[Resolvido!] Win32:Confi [Wrm] (mais uma vez)

Yukko~ · Maio 31, 2009

Bom. É a minha primeira postagem aqui, eu simplesmente não tive maiores alternativas já que não encontrei resposta em lugar nenhum.

Meu pc está com o bendito Win32:Confi [Wrm], e bom, como é normal de se fazer, tentei excluir, colocar em quarentena e todas as coisas que meu pequeníssimo conhecimento nessa área de malware permite.

A questão não é ele aparecer de novo, simplesmente ao tentar excluí-lo aparece que ele é usado por outro processo e não há nenhum recurso que se possa utilizar.

Sou totalmente leiga, afinal, nunca tive maiores problemas, mas esse de fato, me incomoda.

Peço desculpas se esse tópico é repetido ou algo do tipo.

Obrigada desde já :)

Power Max · Maio 31, 2009

:thumbsup: Olá Yukko~!

Seja bem-vinda ao Fórum Imasters. Para remover este problema, siga inicialmente as dicas deste tutorial:

Conficker Kido Downadup, instruções de remoção

Depois disto, se for possível, poste um log do programa Hijackthis seguindo as dicas deste tópico abaixo e nos diga como está o seu PC depois disto:

http://forum.imasters.com.br/index.php?showtopic=165906

Ficamos no aguardo.

Yukko~ · Maio 31, 2009

Ui.

Fico grata, vou fazer o que é indicado nos sugeridos tópicos e logo depois postarei aqui ;*

Power Max · Maio 31, 2009

Ui.

Fico grata, vou fazer o que é indicado nos sugeridos tópicos e logo depois postarei aqui ;*

:thumbsup: Tudo bem, ficamos na espera.

Yukko~ · Maio 31, 2009

Bom. Foi mais rápido do que pude supor e_e

--------------------------------

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:40:16, on 31/5/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\Arquivos de programas\Alwil Software\Avast4\aswUpdSv.exe

D:\Arquivos de programas\Alwil Software\Avast4\ashServ.exe

D:\WINDOWS\Explorer.EXE

D:\ARQUIV~1\ALWILS~1\Avast4\ashDisp.exe

D:\WINDOWS\VNC\svchost.exe

D:\Arquivos de programas\Messenger\msmsgs.exe

D:\Arquivos de programas\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

D:\Arquivos de programas\DNA\btdna.exe

D:\WINDOWS\system32\ctfmon.exe

D:\Arquivos de programas\Free Download Manager\fdm.exe

D:\Arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe

D:\Arquivos de programas\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Arquivos de programas\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

D:\Arquivos de programas\Mozilla Firefox\firefox.exe

D:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

D:\Arquivos de programas\HP\Digital Imaging\bin\hpqSTE08.exe

D:\WINDOWS\system32\svchost.exe

D:\Arquivos de programas\Alwil Software\Avast4\ashMaiSv.exe

D:\Arquivos de programas\Alwil Software\Avast4\ashWebSv.exe

D:\WINDOWS\system32\wscntfy.exe

D:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe

D:\Arquivos de programas\Windows Live\Contacts\wlcomm.exe

D:\WINDOWS\System32\svchost.exe

C:\Downloads\Software\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.gamenext.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - D:\Arquivos de programas\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - D:\Arquivos de programas\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: GamesBarBHO Class - {CB0D163C-E9F4-4236-9496-0597E24B23A5} - D:\Arquivos de programas\GamesBar\oberontb.dll

O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - D:\Arquivos de programas\Free Download Manager\iefdm2.dll

O2 - BHO: Neopets - {CD292324-974F-4224-D074-CACA427AA030} - D:\ARQUIV~1\Neopets\Toolbar\Toolbar.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - D:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: Neopets - {CD292324-974F-4224-D074-CACA427AA030} - D:\ARQUIV~1\Neopets\Toolbar\Toolbar.dll

O3 - Toolbar: GamesBar - {6F282B65-56BF-4BD1-A8B2-A4449A05863D} - D:\Arquivos de programas\GamesBar\oberontb.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - D:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll

O4 - HKLM\..\Run: [startCCC] "D:\Arquivos de programas\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"

O4 - HKLM\..\Run: [avast!] D:\ARQUIV~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [VNC] D:\WINDOWS\VNC\svchost

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKCU\..\Run: [MSMSGS] "D:\Arquivos de programas\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [bitTorrent DNA] "D:\Arquivos de programas\DNA\btdna.exe"

O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Free Download Manager] "D:\Arquivos de programas\Free Download Manager\fdm.exe" -autorun

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Ferramenta de Verificação de Mídia do Picture Motion Browser.lnk = D:\Arquivos de programas\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = D:\Arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: Baixar com o FDM - file://D:\Arquivos de programas\Free Download Manager\dllink.htm

O8 - Extra context menu item: Baixar tudo com o FDM - file://D:\Arquivos de programas\Free Download Manager\dlall.htm

O8 - Extra context menu item: Download selecionado pelo FDM - file://D:\Arquivos de programas\Free Download Manager\dlselected.htm

O8 - Extra context menu item: Download video with Free Download Manager - file://D:\Arquivos de programas\Free Download Manager\dlfvideo.htm

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://D:\ARQUIV~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {1A93C934-025B-4c3a-B38E-9654A7003239} - D:\Arquivos de programas\GamesBar\oberontb.dll

O9 - Extra 'Tools' menuitem: GamesBar - {1A93C934-025B-4c3a-B38E-9654A7003239} - D:\Arquivos de programas\GamesBar\oberontb.dll

O9 - Extra button: Incluir no Blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - D:\Arquivos de programas\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: &Incluir no Blog no Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - D:\Arquivos de programas\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\ARQUIV~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: &Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\ARQUIV~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\ARQUIV~1\MICROS~3\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/PT-BR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - D:\Arquivos de programas\Microsoft Office\Office12\GrooveSystemServices.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Arquivos de programas\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - ALWIL Software - D:\Arquivos de programas\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - D:\Arquivos de programas\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - D:\Arquivos de programas\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Arquivos de programas\Arquivos comuns\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Pml Driver HPZ12 - HP - D:\WINDOWS\system32\HPZipm12.exe

--

End of file - 8654 bytes

Power Max · Maio 31, 2009

:seta: Sugiro que você salve ou imprima essas instruções abaixo, pois em alguns momentos você poderá precisar usar o computador sem o acesso à internet:

- Faça o download do Malwarebytes Anti-Malware.

* Faça a instalação dando um duplo clique em "mbam-setup.exe";

*Selecione a linguagem Português (Brasil)

*Selecione apenas a caixa: "Atualizar MalwareBytes'Anti-Malware"

*Se alguma atualização existir, o download será automático

*Não faça ainda scan!!!

*Reinicie o PC em Modo de Segurança (apertando a tecla F8 (ou a tecla F5 em alguns computadores) repetidas vezes quando o computador estiver reiniciando e escolhendo a opção Modo Seguro ou Modo de Segurança).

* Se não possível executar o computador em Modo Seguro, faça o escaneamento no modo normal

*Execute o programa MalwareBytes'Anti-Malware e clique na aba: "Verificação", selecione a opção "Verificação completa"

*Clique no botão: "Verificar"

* Marque todas as partes do computador que você deseja escanear e clique no botão: “Iniciar verificação”

*Ao término do scan, clique em "OK" > "Mostrar Resultados"

*Selecione todas as entradas e clique em "Remover Selecionados"

*Após a remoção poderá ser interrogado se deseja remover objetos da memória. Clique "SIM"

*Um log será apresentado com o resultado das ações

*Alguns malwares são rebeldes e necessitam de uma reinicialização para a remoção. Caso isto seja solicitado, clique para reiniciar o PC.

*Ao término do processo, reinicie o PC em Modo Normal.

* Depois de alguns dias, se o seu computador estiver funcionando normalmente sem estes arquivos que foram excluidos pelo Malwarebytes Anti-malware, abra (execute) o Malwarebytes Anti-malware, clique na aba: Quarentena e clique no botão: Remover tudo.

*Execute novamente o programa Malwarebytes Anti-malware e clique na aba “Logs”, dê um duplo clique com o mouse sobre o log mais recente, selecione o log completo e copie-o.

Poste este log gerado pelo Malwarebytes Anti-Malware juntamente com um novo log do Hijackthis na sua próxima resposta e nos diga como está o seu computador depois de seguir este procedimento acima.

Ficamos no aguardo de sua resposta.

Yukko~ · Junho 3, 2009

Bom. Aqui estou eu mais um vez.

Tenho que ser sincera e dizer que não fiz o procedimento completo que você me orientou. Eu estava realmente esconfiada da presença de algum software de monitoramento havia sido instalado aqui por por meu pai.

E como eu suspeitava, de fato, o UltraVNC estava aqui.

Bom, eu dei um jeito nele pra valer, pelo menos enquanto ele não instalar de novo. Retirei qualquer vestígio desse programa. qualquer mesmo.E agora digo uma coisa, acabaram-se meus problemas.

Os worms/rookit que apareciam simplesmente pararam e não há mais o terrível problema com a velocidade do meu pc e com a conexão.

Não sei se há alguma relação, mas creio que agora, esteja tudo bem.

Posso mandar o Log do Hijackthis, caso vocês achem melhor.

Agradeço muito pela ajuda. :)

NOTA: Bom, vou fazer algumas retificações aqui.

O meu PC se livrou sim do Win32. BUT, ganhou dois belos Trojan horse BackDoor.IrcBot.ISE

Estou usando o AVG 8.5 e o SpyBot.

Power Max · Junho 3, 2009

NOTA: Bom, vou fazer algumas retificações aqui.

O meu PC se livrou sim do Win32. BUT, ganhou dois belos Trojan horse BackDoor.IrcBot.ISE

Estou usando o AVG 8.5 e o SpyBot.

:seta: Faça um escaneamento completo com o Malwarebytes Anti-Malware conforme te indiquei na resposta anterior e poste o log dele juntamente com um novo log do Hijackthis e nos diga como está o seu PC depois disto.

Ficamos no aguardo.

Yukko~ · Junho 4, 2009

NOTA: Bom, vou fazer algumas retificações aqui.

O meu PC se livrou sim do Win32. BUT, ganhou dois belos Trojan horse BackDoor.IrcBot.ISE

Estou usando o AVG 8.5 e o SpyBot.

:seta: Faça um escaneamento completo com o Malwarebytes Anti-Malware conforme te indiquei na resposta anterior e poste o log dele juntamente com um novo log do Hijackthis e nos diga como está o seu PC depois disto.

Ficamos no aguardo.

Estou fazendo um scan completo com o MalwareBytes. E o que eu faço em seguida? Deleto os arquivos infectados, ou alguma outra coisa?

Ah, eu devo excluir o AVG, ou devo instalar outro antivirus? o_o

Sou completaly monga quando se trata disso ~__~

Obrigada pela paciência i_i

Power Max · Junho 4, 2009

Ah, eu devo excluir o AVG, ou devo instalar outro antivirus? o_o

:seta: O Avg é um bom antivirus. Para usá-lo corretamente siga as dicas deste tutorial:

Tutorial do antivirus Avg 8.5 free (como usá-lo corretamente)

______________________________________________________________________________

Estou fazendo um scan completo com o MalwareBytes. E o que eu faço em seguida? Deleto os arquivos infectados, ou alguma outra coisa?

:seta: *Ao término do scan, clique em "OK" > "Mostrar Resultados"

*Selecione todas as entradas e clique em "Remover Selecionados"

*Após a remoção poderá ser interrogado se deseja remover objetos da memória. Clique "SIM"

*Um log será apresentado com o resultado das ações

*Alguns malwares são rebeldes e necessitam de uma reinicialização para a remoção. Caso isto seja solicitado, clique para reiniciar o PC.

*Ao término do processo, reinicie o PC em Modo Normal.

* Depois de alguns dias, se o seu computador estiver funcionando normalmente sem estes arquivos que foram excluidos pelo Malwarebytes Anti-malware, abra (execute) o Malwarebytes Anti-malware, clique na aba: Quarentena e clique no botão: Remover tudo.

*Execute novamente o programa Malwarebytes Anti-malware e clique na aba “Logs”, dê um duplo clique com o mouse sobre o log mais recente, selecione o log completo e copie-o.

Poste este log gerado pelo Malwarebytes Anti-Malware juntamente com um novo log do Hijackthis na sua próxima resposta e nos diga como está o seu computador depois de seguir este procedimento acima.

Yukko~ · Junho 6, 2009

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:33:14, on 6/6/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\WINDOWS\system32\spoolsv.exe

D:\WINDOWS\Explorer.EXE

D:\ARQUIV~1\AVG\AVG8\avgtray.exe

D:\Arquivos de programas\Messenger\msmsgs.exe

D:\Arquivos de programas\DNA\btdna.exe

D:\WINDOWS\system32\ctfmon.exe

D:\Arquivos de programas\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

D:\Arquivos de programas\Free Download Manager\fdm.exe

D:\Arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe

D:\Arquivos de programas\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

D:\ARQUIV~1\AVG\AVG8\avgwdsvc.exe

D:\Arquivos de programas\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

D:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

D:\ARQUIV~1\AVG\AVG8\avgrsx.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\system32\wscntfy.exe

D:\Arquivos de programas\HP\Digital Imaging\bin\hpqSTE08.exe

D:\WINDOWS\System32\svchost.exe

D:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe

D:\Arquivos de programas\Windows Live\Contacts\wlcomm.exe

D:\Arquivos de programas\Mozilla Firefox\firefox.exe

D:\WINDOWS\system32\WISPTIS.EXE

C:\Downloads\Software\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.gamenext.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - D:\Arquivos de programas\AVG\AVG8\avgssie.dll