[Arquivado]LogFile do HijackThis

[gabriel_ap 0]

Desde d q meu primo veio aki em ksa e uso o pc ele nunca + foi o msmo. a barra d ferramentas e td + sumiu so posso acessar o pc usando o ctrl+alt+del e achei um tal d vitumonde e n consigo remove-lo do computador. ja usei mtos programas e n resolveram. e n sei interpretar o HijackThis entao se alguem puder m ajudar eu agradeço.

 

 

Logfile of HijackThis v1.99.1

Scan saved at 22:10:03, on 7/7/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Arquivos de programas\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Arquivos de programas\AntiVir PersonalEdition Classic\sched.exe

C:\Arquivos de programas\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\system32\cisvc.exe

C:\WINDOWS\system32\crypserv.exe

C:\Arquivos de programas\Arquivos comuns\Softwin\BitDefender Communicator\xcommsvr.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Arquivos de programas\Oi Internet\DiscaOi.exe

C:\ARQUIV~1\MOZILL~1\FIREFOX.EXE

C:\Arquivos de programas\Softwin\BitDefender8\bdnagent.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Arquivos de programas\Arquivos comuns\Softwin\BitDefender Scan Server\bdss.exe

c:\arquivos de programas\softwin\bitdefender8\bdmcon.exe

C:\Arquivos de programas\iTunes\iTunes.exe

C:\Arquivos de programas\iPod\bin\iPodService.exe

C:\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.uol.com.br/

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [avgnt] "C:\Arquivos de programas\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [sMSERIAL] sm56hlpr.exe

O4 - HKLM\..\Run: [CallControl 4.5] C:\Arquivos de programas\FaxTalk Communicator\FTCtrl32.exe /autoload

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Arquivos de programas\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [RAM Idle Professional] C:\Arquivos de programas\RAM Idle LE\RAM_XP.exe

O4 - HKLM\..\Run: [infoData] rundll32.exe "C:\WINDOWS\system32\xohrqumm.dll",realset

O4 - HKLM\..\Run: [Advanced WindowsCare V2 Personal] "C:\Arquivos de programas\IObit\Advanced WindowsCare V2\Awcl.exe" /startup

O4 - HKLM\..\Run: [bDMCon] "C:\Arquivos de programas\Softwin\BitDefender8\bdmcon.exe"

O4 - HKLM\..\Run: [bDNewsAgent] "c:\arquivos de programas\softwin\bitdefender8\bdnagent.exe"

O4 - HKLM\..\RunOnce: [spybotSnD] "C:\Arquivos de programas\Spybot - Search & Destroy\SpybotSD.exe" /autocheck

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Arquivos de programas\Arquivos comuns\Ahead\lib\NMBgMonitor.exe"

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O17 - HKLM\System\CCS\Services\Tcpip\..\{2F50B1FB-069E-48F6-BE58-163AB290186E}: NameServer = 200.222.0.34 200.202.193.75

O17 - HKLM\System\CS1\Services\Tcpip\..\{2F50B1FB-069E-48F6-BE58-163AB290186E}: NameServer = 200.222.0.34 200.202.193.75

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Arquivos de programas\Lavasoft\Ad-Aware 2007\aawservice.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Arquivos de programas\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Arquivos de programas\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Arquivos de programas\Arquivos comuns\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Arquivos de programas\Arquivos comuns\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod Service - Apple Inc. - C:\Arquivos de programas\iPod\bin\iPodService.exe

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Arquivos de programas\Arquivos comuns\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[Sam Spade 2]

Olá gabriel_ap! O adware Virtumonde é o trojan Vundo, um malware de difícil remoção.

 

Baixe > show-vundo.vbs

 

Rode-o, depois copie e cole o conteúdo do resultado que encontrará em C:\vundo-bho.txt

 

OBS: este procedimento não irá remover nada, apenas mostrará entradas e arquivos ocultos do Vundo.

[gabriel_ap 0]

Obrigado por responder Sam Spade bem fiz o q dissests e aki esta o q apareceu:=================================================Relatório | BHOs, Winlogon Notify e AppInit_DLLs=================================================AppInit_DLLs-------------------------------------------------[Vazia]-------------------------------------------------Browser Helper Objects-------------------------------------------------[HKLM\SOFTWARE\Classes\CLSID\{06099F71-7A0B-4B43-A30B-865DB6CB7028}\][indefinido] | [indefinido]C:\WINDOWS\system32\gebyv.dll[HKLM\SOFTWARE\Classes\CLSID\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\]AcroIEHlprObj Class | [indefinido]C:\Arquivos de programas\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll[HKLM\SOFTWARE\Classes\CLSID\{287FF496-118D-4455-A33C-3E8C8BAF1477}\][indefinido] | [indefinido][indefinido][HKLM\SOFTWARE\Classes\CLSID\{577459F4-C83B-48EE-BA12-D9103618729F}\][indefinido] | [indefinido][indefinido][HKLM\SOFTWARE\Classes\CLSID\{6EF05952-B48D-4944-AA91-57A6A1A48EF8}\][indefinido] | [indefinido][indefinido][HKLM\SOFTWARE\Classes\CLSID\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\]SSVHelper Class | [indefinido]C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll[HKLM\SOFTWARE\Classes\CLSID\{9030D464-4C02-4ABF-8ECC-5164760863C6}\]Windows Live Sign-in Helper | [indefinido]C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll[HKLM\SOFTWARE\Classes\CLSID\{D651AFF4-9590-424d-BD1E-8E33E090DFB3}\][indefinido] | [indefinido][indefinido]-------------------------------------------------Winlogon Notify-------------------------------------------------[Padrão] crypt32chain : crypt32.dll[Padrão] cryptnet : cryptnet.dll

[Sam Spade 2]

Olá, o vundo-bho.txt está cortado, pois falta o resto das entradas em Winlogon Notify. Selecione, copie todo o conteúdo e cole na sua próxima resposta.

[gabriel_ap 0]

Desta vez acho q esta completo.=================================================Relatório | BHOs, Winlogon Notify e AppInit_DLLs=================================================AppInit_DLLs-------------------------------------------------[Vazia]-------------------------------------------------Browser Helper Objects-------------------------------------------------[HKLM\SOFTWARE\Classes\CLSID\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\]AcroIEHlprObj Class | [indefinido]C:\Arquivos de programas\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll[HKLM\SOFTWARE\Classes\CLSID\{287FF496-118D-4455-A33C-3E8C8BAF1477}\][indefinido] | [indefinido][indefinido][HKLM\SOFTWARE\Classes\CLSID\{577459F4-C83B-48EE-BA12-D9103618729F}\][indefinido] | [indefinido][indefinido][HKLM\SOFTWARE\Classes\CLSID\{6EF05952-B48D-4944-AA91-57A6A1A48EF8}\][indefinido] | [indefinido][indefinido][HKLM\SOFTWARE\Classes\CLSID\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\]SSVHelper Class | [indefinido]C:\Arquivos de programas\Java\jre1.5.0_06\bin\ssv.dll[HKLM\SOFTWARE\Classes\CLSID\{7C346F3A-8716-452F-A4A6-B4CA101BA049}\][indefinido] | [indefinido]C:\WINDOWS\system32\gebyv.dll[HKLM\SOFTWARE\Classes\CLSID\{9030D464-4C02-4ABF-8ECC-5164760863C6}\]Windows Live Sign-in Helper | [indefinido]C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll[HKLM\SOFTWARE\Classes\CLSID\{D651AFF4-9590-424d-BD1E-8E33E090DFB3}\][indefinido] | [indefinido][indefinido]-------------------------------------------------Winlogon Notify-------------------------------------------------[Padrão] crypt32chain : crypt32.dll[Padrão] cryptnet : cryptnet.dll[Padrão] cscdll : cscdll.dll[Nova] efcabbb : efcabbb.dll[Nova] gebyv : C:\WINDOWS\system32\gebyv.dll[Padrão] igfxcui : igfxsrvc.dll[Nova] mlljj : C:\WINDOWS\system32\mlljj.dll[Padrão] ScCertProp : wlnotify.dll[Padrão] Schedule : wlnotify.dll[Padrão] sclgntfy : sclgntfy.dll[Padrão] SensLogn : WlNotify.dll[Padrão] termsrv : wlnotify.dll[Nova] WgaLogon : wlnotify.dll[Padrão] wlballoon : wlnotify.dllEsta NÃO É uma lista de arquivos maliciosos!

[Sam Spade 2]

Opa, desculpe a demora, mas estava sem tepo e só agora pude responder. Baixe:

 

VundoFix

Avenger > extraia os arquivos para o desktop

 

Salve e imprima (pode não ter acesso ao que salvou ao reiniciar o PC e abrir o HijackThis) estas instruções, pois vai segui-las desconectado e sem acesso a esta página:

 

OBS: Só rode o Avenger apenas uma vez. Se rodar a segunda, o script não servirá mais pois, os arquivos e entradas foram deletados ao rodar a primeira vez e o avenger.txt será sobrescrito.

 

1 - Selecione e copie o texto dentro do QUOTE.

 

Files to delete:

C:\WINDOWS\system32\gebyv.dll

C:\WINDOWS\system32\mlljj.dll

C:\WINDOWS\system32\xohrqumm.dll

 

 

registry keys to delete:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7C346F3A-8716-452F-A4A6-B4CA101BA049}

HKLM\SOFTWARE\Classes\CLSID\{287FF496-118D-4455-A33C-3E8C8BAF1477}

HKLM\SOFTWARE\Classes\CLSID\{577459F4-C83B-48EE-BA12-D9103618729F}

HKLM\SOFTWARE\Classes\CLSID\{6EF05952-B48D-4944-AA91-57A6A1A48EF8}

HKLM\SOFTWARE\Classes\CLSID\{7C346F3A-8716-452F-A4A6-B4CA101BA049}

HKLM\SOFTWARE\Classes\CLSID\{D651AFF4-9590-424d-BD1E-8E33E090DFB3}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\efcabbb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\gebyv

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mlljj

 

Programs to launch on reboot:

C:\HijackThis\HijackThis.exe

Rode o Avenger. Selecione Input script manually.

 

Clique no ícone . Irá abrir a janela View/edit script e então cole o que copiou dentro do QUOTE.

 

Clique em Done. Agora clique no ícone para começar a execução do script. Dê o Sim (Yes).

 

Ao acabar de rodar o script o PC será reiniciado e o HijackThis irá abrir.

 

Marque a entrada abaixo, se ainda a encontrar e clique em

 

O4 - HKLM\..\Run: [infoData] rundll32.exe "C:\WINDOWS\system32\xohrqumm.dll",realset

 

2 - Reinicie o PC em modo normal. Dê um duplo-clique no VundoFix e depois clique no botão Scan for Vundo

 

Ao final do scan, clique no botão Remove Vundo. Quando aparecer o aviso perguntando se quer remover os arquivos, clique em Sim (Yes). O desktop poderá sumir, mas é normal.

 

Quando acabar a remoção, aparecerá um aviso para desligar o computador. Clique em OK.

 

Ligue-o novamente, faça um scan com o HijackThis e salve o log.

 

OBS: É possível que o VundoFix encontre um arquivo que não consiga remover. Se isso acontecer a ferramenta rodará ao reiniciar.

Quando o VundoFix aparecer, clique no botão Scan for Vundo

 

Pode acontecer de ter de rodar o Vundofix mais algumas vezes. Isso é devido às novas variantes do Vundo serem muito persistentes.

 

Poste:

 

log do HijackThis

vundofix.txt > está em C:\

avenger.txt > que também encontrará em C:\

[Sam Spade 2]

Tópico Arquivado

 

Como o autor não respondeu por mais de 20 dias, o tópico foi arquivado.

 

Caso você seja o autor do tópico e quer reabrir, envie uma mensagem privada para um moderador da área juntamente com o link para este tópico e explique o motivo da reabertura.