[Arquivado] Infectado por Win32 Dundun.A

O.Aprendiz.CSS · Junho 22, 2009

Salve amigos do Imasters.

Após uma longa sumida do fórum, cá to eu outra vez porém desta com um problema chato.

Ele chama-se Win32 Dundun.A, ou seja, um vírus que adentrou minha máquina e esculhamba todos os executáveis da mesma.

A pergunta que não quer calar, alguém sabe como resolvo este probleminha???

Minhas tentativas:

- Instalar o KIS, não tem dado certo em nenhuma máquina, sempre dá erro e não consigo.

- Fazer a verificação online, não tem funcionado, sempre dá erro e não consigo.

Segue o HijackThis:

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\sbfc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\arquivos de programas\blok free 3\blkfc.exe

C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Arquivos de programas\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe

C:\WINDOWS\system32\dvmd.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Arquivos de programas\Mozilla Firefox\firefox.exe

C:\Arquivos de programas\Malwarebytes' Anti-Malware\mbam.exe

C:\Arquivos de programas\WinRAR\WinRAR.exe

C:\Documents and Settings\USUARIOS\Desktop\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mystart.magentic.com./

R3 - URLSearchHook: Barra de Ferramentas do Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Arquivos de programas\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Arquivos de programas\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Arquivos de programas\Google\Google Toolbar\GoogleToolbar.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Arquivos de programas\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Arquivos de programas\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Arquivos de programas\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Arquivos de programas\Google\Google Toolbar\GoogleToolbar.dll

O3 - Toolbar: Barra de Ferramentas do Yahoo! - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Arquivos de programas\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [blok Free 3] "C:\Arquivos de programas\Blok Free 3\blkfc.exe"

O4 - HKLM\..\Run: [sbfc] C:\WINDOWS\system32\sbfc.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [sbfc] C:\WINDOWS\System32\sbfc.exe

O4 - HKCU\..\Run: [abfc] "c:\arquivos de programas\blok free 3\blkfc.exe"

O4 - HKCU\..\Run: [swg] C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: is-4GHE9.lnk = C:\Documents and Settings\USUARIOS\Desktop\Virus Removal Tool2\is-4GHE9\startup.exe

O4 - Startup: is-A5OOV.lnk = C:\Documents and Settings\USUARIOS\Desktop\Virus Removal Tool\is-A5OOV\startup.exe

O4 - Startup: is-P8A9S.lnk = C:\Documents and Settings\USUARIOS\Desktop\Virus Removal Tool1\is-P8A9S\startup.exe

O4 - Global Startup: Acrobat Assistant.lnk = C:\Arquivos de programas\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Arquivos de programas\Microsoft Office\Office\OSA9.EXE

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.adobe.com/pub/shockwave/...ash/swflash.cab

O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100

O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Arquivos de programas\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll

O23 - Service: Google Software Updater (gusvc) - Unknown owner - C:\Arquivos de programas\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)

O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe

O23 - Service: Recurso DVMD (ResDVMD) - DVMD - C:\WINDOWS\system32\dvmd.exe

--

Pleaseeee.. alguém me socorre porque to atrapalhado com este vírus galera.

Power Max · Junho 22, 2009

:thumbsup: Olá!

:seta: Sugiro que você salve ou imprima essas instruções abaixo, pois em alguns momentos você poderá precisar usar o computador sem o acesso à internet:

Baixe o ComboFix em:

ComboFix

1) Desabilite o seu anti-vírus temporariamente;

2) Dê um duplo-clique no combofix.exe e aguarde (o processo total demora cerca de 10 minutos);

3) A janela de “NEGAÇÃO DE GARANTIA DO SOFTWARE” abrir-se-á. Clique em “SIM” para continuar.

4) Outra janela irá abrir, caso a sua máquina não possua o CONSOLE DE RECUPERAÇÃO DO WINDOWS. É recomendável executar a instalação do console antes de dar continuidade ao processo, pois tal ação proporcionará a garantia de que o sistema poderá ser recuperado em caso de problemas durante a varredura.

Clique sobre “SIM” e aguarde, pois o processo de instalação do console dar-se-á automaticamente através do próprio ComboFix. Ele poderá demorar alguns minutos (dependerá da velocidade de sua conexão), portanto seja paciente.

Quando a janela “INSTALANDO O CONSOLE DE RECUPERAÇÃO” aparecer clique em “OK”, depois clique sobre “SIM” para aceitar a licença EULA.

Ao término da instalação do console de recuperação abrir-se-á uma janela avisando que “O CONSOLE DE RECUPERAÇÃO FOI INSTALADO COM SUCESSO”.

Clique sobre “SIM” para continuar a varredura.

5) O ComboFix iniciará o AUTOSCAN (aguarde).

ATENÇÃO: Não clique na janela do ComboFix, nem termine o processo abruptamente enquanto a ferramenta estiver sendo executada, pois isto implicará na desconfiguração de seu desktop (ele ficará todo branco).

Ao término do processo a máquina será reiniciada para a emissão do relatório.

6) Ao reiniciar a máquina o ComboFix irá executar o FIND3M para a criação do relatório final da varredura. O log dele estará em C:\ComboFix.txt.

7) Reabilite o seu anti-vírus;

OBS.1: Caso apareça uma mensagem avisando que ESTE NÃO É UM APLICATIVO WIN 32 VÁLIDO baixe o ComboFix novamente, mas salve-o em seu Desktop como KomboFix.

Em último caso, se não for possível executar o Combofix no Modo Normal do Windows, tente utilizar o ComboFix em MODO SEGURO (reiniciando o computador e pressionando a tecla F8 intermitentemente, ou F5 em alguns casos, durante a inicialização e escolha a opção Modo Seguro na tela que se apresenta) e repita o procedimento;

OBS.2: Caso haja um clique sobre a janela do ComboFix em execução, ela irá MAXIMIZAR, sobrepondo-se sobre as demais. Para minimizá-la novamente basta utilizar a combinação ALT + TAB.

* Se por algum motivo você precisar parar ou sair do ComboFix, tecle "N".

* Se perder a conexão com a internet, reinicie o computador. Caso o problema persista, abra Conexões de Rede no Painel de Controle, clique com o botão direito do mouse sobre a sua conexão com a internet e em "Reparar";

Poste o log do Combofix que estará em C:\ComboFix.txt juntamente com um novo log do Hijackthis em sua próxima resposta e nos diga como está o seu PC depois disto.

Ficamos no aguardo.

O.Aprendiz.CSS · Junho 23, 2009

Antonio, bom dia meu caro.

Antes de mais nada aobrigado pela força aí.

Bom o que rola eu fiz tudo conforme orientado, porém não sei se danado foi eliminado de vez, aparecentemente pelo menos alguns arquivos executáveis que eu estava usando pararam de dar alerta.

De qualquer forma, segue aí o relatório do combo e do Hj:

Combo:

ComboFix 09-06-22.08 - USUARIOS 23/06/2009 9:50.1 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.2.1252.55.1046.18.479.271 [GMT -3:00]

Executando de: c:\documents and settings\USUARIOS\Desktop\ComboFix.exe

.

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\mdm.exe

.

(((((((((((((((( Arquivos/Ficheiros criados de 2009-05-23 to 2009-06-23 ))))))))))))))))))))))))))))

.

2009-06-23 10:57 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\80732951.sys

2009-06-23 10:45 . 2009-06-23 10:45 3561743 ----a-w- c:\documents and settings\All Users\Dados de aplicativos\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe

2009-06-23 10:41 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\74215681.sys

2009-06-22 23:48 . 2009-06-22 23:48 42315312 ----a-w- C:\setup_7.0.0.290_22.06.2009_22-58.exe

2009-06-22 20:11 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\34336729.sys

2009-06-22 20:10 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\09774435.sys

2009-06-22 19:09 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\24574266.sys

2009-06-22 18:43 . 2009-06-22 18:43 1204 ----a-w- c:\windows\mozver.dat

2009-06-22 18:40 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\60852935.sys

2009-06-22 18:39 . 2009-06-22 18:39 -------- d-----w- c:\documents and settings\USUARIOS\Dados de aplicativos\Yahoo!

2009-06-22 18:39 . 2009-06-22 18:39 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Yahoo! Companion

2009-06-22 18:39 . 2009-06-22 18:39 -------- d-----w- c:\arquivos de programas\Yahoo!

2009-06-22 18:39 . 2009-06-22 18:39 -------- d-----w- c:\arquivos de programas\CCleaner

2009-06-22 18:39 . 2009-06-22 18:39 0 ----a-w- c:\windows\nsreg.dat

2009-06-22 18:29 . 2008-07-08 17:54 148496 ----a-w- c:\windows\system32\drivers\77779764.sys

2009-06-22 17:42 . 2009-06-22 20:12 -------- d-----w- C:\Zenite

2009-06-11 18:26 . 2009-06-15 22:18 -------- d-----w- C:\BACKUP COMP MILENE

2009-06-05 18:00 . 2009-06-05 18:00 -------- d-----w- c:\arquivos de programas\MSXML 6.0

2009-06-04 12:29 . 2009-06-04 12:29 -------- d-----w- c:\documents and settings\USUARIOS\Dados de aplicativos\Bitstream

2009-06-04 12:13 . 2009-06-08 14:19 2516 --sha-w- c:\documents and settings\All Users\Dados de aplicativos\KGyGaAvL.sys

2009-06-04 12:13 . 2009-06-04 12:13 8 --sh--r- c:\documents and settings\All Users\Dados de aplicativos\D3B4F71560.sys

2009-06-04 12:12 . 2009-06-06 15:27 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Corel

2009-06-04 12:12 . 2009-06-04 12:12 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Protexis

2009-06-04 11:53 . 2009-06-10 21:47 -------- d-----w- C:\SOGRAFE

.

((((((((((((((((((((((((((((((((((((( Relatório Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-06-23 10:51 . 2009-05-08 11:29 -------- d-----w- c:\arquivos de programas\Malwarebytes' Anti-Malware

2009-06-22 17:50 . 2009-05-08 19:24 2973432 ------w- C:\mbam-setup.exe

2009-06-22 17:50 . 2009-02-16 10:41 863930 ----a-w- C:\instalar.exe

2009-06-22 17:50 . 2009-01-21 18:22 17230976 ----a-w- C:\AdbeRdr60_ptb_full.exe

2009-06-17 14:27 . 2009-05-08 11:29 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-06-17 14:27 . 2009-05-08 11:29 19096 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-06-06 15:44 . 2009-01-22 10:37 -------- d-----w- c:\documents and settings\USUARIOS\Dados de aplicativos\AdobeUM

2009-06-04 12:13 . 2009-03-31 17:28 -------- d-----w- c:\documents and settings\USUARIOS\Dados de aplicativos\Corel

2009-06-04 12:09 . 2009-03-31 17:18 -------- d-----w- c:\arquivos de programas\Corel

2009-05-08 11:29 . 2009-05-08 11:29 -------- d-----w- c:\documents and settings\USUARIOS\Dados de aplicativos\Malwarebytes

2009-05-08 11:29 . 2009-05-08 11:29 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Malwarebytes

2009-05-07 15:43 . 2004-08-04 12:00 345600 ----a-w- c:\windows\system32\localspl.dll

2009-04-29 04:52 . 2004-08-04 12:00 661504 ----a-w- c:\windows\system32\wininet.dll

2009-04-29 04:52 . 2004-08-04 12:00 81920 ----a-w- c:\windows\system32\ieencode.dll

2009-04-19 20:10 . 2004-08-04 12:00 1846784 ----a-w- c:\windows\system32\win32k.sys

2009-04-16 18:23 . 2004-08-04 12:00 48846 ----a-w- c:\windows\system32\perfc016.dat

2009-04-16 18:23 . 2004-08-04 12:00 344734 ----a-w- c:\windows\system32\perfh016.dat

2009-04-15 15:17 . 2004-08-04 12:00 584192 ----a-w- c:\windows\system32\rpcrt4.dll

2006-10-11 08:04 . 2009-06-22 18:39 61036 ----a-w- c:\arquivos de programas\mozilla firefox\components\jar50.dll

2006-10-11 08:04 . 2009-06-22 18:39 48742 ----a-w- c:\arquivos de programas\mozilla firefox\components\jsd3250.dll

2006-10-11 08:05 . 2009-06-22 18:39 29313 ----a-w- c:\arquivos de programas\mozilla firefox\components\myspell.dll

2006-10-11 08:05 . 2009-06-22 18:39 41082 ----a-w- c:\arquivos de programas\mozilla firefox\components\spellchk.dll

2006-10-11 08:04 . 2009-06-22 18:39 166510 ----a-w- c:\arquivos de programas\mozilla firefox\components\xpinstal.dll

.

(((((((((((((((((((((((((( Pontos de Carregamento do Registro )))))))))))))))))))))))))))))))))))))))

.

*Nota* entradas vazias e legítimas por defeito não são mostradas.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-04 15360]

"sbfc"="c:\windows\System32\sbfc.exe" [2008-08-22 428544]

"abfc"="c:\arquivos de programas\blok free 3\blkfc.exe" [2008-08-22 1101312]

"swg"="c:\arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-04-01 39408]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Blok Free 3"="c:\arquivos de programas\Blok Free 3\blkfc.exe" [2008-08-22 1101312]

"sbfc"="c:\windows\system32\sbfc.exe" [2008-08-22 428544]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]

c:\documents and settings\USUARIOS\Menu Iniciar\Programas\Inicializar\

is-0FQKE.lnk - c:\documents and settings\USUARIOS\Desktop\Virus Removal Tool\is-0FQKE\startup.exe [2009-6-23 65536]

c:\documents and settings\All Users\Menu Iniciar\Programas\Inicializar\

Acrobat Assistant.lnk - c:\arquivos de programas\Adobe\Acrobat 5.0\Distillr\AcroTray.exe [2009-1-31 49254]

Microsoft Office.lnk - c:\arquivos de programas\Microsoft Office\Office\OSA9.EXE [2003-9-24 69632]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Arquivos de programas\\Messenger\\msmsgs.exe"=

R2 ResDVMD;Recurso DVMD;c:\windows\system32\dvmd.exe [22/8/2008 10:46 479744]

.

------- Scan Suplementar -------

.

uStart Page = hxxp://mystart.magentic.com./

uSearch Page = hxxp://www.google.com

uSearch Bar = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

FF - ProfilePath -

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-06-23 09:52

Windows 5.1.2600 Service Pack 2 NTFS

Procurando processos ocultos ...

Procurando entradas auto inicializáveis ocultas ...

Procurando ficheiros/arquivos ocultos ...

Varredura completada com sucesso

arquivos/ficheiros ocultos: 0

**************************************************************************

.

Tempo para conclusão: 2009-06-23 9:53

ComboFix-quarantined-files.txt 2009-06-23 12:53

Pré-execução: 10 pasta(s) 58.540.945.408 bytes disponíveis

Pós execução: 10 pasta(s) 58.578.489.344 bytes disponíveis

WindowsXP-KB310994-SP2-Pro-BootDisk-PTG.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

117 --- E O F --- 2009-06-11 21:20

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 09:56:34, on 23/6/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Arquivos de programas\Blok Free 3\blkfc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\sbfc.exe

C:\Arquivos de programas\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

C:\Arquivos de programas\Adobe\Acrobat 5.0\Distillr\AcroTray.exe

c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe

C:\WINDOWS\system32\dvmd.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\explorer.exe

C:\Documents and Settings\USUARIOS\Desktop\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mystart.magentic.com./

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896