus@satinfo.es". Gracias.

C:\WINDOWS\MSMPENG.EXE.VIR --> Eliminado.

C:\ARQUIVOS DE PROGRAMAS\ARQUIVOS COMUNS\DELSIM\DEL.EXE --> Eliminado Dialer.Delsim

C:\Documents and Settings\All Users\Menu Iniciar\DEL.LNK --> Eliminado (Fichero Complementario).

Linea Eliminada del HOSTS --> 127.0.0.1 bin.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 br.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 de.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.cdn.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 download.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 dynamique.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 es.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 fr.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 go.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 hk.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 instlog.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 jsp.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 kb.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 nl.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 se.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 secure.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 support.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 trial.updates.winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 ulog.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 winsoftware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.drivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.errorprotector.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.errorsafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.systemdoctor.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.utils.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.win-anti-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.win-virus-pro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantispam.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantispy.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantispyware.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantivirus.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winantiviruspro.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.windrivecleaner.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.windrivesafe.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winfixer.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winfixer2006.com ## added by CiD

Linea Eliminada del HOSTS --> 127.0.0.1 www.winsoftware.com ## added by CiD

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Eliminadas las Paginas de Inicio y de Busqueda del IE

Eliminados Ficheros Temporales del IE

Thu May 31 14:32:59 2007

--------------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\P3H2B3T3Q1S9.EXE --> Eliminado, Dialer.Delsim

C:\Arquivos de programas\HP\Digital Imaging\{A1062847-0846-427A-92A1-BB8251A91E91}\MIGRATE.DLL --> Eliminado, RXBar

C:\Arquivos de programas\mobile PhoneTools\MEXPLORER.DLL --> Eliminado, EliteToolBar (dropper)

C:\Documents and Settings\LocalService\Configurações locais\Temporary Internet Files\Content.IE5\AHUJQFAT\KUM[1].EXE --> Eliminado, Dialer.Delsim

C:\Documents and Settings\LocalService\Configurações locais\Temporary Internet Files\Content.IE5\AHUJQFAT\KUM[2].EXE --> Eliminado, Dialer.Delsim

C:\WINDOWS\system32\EJY.EXE --> Eliminado, Dropper.Delsim

C:\WINDOWS\system32\NZA.EXE --> Eliminado, Dropper.Delsim

C:\WINDOWS\system32\Tools\COUNTER.EXE --> Eliminado, Restart

C:\WINDOWS\system32\Tools\RESTART.EXE --> Eliminado, Restart

Thu May 31 14:43:50 2007

---------------------------------------------

Lista de Acciones (por Acción Directa):

(Valor Run y RunServices "CTF LOADER")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\ctfmon.exe

a "virus@satinfo.es". Gracias.

(Valor Run y RunServices "MICROSOFT UPDATE")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\svschost.exe

a "virus@satinfo.es". Gracias.

(Valor Run y RunServices "CTF LOADER")

Por favor, envienos una muestra del fichero

C:\WINDOWS\SYSTEM32\ctfmon.exe

a "virus@satinfo.es". Gracias.

C:\WINDOWS\SYSTEM32\DRIVERS\OREANS32.SYS --> Eliminado

Entrada Eliminada [HKCU\...\Run] "Microsoft Update"="svschost.exe"

Entrada Eliminada [HKLM\...\Run] "Microsoft Update"="svschost.exe"

Entrada Eliminada [HKLM\...\RunServices] "Microsoft Update"="svschost.exe"

Entrada Eliminada [HKLM\...\Run] "mysvcig38"="mysvcc.exe"

Entrada Eliminada [HKLM\...\RunServices] "mysvcig38"="mysvcc.exe"

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)

No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

Thu May 31 14:44:24 2007

---------------------------------------------

Lista de Acciones (por Exploración):

Explorando Unidad C:\

C:\Arquivos de programas\Gravity\Ragnarok Online\EpisodeUpdate.exe --> Eliminado, Bifrose (dropper)

C:\Arquivos de programas\Gravity\Ragnarok Online\heritage.exe --> Eliminado, Bifrose (dropper)

C:\Arquivos de programas\mobile PhoneTools\widcomm\Autorun.inf --> Eliminado, BackDoor.CMQ (inf)

C:\Documents and Settings\Henrique\Meus documentos\My Completed Downloads\Episode10_1_br.exe --> Eliminado, Bifrose (dropper)

C:\Documents and Settings\Henrique\Meus documentos\Servers\Instalador_RagnaOne_Provisorio(3).exe --> Eliminado, Bifrose (dropper)

C:\Documents and Settings\Henrique\Meus documentos\Servers\RagnaOne_Instalador.exe --> Eliminado, Bifrose (dropper)

RAPPORT_CLEAN

Script executed in Safe Mode

Rapport clean par Malekal_morte - http://www.malekal.com

Script executed in Safe Mode qui 31/05/2007 a 14:51:15,00

Microsoft Windows XP [versÆo 5.1.2600]

*** Suppression C:

tentative de suppression de C:\StubInstaller.exe

*** Suppression C:\WINDOWS\

*** Suppression C:\WINDOWS\system32

tentative de suppression de C:\WINDOWS\system32\o

*** Suppression C:\Arquivos de programas

tentative de suppression de "C:\Arquivos de programas\Adverts\"

tentative de suppression de "C:\Arquivos de programas\vg\"

*** Deletion of the registry keys successful..

Ah e tbm oh do HijackThis

Logfile of HijackThis v1.99.1

Scan saved at 14:57:59, on 31/5/2007

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\Ati2evxx.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\Arquivos de programas\Eset\nod32krn.exe

C:\WINDOWS\System32\svchost.exe

C:\Arquivos de programas\Eset\nod32kui.exe

C:\Program Files\Venturi2\Client\ventc.exe

C:\Arquivos de programas\Arquivos comuns\InstallShield\UpdateService\issch.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Arquivos de programas\Modem Speed\NtwSpeed.exe

C:\Documents and Settings\Henrique\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: btorbit.com - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Arquivos de programas\Orbitdownloader\orbitcth.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: &iG - {7EEF1E3D-FD97-4401-BCDB-5827F2D11709} - C:\ARQUIV~1\iGv6\igshop.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\arquivos de programas\google\googletoolbar1.dll (file missing)

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Arquivos de programas\Windows Live Toolbar\msntb.dll

O3 - Toolbar: Discador iBest - {4F869C58-D71D-4850-8BDD-7B5CDF8EC911} - C:\Arquivos de programas\Discador iBest\ibestbar.dll

O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Arquivos de programas\Windows Live Toolbar\msntb.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\arquivos de programas\google\googletoolbar1.dll (file missing)

O3 - Toolbar: &iG - {7EEF1E3D-FD97-4401-BCDB-5827F2D11709} - C:\ARQUIV~1\iGv6\igshop.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Arquivos de programas\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [MSNS PLUS XP2] rvpujd.exe

O4 - HKLM\..\Run: [iSUSPM Startup] C:\ARQUIV~1\ARQUIV~1\INSTAL~1\UPDATE~1\isuspm.exe -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Arquivos de programas\Arquivos comuns\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [601FA62D] C:\WINDOWS\System32\sys.exe

O4 - HKLM\..\Run: [explore] C:\WINDOWS\System32\explore.exe

O4 - HKLM\..\Run: [CTF Loader] ctfmon.exe

O4 - HKLM\..\Run: [speed] "C:\Arquivos de programas\Modem Speed\NtwSpeed.exe" /HIDE

O4 - HKLM\..\RunServices: [MSNS PLUS XP2] rvpujd.exe

O4 - HKLM\..\RunServices: [CTF Loader] ctfmon.exe

O4 - HKCU\..\Run: [Microsoft genuine service ] genuine.exe

O4 - HKCU\..\Run: [Microsoft Update Device Drivers] C:\WINDOWS\System32\drivers\wuauclt.exe

O4 - HKCU\..\Run: [CTF Loader] ctfmon.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\RunServices: [Microsoft genuine service ] genuine.exe

O4 - HKCU\..\RunServices: [Microsoft Update Device Drivers] C:\WINDOWS\System32\drivers\wuauclt.exe

O4 - HKCU\..\RunServices: [CTF Loader] ctfmon.exe

O8 - Extra context menu item: &Clean Traces - C:\Arquivos de programas\DAP\Privacy Package\dapcleanerie.htm

O8 - Extra context menu item: &Download all by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/202

O8 - Extra context menu item: &Download by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/201

O8 - Extra context menu item: &Download selected by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/203

O8 - Extra context menu item: &Download with &DAP - C:\Arquivos de programas\DAP\dapextie.htm

O8 - Extra context menu item: &Grab video by Orbit - res://C:\Arquivos de programas\Orbitdownloader\orbitmxt.dll/204

O8 - Extra context menu item: &Windows Live Search - res://C:\Arquivos de programas\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Download &all with DAP - C:\Arquivos de programas\DAP\dapextie2.htm

O9 - Extra button: Barra do iG - {FD1672E0-AE0D-465B-B345-F7B0944A121D} - C:\ARQUIV~1\iGv6\igshop.dll

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\ARQUIV~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Arquivos de programas\Eset\nod32krn.exe

O23 - Service: Microsoft sdk core (sdk) - Unknown owner - C:\WINDOWS\lsass.exe (file missing)

O23 - Service: Venturi2 Client (Venturi2) - Fourelle Systems, Inc - C:\Program Files\Venturi2\Client\ventc.exe

O23 - Service: Print Spooler Service (ytlt3zfejussw) - Unknown owner - C:\WINDOWS\System32\sys.exe

DigRam · Junho 1, 2007

Bom Dia Dreak!

Por favor, envienos una muestra del fichero
C:\WINDOWS\SYSTEM32\svschost.exe

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\EXPLORE.EXE.Muestra EliStartPage v14.11

a "virus@satinfo.es". Gracias.

Por favor, envienos una muestra del fichero

C:\Muestras\UOLSEARCHHOOK.DLL.Muestra EliStartPage v14.11

a "virus@satinfo.es". Gracias.

>@< Envie as amostras a SATINFO,para que nas próximas versões de EliStarA sejam implementadas medidas de controle,das variantes detectadas.

>@< Caso saiba fazê-lo,encripte-as e compacte-as,enviando a pasta Muestras e os arquivos < C:\WINDOWS\SYSTEM32\svshost.exe > ou < C:\WINDOWS\System32\ctfmon.exe >

>@< Entitule o E-Mail,com o caminho descrito pelo malware.

>@< Mas,nada nos garantirá o sucesso desta operação!Dependendo,talvez,acordarmos um compromisso de licença com a SATINFO.À título experimental,tente enviar os arquivos e baixar as próximas versões de EliStarA e roda-la no PC.Caso a ferramenta detecte outros arquivos malware e delete a pasta Muestras,teremos a certeza do sucesso do envio da amostras.Portanto,não deletaremos,ainda,a pasta Muestras.

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

No detectado Parche MS04-011 de Microsoft instalado. (LSASS)
No detectado Parche MS04-012 de Microsoft instalado. (RPC)

No detectado Parche MS06-001 de Microsoft instalado. (WMF)

No detectado Parche MS06-070 de Microsoft instalado. (SServidor)

ALERTA. WindowsUpdate Incompleto.

>@< Estão-lhe faltando muitos patches de atualização,faça urgente uma visita ao Windows Update.

>@< O seu HijackThis,está em uma pasta temporária! Coloque-o em uma pasta própria ( C:\HijackThis.exe ),para que tenhamos backups,das entradas fixadas.Pois,na possibilidade de qualquer erro,voçê terá como restaurá-la.

>@< Faça uma verificação pelo Jotti,aos arquivos:

C:\WINDOWS\System32\drivers\wuauclt.exe

C:\WINDOWS\System32\ctfmon.exe

>@< Em File to upload,coloque os caminhos,logo àcima.Faça a verificação de cada arquivo,isoladamente,e poste o relatório destas análises,na sua resposta.

>@< Clique em Iniciar >> Executar >> Digite: services.msc >> Ok.

>@< Procure os serviços < Microsoft sdk core ou sdk > ou < Print Spooler Service ou ytlt3zfejussw >

>@< Clique com o botão direito do mouse,nêstes serviços.Faça um por vêz!

>@< Clique em Propriedades >> Clique em Parar e,modifique ( troque ) o Tipo de inicialização,para Desativado.

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@

>@< Reinicie o computador em Modo de Segurança!

>@< Abra o HijackThis e clique em Do a system scan only.

>@< Marque as entradas,logo abaixo,e clique em Fix checked!

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\arquivos de programas\google\googletoolbar1.dll (file missing)

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\arquivos de programas\google\googletoolbar1.dll (file missing)

O4 - HKLM\..\Run: [MSNS PLUS XP2] rvpujd.exe

O4 - HKLM\..\Run: [601FA62D] C:\WINDOWS\System32\sys.exe

O4 - HKLM\..\Run: [CTF Loader] ctfmon.exe

O4 - HKLM\..\RunServices: [MSNS PLUS XP2] rvpujd.exe

O4 - HKLM\..\RunServices: [CTF Loader] ctfmon.exe

O4 - HKCU\..\Run: [Microsoft genuine service ] genuine.exe

O4 - HKCU\..\Run: [Microsoft Update Device Drivers] C:\WINDOWS\System32\drivers\wuauclt.exe

O4 - HKCU\..\Run: [CTF Loader] ctfmon.exe

O4 - HKCU\..\RunServices: [Microsoft genuine service ] genuine.exe

O4 - HKCU\..\RunServices: [Microsoft Update Device Drivers] C:\WINDOWS\System32\drivers\wuauclt.exe

O4 - HKCU\..\RunServices: [CTF Loader] ctfmon.exe

>@< Ainda em Modo Seguro,faça uma busca aos arquivos: rvpujd.exe e genuine.exe

>@< Encontrando-os,pode deletá-los!Já o ctfmon.exe e wuauclt.exe,aguardaremos o resultado do Jotti ou implementos na ferramenta EliStarA.

>@< Reinicie,normalmente,o computador!

>@< Abra o HijackThis e clique em Open the misc tools section.

>@< Clique em Delete an NT Service.

>@< Coloque,na caixa,os serviços: Microsoft sdk core ou sdk ( Veja qual nome o HJT,aceitará! ) ou Print Spooler Service ou ytlt3zfejussw ( Veja qual nome o HJT,aceitará! )

>@< Faça um por vêz!

>@< Clique em Ok e,na pergunta sobre o reboot,confirme!

>@< Ao reiniciar,faça um nôvo scan com o HijackThis,copie o relatório e poste na sua resposta + relatórios do Jotti.

Sem Mais!

DigRam

Sam Spade · Julho 8, 2007

Tópico Arquivado

Como o autor não respondeu por mais de 20 dias, o tópico foi arquivado.

Caso você seja o autor do tópico e quer reabrir, envie uma mensagem privada para um moderador da área juntamente com o link para este tópico e explique o motivo da reabertura.

Entrar

Arquivado

[Arquivado]oi pessoal! estou com um problema

Recommended Posts

Dreake 0

Compartilhar este post

Link para o post

Compartilhar em outros sites

DigRam 144

Compartilhar este post

Link para o post

Compartilhar em outros sites

Dreake 0

Compartilhar este post

Link para o post

Compartilhar em outros sites

DigRam 144

Compartilhar este post

Link para o post

Compartilhar em outros sites

Sam Spade 2

Compartilhar este post

Link para o post

Compartilhar em outros sites

Fixar div até atingir uma certa altura

Ajuda com Extends e envio para o banco

PHP+Codeginiter - Orientação para Impressão

Este projeto é apoiado pelas empresas

Fóruns

Tempo Real

Informação importante