[Arquivado]Problemas na instalação de anti-vírus e anti-vírus online

vermelhonegro · Setembro 22, 2007

Por favor, preciso de ajuda!

Há alguns dias, provavelmente após ter acessado link do Orkut, tive problemas com o AVG e precisei desinstalar o programa. Tento reinstalá-lo, mas não consigo, aparecendo a msg "Máquina local: falha na instalação Instalação: Erro: Falha na ação correspondente a arquivo avgamsvr.exe: criando arquivo.... No such file or directory".

Já pus pra rodar o Registry Mechanic e o Ad-Aware SE Personal e nada mudou.

Além disso, não consigo usar anti-vírus "online" (já tentei Panda ActiveScan, F-Secure Online Scanner,

Kaspersky Web Scanner, BitDefender Online e Symantec), pois o PC trava por completo durante a varredura.

O que posso fazer?

Agradeço antecipadamente a atenção.

Segue log do Hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 21:39:48, on 21/9/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\CTsvcCDA.EXE

C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Arquivos de programas\Speedy\WrOS.EXE

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Hijack\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Arquivos de programas\Java\jre1.6.0_02\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\arquivos de programas\google\googletoolbar3.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Arquivos de programas\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\arquivos de programas\google\googletoolbar3.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [z-WrDialer] C:\Arquivos de programas\Speedy\WrDialer.exe

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [babylon Client] C:\Arquivos de programas\Babylon\Babylon-Pro\Babylon.exe -AutoStart

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O8 - Extra context menu item: &Download with &DAP - C:\Arquivos de programas\DAP\dapextie.htm

O8 - Extra context menu item: Download &all with DAP - C:\Arquivos de programas\DAP\dapextie2.htm

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Save Flash - res://C:\Arquivos de programas\Flash Saving Plugin\FlashSButton.dll/210

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Arquivos de programas\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra button: Flash - {43CF38F3-5AEC-45a3-AD31-04EB06E9C6CA} - C:\Arquivos de programas\Flash Saving Plugin\FlashSButton.dll (HKCU)

O11 - Options group: [iNTERNATIONAL] International*

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: {0B79F48A-E8D6-11DB-9283-E25056D89593} (F-Secure Online Scanner 3.1) - http://support.f-secure.com/ols/fscax.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/d...can_unicode.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by111fd.bay111.hotmail.msn.com/resources/MsnPUpld.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1166196077156

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.atrativa.com.br/games/applets/p...opcaploader.cab

O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by111fd.bay111.hotmail.msn.com/activex/HMAtchmt.ocx

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\ARQUIV~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WBSrv - C:\ARQUIV~1\Stardock\OBJECT~1\WINDOW~1\wbsrv.dll

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll

O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE

O23 - Service: Google Updater Service (gusvc) - Google - C:\Arquivos de programas\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: NBService - Nero AG - C:\Arquivos de programas\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: WinPPPoverEthernet - iVasion, a Routerware Company - C:\Arquivos de programas\Speedy\WrOS.EXE

jgarcia · Setembro 26, 2007

Opa vermelhonegro,

Baixe o F-Secure Blacklight em:

F-Secure Blacklight

Salve-o em sua área de trabalho (desktop) e o execute. Aceite o acordo. Clique em Scan e aguarde.

Se ele encontrar algum arquivo, ignore, pois quero apenas o log.

Ao final do scan será gerado o arquivo fsbl-xxxxx.log (onde xxx são números). Preciso que você copie o log e poste em sua próxima resposta.

Abraços.

vermelhonegro · Setembro 28, 2007

Oi José Carlos,Obrigado pela atenção.Segue o q você me pediu...09/28/07 15:37:19 [info]: BlackLight Engine 1.0.64 initialized09/28/07 15:37:19 [info]: OS: 5.1 build 2600 (Service Pack 2)09/28/07 15:37:19 [Note]: 7019 409/28/07 15:37:19 [Note]: 7005 009/28/07 15:37:23 [Note]: 7006 009/28/07 15:37:23 [Note]: 7011 29609/28/07 15:37:23 [Note]: 7026 009/28/07 15:37:23 [Note]: 7026 009/28/07 15:37:26 [Note]: FSRAW library version 1.7.102209/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\Empty.txt09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\Filters.xml09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\news.png09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\paint.png09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\Profiles\Blank.txt09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\Sample1.jpg09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [info]: Hidden file: c:\Arquivos de programas\Movie Maker\Shared\Sample2.jpg09/28/07 15:38:47 [Note]: 10002 309/28/07 15:38:47 [Note]: 10002 209/28/07 15:38:47 [Note]: 10002 209/28/07 15:39:08 [info]: Hidden file: c:\Arquivos de programas\Skype\Toolbars\Shared\SPhoneParser.dll09/28/07 15:39:08 [Note]: 10002 309/28/07 15:39:08 [Note]: 10002 209/28/07 15:39:08 [Note]: 10002 209/28/07 15:39:10 [Note]: 10002 309/28/07 15:39:10 [Note]: 10002 209/28/07 15:39:10 [Note]: 10002 209/28/07 15:39:32 [info]: Hidden file: c:\Documents and Settings\user\Dados de aplicativos\hidires\hidr.exe09/28/07 15:39:32 [Note]: 10002 209/28/07 15:39:33 [Note]: 10002 309/28/07 15:39:33 [info]: Hidden file: c:\Documents and Settings\user\Dados de aplicativos\hidires\rosa.sys09/28/07 15:39:33 [Note]: 10002 309/28/07 15:39:33 [Note]: 10002 209/28/07 15:39:33 [Note]: 10002 209/28/07 15:41:52 [Note]: 10002 209/28/07 15:41:52 [Note]: 10002 209/28/07 15:42:20 [info]: Hidden file: c:\WINDOWS\system32\hldrrr.exe09/28/07 15:42:20 [Note]: 10002 209/28/07 15:42:29 [info]: Hidden file: c:\WINDOWS\system32\drivers\srosa.sys09/28/07 15:42:29 [Note]: 10002 209/28/07 15:42:29 [info]: Hidden file: c:\WINDOWS\system32\drivers\hidr.exe09/28/07 15:42:29 [Note]: 10002 209/28/07 15:43:30 [Note]: 2000 101209/28/07 15:43:30 [Note]: 2000 101209/28/07 15:44:49 [Note]: 7007 0

jgarcia · Setembro 29, 2007

Opa vermelhonegro,

Vamos lá.

Habilite o Windows para mostrar todos os arquivos (até ocultos).

1ª Etapa

Baixe o Killbox em:

Killbox

Baixe, mas não execute ainda.

Baixe a ferramenta de correção da Symantec.

Baixe -> vá em Arquivo -> Salvar como em seu desktop, mas não a execute ainda.

Baixe o CCleaner em:

CCleaner

Baixe, mas não execute ainda.

2ª Etapa

1. Execute o Killbox, clique em Delete on Reboot.

2. Copie a lista abaixo em negrito para a área de transferência. Selecione tudo com o auxílio do mouse --> vá até a aba Editar na barra do navegador --> clique em Copiar.

c:\Documents and Settings\user\Dados de aplicativos\hidires\hidr.exe

c:\Documents and Settings\user\Dados de aplicativos\hidires\rosa.sys

c:\WINDOWS\system32\drivers\srosa.sys

c:\WINDOWS\system32\drivers\hidr.exe

c:\WINDOWS\system32\hldrrr.exe

3. Retorne ao Killbox. Clique em File > Paste from clipboard. Clique em All Files.

4. Aperte em "X". Responda "não" à pergunta.

3ª Etapa

Reinicie o computador em Modo Normal.

Execute a ferramenta de correção. Para isto dê um clique-direito sobre UnHookExec.inf contido em seu desktop e depois clique em instalar.

Vá em Iniciar -> Executar -> digite regedit -> dê Ok.

Navegue e delete as seguintes subchaves, se houver:

HKEY_CURRENT_USER\Software\FirstRRRun

HKEY_CURRENT_USER\Software\FIRSTRUXZX

Navegue até a seguinte subchave:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

No painel à direita, delete os seguintes valores, se houver:

"drvsyskit" = "%Userprofiles%\Application Data\hidires\hidr.exe"

"drvsyskit" = "%Userprofiles%\Application Data\hidires\m_hook.sys"

"drvsyskit" = "%Userprofiles%\Application Data\hidires\srosa.sys"

"drvsyskit" = "%Userprofiles%\Application Data\hidn\hidn2.exe"

"german.exe" = "%System%\wintems.exe"

"hldrrr" = "%System%\hldrrr.exe"

Navegue até a seguinte subchave:

HKEY_CURRENT_USER\Software\DateTime4

No painel à direita, restaure os seguintes valores originais, se necessário:

"port" = "0x5B7E"

"uid" = "[RANDOM]"

"wdrn" = "0x00000001"

Navegue até a seguinte subchave:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control

Selecione a pasta (Control) -> dê um clique-direito -> Novo -> Chave -> coloque o nome de Safeboot.

Criada a pasta Safeboot, a selecione -> dê um clique-direito -> Novo -> Valor da sequência -> dê o nome de AlternateShell.

No painel à direita selecione AlternateShell -> dê um clique-direito -> Modificar -> no local destinado ao valor coloque cmd.exe.

Saia do Editor do Registro.

Localize e delete:

c:\Documents and Settings\user\Dados de aplicativos\hidires <- a pasta

Vá até a pasta C:\!Killbox e delete o conteúdo.

4ª Etapa

Reinicie em Modo Normal novamente.

Execute o CCleaner e clique em Executar Cleaner.

Retorne com um novo log do BlackLight, verifique se a máquina já está reiniciando em Modo Seguro e tente reinstalar os sistemas de segurança.

Aguardo retorno.

Um abraço.

vermelhonegro · Setembro 30, 2007

Oi José Carlos,

Tudo feito conforme você especificou.

Não sei se interessa salientar, mas a subchave HKEY_CURRENT_USER\Software\DateTime4 não existe.

O novo log do BlackLight é o seguinte:

09/30/07 14:48:17 [info]: BlackLight Engine 1.0.64 initialized

09/30/07 14:48:17 [info]: OS: 5.1 build 2600 (Service Pack 2)

09/30/07 14:48:17 [Note]: 7019 4

09/30/07 14:48:17 [Note]: 7005 0

09/30/07 14:48:23 [Note]: 7006 0

09/30/07 14:48:23 [Note]: 7011 1896

09/30/07 14:48:23 [Note]: 7026 0

09/30/07 14:48:25 [Note]: FSRAW library version 1.7.1022

09/30/07 14:53:53 [Note]: 2000 1012

09/30/07 14:55:43 [Note]: 7007 0

A máquina não reinicia em Modo Seguro (e sim apenas em Modo Normal).

Tentei reinstalar o AVG, mas não consegui, pois apareceu a seguinte msg:

Máquina local: falha na instalação

Instalação:

Erro: Falha na ação correspondente a arquivo avg7rsw.sys: iniciando serviço....

O sistema não pode encontrar o arquivo especificado. (2)

Repetição:

Erro: Falha na ação correspondente a arquivo avgamsvr.exe: iniciando serviço....

Acesso negado. (5)

Erro: Falha na ação correspondente a arquivo avgemc.exe: iniciando serviço....

Acesso negado. (5)

Erro: Falha na ação correspondente a arquivo avgupsvc.exe: iniciando serviço....

O serviço não pode ser iniciado porque está desativado ou não tem dispositivos ativados associados. (1058)

Obrigado novamente. Aguardo seu contato.

jgarcia · Outubro 1, 2007

Opa vermelhonegro,

Baixe o ComboFix em:

ComboFix

1) Dê um duplo-clique no combofix.exe e tecle "1" para prosseguir. O processo vai durar, em média, 10 minutos;

2) O ComboFix reiniciará o PC automaticamente, a fim de que o processo de remoção seja finalizado (somente se houver infecção);

3) Quando a varredura acabar, será gerado um log, que estará em C:\ComboFix.txt;

4) Não clique na janela do ComboFix, nem feche clicando no X, enquanto a ferramenta estiver sendo executada, pois isto implicará na desconfiguração de seu desktop (ele ficará todo branco);

5) Para parar ou sair do ComboFix, tecle "N";

6) Preciso que você cole o conteúdo do ComboFix.txt em sua próxima resposta, juntamente com um novo log do HijackThis.

Abraços.

vermelhonegro · Outubro 3, 2007

Oi José Carlos,

Cerca de 35 segundos depois que se inicia o scan do ComboFix, a máquina trava completamente...

Segue log do HijackThis após o desligamento manual:

Logfile of HijackThis v1.99.1

Scan saved at 15:34, on 2007-10-03

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\CTsvcCDA.EXE

C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\svchost.exe

C:\Arquivos de programas\Speedy\WrOS.EXE

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\Rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Arquivos de programas\Internet Explorer\IEXPLORE.EXE

C:\Hijack\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Arquivos de programas\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll