[Resolvido!] Problema no Desktop - Possível Vírus !

EriCk__ · Julho 16, 2009

A uns tempos andei fazendo uns downloads aqui no pc, e mesmo sendo muito cuidadoso com vírus, e escaneando todos os arquivos antes de abrir com o Avira, fiz uma "cagada" e cliquei no lugar errado, que me direcionou a um site de downloads da net, então eu o fechei e beleza...

Mas logo depois percebi que em cima no desktop, havia tipo um começo de texto, como se fosse um bug, ou algum programa que eu fechei e deixou uma sombra:

http://img102.imageshack.us/img102/2130/buga.jpg

Então eu fiz uma restauração do sistema, e reiniciei o computador, e vi que esse "texto" na parte superior do desktop sumiu. Pórem depois de uns dias ele voltou, e fica assim, some, outra hora aparece... etc...

Observação: Sempre que tento gravar um CD com o assistente do Windows, aparece que eu tenho 1 arquivo para gravar em disco chamado "desktop.ini" em texto, e dentro dele o seguinte conteúdo: "[.ShellClassInfo]

LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21815" desse jeitinho.

Gostaria de saber se meu pc pode ter sido contaminado, ou não...

Obs: USO O WINDOWS SEVEN RC1

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:37:45, on 16/07/2009

Platform: Unknown Windows (WinNT 6.01.3004)

MSIE: Internet Explorer v8.00 (8.00.7100.0000)

Boot mode: Normal

Running processes:

C:\Windows\system32\taskhost.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Steam\Steam.exe

C:\Program Files\Raxco\PerfectDisk10\PDAgentS1.exe

C:\Users\HoMe\Desktop\HiJackThis.exe

C:\Windows\system32\SearchFilterHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [RivaTunerStartupDaemon] "C:\Program Files\RivaTuner v2.24\RivaTunerWrapper.exe" /S

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe

O4 - HKCU\..\Run: [steam] "c:\program files\steam\steam.exe" -silent

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIÇO LOCAL')

O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIÇO LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'Serviço de rede')

O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'Serviço de rede')

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL

O13 - Gopher Prefix:

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: Avira Firewall (AntiVirFirewallService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avfwsvc.exe

O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE

O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: PDAgent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk10\PDAgent.exe

O23 - Service: PDEngine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk10\PDEngine.exe

O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - c:\Program Files\Common Files\Protexis\License Service\PsiService_2.exe

O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe

O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Windows\System32\nvSCPAPISvr.exe

--

End of file - 4424 bytes

Vlw

Abraço

jgarcia · Julho 20, 2009

Opa EriCk__,

Baixe o ComboFix em:

ComboFix

1) Desabilite o seu anti-vírus temporariamente;

2) Dê um duplo-clique no combofix.exe e aguarde (o processo total demora cerca de 10 minutos);

3) A janela de NEGAÇÃO DE GARANTIA DO SOFTWARE abrir-se-á. Leia atentamente o texto contido nesta janela e clique sobre SIM para continuar.

PS.: Caso não concorde com os termos clique sobre NÃO para sair do software, cabendo lembrar que o processo de desinfecção não será possível sem a continuidade do ComboFix.

4) Outra janela irá abrir, caso a sua máquina não possua o CONSOLE DE RECUPERAÇÃO DO WINDOWS. É recomendável executar a instalação do console ante de dar continuidade ao processo, pois tal ação proporcionará a garantia de que o sistema poderá ser recuperado em caso de problemas durante a varredura.

Clique sobre SIM e aguarde, pois o processo de instalação do console dar-se-á automaticamente através do próprio ComboFix. Ele poderá demorar alguns minutos (dependerá da velocidade de sua conexão), portanto seja paciente.

Quando a janela INSTALANDO O CONSOLE DE RECUPERAÇÃO aparecer clique em OK, depois clique sobre SIM para aceitar a licença EULA.

Ao término da instalação do console de recuperação abrir-se-á uma janela avisando que O CONSOLE DE RECUPERAÇÃO FOI INSTALADA COM SUCESSO.

Clique sobre SIM para continuar a varredura.

5) O ComboFix iniciará o AUTOSCAN (aguarde).

ATENÇÃO: Não clique na janela do ComboFix, nem termine o processo abruptamente enquanto a ferramenta estiver sendo executada, pois isto implicará na desconfiguração de seu desktop (ele ficará todo branco).

Ao término do processo a máquina será reiniciada para a emissão do relatório.

6) Ao reiniciar a máquina o ComboFix irá executar o FIND3M para a criação do relatório final da varredura. O log ficará alocado em C:\ComboFix.txt.

7) Reabilite o seu anti-vírus;

8) Preciso que você cole o conteúdo do ComboFix.txt em sua próxima resposta.

OBS.1: Caso apareça uma mensagem avisando que ESTE NÃO É UM APLICATIVO WIN 32 VÁLIDO baixe o ComboFix novamente, mas salve-o em seu Desktop como KomboFix. Em último caso, tente utilizar o ComboFix em MODO SEGURO.

OBS.2: Caso haja um clique sobre a janela do ComboFix em execução, ela irá MAXIMIZAR, sobrepondo-se sobre as demais. Para minimizá-la novamente basta utilizar a combinação ALT + TAB.

Abraços.

EriCk__ · Julho 21, 2009

Amigo... eu utilizo o Windows Seven RC1 e quando tentei instalar o ComboFix diz ser incompatível e não instala.

O que posso fazer?

Obrigado

jgarcia · Julho 21, 2009

Opa EriCk__,

O Malwarebytes AntiMalware é um produto relativamente novo, porém com grande eficácia na remoção de infecções comuns. O programa é pequeno, gratuito e em português.

A sua instalação é o primeiro passo para a limpeza de um sistema operacional infectado.

Neste tutorial você aprenderá a instalá-lo e executá-lo.

1) Primeiramente faça o download do programa:

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

2) Agora proceda a instalação do programa, conforme segue:

Execute o programa de instalação:

Logo após a execução do arquivo de instalação, será exibida a seguinte tela:

Agora, clique em Instalar para concluir:

Ao término da instalação deixe marcadas as opções de Atualização e Execução:

Será exibida então a tela de atualização do programa:

3) Essa é a tela inicial do programa. Marque a opção Verificação Completa e clique no botão Verificar.

Aguarde até o final da verificação:

Ao concluir a verificação, será exibida essa mensagem:

O resultado da verificação será exibido, com o nome dos arquivos e malwares encontrados.

Para efetivar a limpeza, clique em Remover selecionados:

Para concluir a limpeza haverá a necessidade da reinicialização do computador:

O programa guarda os logs das verificações feitas na pasta C:\Documents and Settings\Seu nome de Usuario\Dados de aplicativos\Malwarebytes\Malwarebytes' Anti-Malware\Logs, que também pode ser acessados na aba Logs, dentro do programa.

Retorne com o resultado da varredura.

Créditos: Fabio Assolini.

Link para a postagem original: aqui.

EriCk__ · Julho 21, 2009

Opaa...

Tenho ele instalado aqui e passo ele regularmente, vou passar daqui a pouco e edito minha mensagem com o log.

Flws

EriCk__ · Julho 22, 2009

Não consegui editar, então faço outro post:

Malwarebytes' Anti-Malware 1.37

Versão do banco de dados: 2266

Windows 6.1.7100

21/07/2009 23:40:39

mbam-log-2009-07-21 (23-40-39).txt

Tipo de Verificação: Completa (C:\|)

Objetos verificados: 203609

Tempo decorrido: 57 minute(s), 15 second(s)

Processos da Memória infectados: 0

Módulos de Memória Infectados: 0

Chaves do Registro infectadas: 0

Valores do Registro infectados: 0

Ítens do Registro infectados: 0

Pastas infectadas: 0

Arquivos infectados: 0

Processos da Memória infectados: