[Arquivado] Análise de Log

Camila_PR · Outubro 15, 2009

Olá DigRam...

Estou intermediando uma análise de log para uma amiga... já que na última vez que precisei da ajuda de vocês, todos os problemas foram resolvidos e lógico... fiz propaganda né?! Porém como ela não entende muito, estou intermediando o processo.

Problemas relatados:

- o PC está muito lento e trava

- o PC tem apitado sozinho, sem passar o antivirus

- o teclado(frequentemente) tem vida própria, trava em uma letra e repete a mesma sem cessar

- toda vez que acessa o orkut e tenta abrir fotos, ele trava (e da aquela mensagem pra enviar o relatório)

- ao entrar em alguns sites (por exemplo: orkut) ela é direcionada para outros sites

- a tela mexe sozinha (frequentemente) - causando até problemas na hora de clicar em determinado item

Observações:

- o problema da vida própria do teclado vai e volta

- relatórios do MBam (postado abaixo) acusaram alguns vírus, que são eliminados e depois voltam para a máquina

- antes de enviar os relatórios foi feita uma limpeza de disco no C e D, além da desfragmentação e verificação de erros, foi utilizado o programa CCleaner para limpeza e correção de registros.

Segue o Log e em seguida o relatório do MBam

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15:10:25, on 15/10/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\HP\HP Software Update\HPWuSchd2.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe

C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe

C:\Arquivos de programas\Messenger\msmsgs.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

C:\Arquivos de programas\Ares\Ares.exe

C:\Arquivos de programas\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

C:\WINDOWS\system32\svchost.exe

C:\Arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe

C:\Arquivos de programas\Canon\CAL\CALMAIN.exe

C:\Arquivos de programas\HP\Digital Imaging\bin\hpqSTE08.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Arquivos de programas\Windows Live\Contacts\wlcomm.exe

C:\Arquivos de programas\Internet Explorer\IEXPLORE.EXE

C:\Arquivos de programas\Windows Live\Toolbar\wltuser.exe

C:\Documents and Settings\Grazi & Donato\Desktop\Nova pasta\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: Facilitador de Leitor de Link Adobe PDF - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Arquivos de programas\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe

O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidTool.exe boot

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [HP Software Update] C:\Arquivos de programas\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [avgnt] "C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Arquivos de programas\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript

O4 - HKCU\..\Run: [MsnMsgr] "C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [MSMSGS] "C:\Arquivos de programas\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [ares] "C:\Arquivos de programas\Ares\Ares.exe" -h

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Arquivos de programas\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Arquivos de programas\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Pesquisar - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ares Chatroom server (AresChatServer) - Ares Development Group - C:\Arquivos de programas\Ares\chatServer.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Arquivos de programas\Bonjour\mDNSResponder.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Arquivos de programas\Canon\CAL\CALMAIN.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Arquivos de programas\Arquivos comuns\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Nero BackItUp Scheduler 4.0 - Unknown owner - C:\Arquivos de programas\Arquivos comuns\Nero\Nero BackItUp 4\NBService.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--

End of file - 6876 bytes

Malwarebytes' Anti-Malware 1.41

Versão do banco de dados: 2967

Windows 5.1.2600 Service Pack 2

15/10/2009 10:10:27

mbam-log-2009-10-15 (10-10-27).txt

Tipo de Verificação: Rápida

Objetos verificados: 96702

Tempo decorrido: 3 minute(s), 8 second(s)

Processos da Memória infectados: 1

Módulos de Memória Infectados: 0

Chaves do Registro infectadas: 0

Valores do Registro infectados: 1

Ítens do Regist

Ítens do Registro infectados: 1

Pastas infectadas: 0

Arquivos infectados: 1

Processos da Memória infectados:

C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> Unloaded process successfully.

Módulos de Memória Infectados:

(Nenhum ítem malicioso foi detectado)

Chaves do Registro infectadas:

(Nenhum ítem malicioso foi detectado)

Valores do Registro infectados:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\

Valores do Registro infectados:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\csrcs (Trojan.Agent) -> Quarantined and deleted successfully.

Ítens do Registro infectados:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (Explorer.exe csrcs.exe) Good: (Explorer.exe) -> Quarantined and deleted successfully.

Pa

Pastas infectadas:

(Nenhum ítem malicioso foi detectado)

Arquivos infectados:

C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> Quarantined and deleted successfully.

DigRam · Outubro 15, 2009

Boa Tarde! Camila_PR

<@> Baixe: < > ( ...by sUBs )

<!> Link-2 --> < ForoSpyware >

<!> Link-3 --> < GeeksToGo >

<@> Salve-o no desktop!

<@> Desabilite as proteções residente de: antivírus,antispywares e firewall. ( Menos o do Windows! )

<@> Feche todas as janelas e execute a ferramenta!

<@> Ps: A execução,por comando,também é possível:

<@> Vá em Iniciar --> Executar --> Digite ou cole: "%userprofile%\desktop\Combofix.exe" /killall

<@> Clique em Ok.

<@> Na solicitação: "Negação de garantia de software" --> Clique em Sim!

<@> Não possuindo o "Console de Recuperação",aceite optar pela instalação do mesmo!

<@> Terminando,clique Sim ou Yes. --> Aguarde!

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

<!> Caso aconteça a notificação de: Aplicativo Win32 inválido,delete a ferramenta ComboFix.exe e faça,novamente,seu download.

<!> Salve-a no desktop,renomeada como: Kombo.exe

<!> Ps: Nomeie durante o salvamento,e não após salvá-la!

<!> Ps: Surgindo alguma mensagem de erro,rode o ComboFix.exe em "Modo de Segurança". <-- Link!

<!> Ps: Na presença de atividades rootkit,teremos a seguinte janela de notificação:

<!> Ps: Anote essas detecções,e dê o OK.

<!> Ps: Para completar as remoções,talvez haja necessidade da ferramenta reiniciar o computador. <-- Aguarde!

<!> Ps: Evite executar,voluntariamente,esta ferramenta!

<!> Ps: Para evitar problemas,siga todas as recomendações propostas.

<!> Ps: ComboFix é uma ferramenta que pode danificar o sistema. Utilize-o,somente,sob supervisão profissional.

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

<@> Abrir-se-á a janela Auto Scan. --> Aguarde!

<@> Para finalizar remoções,o ComboFix poderá reiniciar o computador.

<@> Se houver necessidade,digite a opção ( 1 ) --> Aperte Enter! --> Aguarde a conclusão!

<@> Durante o scan,evite manusear o mouse ou teclado! <-- Importante!

<@> Para parar ou sair do ComboFix,tecle "N" ou "2" --> Aperte Enter!

<><><><><><><><><><><><>

<@> Terminando,poste os relatórios: C:\ComboFix.txt + HijackThis,atualizado.

Abraços!

Camila_PR · Outubro 15, 2009

ComboFix 09-10-15.01 - Grazi & Donato 15/10/2009 16:25.1.2 - NTFSx86

Microsoft Windows XP Professional 5.1.2600.2.1252.55.1046.18.2046.1647 [GMT -3:00]

Executando de: c:\documents and settings\Grazi & Donato\Desktop\ComboFix.exe

AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

ATENÇAO - ESTA MAQUINA NAO TEM O CONSOLE DE RECUPERAÇÃO INSTALADA !!

.

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\Installer\8e2f42.msi

.

(((((((((((((((( Arquivos/Ficheiros criados de 2009-09-15 to 2009-10-15 ))))))))))))))))))))))))))))

.

2009-10-15 12:41 . 2009-10-15 12:41 -------- d-----w- c:\arquivos de programas\CCleaner

2009-10-13 13:11 . 2009-10-13 13:11 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Malwarebytes

2009-10-13 13:11 . 2009-09-10 17:54 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-10-13 13:11 . 2009-10-13 13:11 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Malwarebytes

2009-10-13 13:11 . 2009-10-13 13:11 -------- d-----w- c:\arquivos de programas\Malwarebytes' Anti-Malware

2009-10-13 13:11 . 2009-09-10 17:53 19160 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-09-17 23:33 . 2009-09-17 23:41 -------- d-----w- c:\arquivos de programas\Webshots

2009-09-17 23:24 . 2009-09-17 23:27 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Nero

2009-09-17 23:23 . 2009-09-17 23:29 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Nero

2009-09-17 23:23 . 2009-09-17 23:29 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Nero

2009-09-17 22:47 . 2009-09-17 22:47 -------- d-----w- c:\arquivos de programas\Ares

2009-09-16 03:16 . 2009-10-15 15:40 -------- d-----w- c:\documents and settings\Grazi & Donato\Tracing

2009-09-16 03:00 . 2009-08-06 01:48 54752 ----a-w- c:\windows\system32\drivers\fssfltr_tdi.sys

2009-09-16 03:00 . 2009-09-16 03:00 -------- d-----w- c:\arquivos de programas\Microsoft Sync Framework

2009-09-16 02:59 . 2006-11-29 16:06 3426072 ----a-w- c:\windows\system32\d3dx9_32.dll

2009-09-16 02:59 . 2009-09-16 02:59 -------- d-----w- c:\arquivos de programas\Microsoft SQL Server Compact Edition

2009-09-16 02:57 . 2009-09-16 03:00 -------- d-----w- c:\arquivos de programas\Microsoft

2009-09-16 02:57 . 2009-09-16 02:57 -------- d-----w- c:\arquivos de programas\Windows Live SkyDrive

2009-09-16 02:57 . 2009-09-16 03:00 -------- d-----w- c:\arquivos de programas\Windows Live

2009-09-16 02:49 . 2009-09-16 02:49 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Windows Live

.

((((((((((((((((((((((((((((((((((((( Relatório Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-10-15 01:58 . 2001-10-28 13:07 80546 ----a-w- c:\windows\system32\perfc016.dat

2009-10-15 01:58 . 2001-10-28 13:07 471708 ----a-w- c:\windows\system32\perfh016.dat

2009-09-22 15:14 . 2009-08-21 17:35 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Image Zone Express

2009-09-17 23:41 . 2009-09-01 01:06 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Webshots

2009-09-17 21:52 . 2009-09-05 01:46 -------- d-----w- c:\arquivos de programas\Windows Media Connect 2

2009-09-11 14:35 . 2004-08-04 03:45 133632 ----a-w- c:\windows\system32\msv1_0.dll

2009-09-10 12:21 . 2009-09-01 00:10 -------- d-----w- c:\arquivos de programas\Microsoft Silverlight

2009-09-04 20:46 . 2004-08-04 03:45 58880 ----a-w- c:\windows\system32\msasn1.dll

2009-09-01 01:30 . 2009-09-01 01:30 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\AGI

2009-09-01 01:06 . 2009-09-01 01:05 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Temp

2009-09-01 01:05 . 2009-09-01 01:05 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\AGI

2009-09-01 00:35 . 2009-09-01 00:34 -------- d-----w- c:\arquivos de programas\Kazaa Lite

2009-09-01 00:32 . 2009-09-01 00:32 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Ahead

2009-09-01 00:32 . 2009-09-01 00:32 -------- d-----w- c:\arquivos de programas\Ahead

2009-08-29 07:57 . 2004-08-04 03:45 916480 ----a-w- c:\windows\system32\wininet.dll

2009-08-26 08:15 . 2004-08-04 03:45 247326 ----a-w- c:\windows\system32\strmdll.dll

2009-08-25 14:22 . 2009-08-25 14:22 -------- d-----w- c:\arquivos de programas\MSBuild

2009-08-25 14:22 . 2009-08-25 14:22 -------- d-----w- c:\arquivos de programas\Reference Assemblies

2009-08-25 14:19 . 2009-08-25 14:19 -------- d-----w- c:\arquivos de programas\MSXML 6.0

2009-08-25 14:15 . 2009-08-25 14:15 -------- d-----w- c:\arquivos de programas\MSXML 4.0

2009-08-22 03:44 . 2009-08-22 03:44 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Pixmantec

2009-08-22 03:43 . 2009-08-22 03:43 -------- d-----w- c:\arquivos de programas\Pixmantec

2009-08-22 03:41 . 2009-08-21 21:38 848 --sha-w- c:\windows\system32\KGyGaAvL.sys

2009-08-21 18:34 . 2009-08-21 17:10 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\HP

2009-08-21 01:23 . 2009-08-21 01:23 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Avira

2009-08-21 01:23 . 2009-08-21 01:23 -------- d-----w- c:\arquivos de programas\Avira

2009-08-21 01:01 . 2009-08-21 00:56 119558 ----a-w- c:\windows\hpoins11.dat

2009-08-21 01:01 . 2009-08-21 01:01 -------- d-----w- c:\documents and settings\LocalService\Dados de aplicativos\HP

2009-08-21 01:01 . 2009-08-21 01:01 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\HP

2009-08-21 01:00 . 2009-08-21 01:00 -------- d-----w- c:\arquivos de programas\Arquivos comuns\HP

2009-08-21 01:00 . 2009-08-21 00:58 -------- d-----w- c:\arquivos de programas\HP

2009-08-21 00:59 . 2009-08-21 00:59 -------- d-----w- c:\arquivos de programas\Hewlett-Packard

2009-08-21 00:59 . 2009-08-21 00:59 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Hewlett-Packard

2009-08-21 00:39 . 2009-08-21 00:39 -------- d-----w- c:\documents and settings\Grazi & Donato\Dados de aplicativos\Canon

2009-08-20 22:19 . 2009-08-20 03:27 -------- d-----w- c:\arquivos de programas\Finale 2008

2009-08-20 04:00 . 2009-08-20 04:00 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\NVIDIA

2009-08-20 03:50 . 2009-08-20 03:50 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Windows Live Toolbar

2009-08-20 03:38 . 2009-08-20 03:38 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\FLEXnet

2009-08-20 03:33 . 2009-08-20 02:41 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Adobe

2009-08-20 02:55 . 2009-08-20 02:55 -------- d-----w- c:\arquivos de programas\Bonjour

2009-08-20 02:50 . 2009-08-20 02:50 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Macrovision Shared

2009-08-20 02:39 . 2009-08-19 23:54 -------- d--h--w- c:\arquivos de programas\InstallShield Installation Information

2009-08-20 02:39 . 2009-08-20 02:37 -------- d-----w- c:\arquivos de programas\Canon

2009-08-20 02:38 . 2009-08-20 02:38 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\ZoomBrowser

2009-08-20 02:29 . 2009-08-20 02:29 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Canon

2009-08-20 00:29 . 2009-08-20 00:29 -------- d-----w- c:\arquivos de programas\Realtek

2009-08-20 00:25 . 2009-08-19 23:53 -------- d-----w- c:\arquivos de programas\Arquivos comuns\InstallShield

2009-08-19 23:53 . 2009-08-19 23:53 -------- d-----w- c:\arquivos de programas\VIA

2009-08-19 23:43 . 2009-08-19 23:43 -------- d-----w- c:\arquivos de programas\microsoft frontpage

2009-08-19 23:41 . 2009-08-19 23:41 -------- d-----w- c:\arquivos de programas\Serviços on-line

2009-08-19 23:41 . 2009-08-19 23:41 -------- d-----w- c:\arquivos de programas\Arquivos comuns\Serviços

2009-08-19 23:40 . 2009-08-19 23:40 21844 ----a-w- c:\windows\system32\emptyregdb.dat

2009-08-05 09:06 . 2004-08-04 03:45 205312 ----a-w- c:\windows\system32\mswebdvd.dll

2009-08-04 22:52 . 2009-08-04 22:52 1193832 ----a-w- c:\windows\system32\FM20.DLL

2009-08-04 17:05 . 2004-08-04 03:40 2140160 ----a-w- c:\windows\system32\ntoskrnl.exe

2009-08-04 17:05 . 2004-08-04 00:40 2019840 ----a-w- c:\windows\system32\ntkrnlpa.exe

2009-08-03 18:07 . 2009-08-03 18:07 403816 ----a-w- c:\windows\system32\OGACheckControl.dll

2009-08-03 18:07 . 2009-08-03 18:07 322928 ----a-w- c:\windows\system32\OGAAddin.dll

2009-08-03 18:07 . 2009-08-03 18:07 230768 ----a-w- c:\windows\system32\OGAEXEC.exe

2009-07-29 04:53 . 2004-08-04 03:45 119808 ----a-w- c:\windows\system32\t2embed.dll

2009-07-29 04:53 . 2001-10-28 13:06 82432 ----a-w- c:\windows\system32\fontsub.dll

2009-07-28 19:33 . 2009-08-21 01:23 55656 ----a-w- c:\windows\system32\drivers\avgntflt.sys

2009-07-26 19:44 . 2009-07-26 19:44 48448 ----a-w- c:\windows\system32\sirenacm.dll

.

(((((((((((((((((((((((((( Pontos de Carregamento do Registro )))))))))))))))))))))))))))))))))))))))

.

*Nota* entradas vazias e legítimas por defeito não são mostradas.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MsnMsgr"="c:\arquivos de programas\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883840]

"MSMSGS"="c:\arquivos de programas\Messenger\msmsgs.exe" [2004-08-04 1667584]

"ares"="c:\arquivos de programas\Ares\Ares.exe" [2007-11-23 962560]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"JMB36X Configure"="c:\windows\system32\JMRaidTool.exe" [2006-08-14 352256]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-03-13 7630848]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-03-13 86016]

"HP Software Update"="c:\arquivos de programas\HP\HP Software Update\HPWuSchd2.exe" [2006-02-19 49152]

"avgnt"="c:\arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"Malwarebytes Anti-Malware (reboot)"="c:\arquivos de programas\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080]

"High Definition Audio Property Page Shortcut"="HDAShCut.exe" - c:\windows\system32\HdAShCut.exe [2004-10-27 61952]

"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-03-13 1519616]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]

c:\documents and settings\All Users\Menu Iniciar\Programas\Inicializar\

Adobe Reader Speed Launch.lnk - c:\arquivos de programas\Adobe\Reader 8.0\Reader\reader_sl.exe [2006-10-23 40048]

Adobe Reader Synchronizer.lnk - c:\arquivos de programas\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe [2006-10-23 734872]

HP Digital Imaging Monitor.lnk - c:\arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe [2006-2-19 288472]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Arquivos de programas\\Bonjour\\mDNSResponder.exe"=

"c:\\WINDOWS\\system32\\dpvsetup.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpqste08.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hposfx08.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hposid01.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpoews01.exe"=

"c:\\Arquivos de programas\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=

"c:\\Arquivos de programas\\Messenger\\msmsgs.exe"=

"c:\\Arquivos de programas\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Arquivos de programas\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Arquivos de programas\\Windows Live\\Sync\\WindowsLiveSync.exe"=

"c:\\Arquivos de programas\\Ares\\Ares.exe"=

R0 xfilt;VIA SATA IDE Hot-plug Driver;c:\windows\system32\drivers\xfilt.sys [19/8/2009 20:54 11264]

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\arquivos de programas\Avira\AntiVir Desktop\sched.exe [20/8/2009 22:23 108289]

R2 fssfltr;FssFltr;c:\windows\system32\drivers\fssfltr_tdi.sys [16/9/2009 00:00 54752]

S3 fsssvc;Serviço Windows Live Proteção para a Família;c:\arquivos de programas\Windows Live\Family Safety\fsssvc.exe [5/8/2009 22:48 704864]

S3 PciCon;PciCon;\??\e:\pcicon.sys --> e:\PciCon.sys [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]

"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP

.

Conteúdo da pasta 'Tarefas Agendadas'

2009-10-15 c:\windows\Tasks\OGALogon.job

- c:\windows\system32\OGAEXEC.exe [2009-08-03 18:07]

2009-10-15 c:\windows\Tasks\WGASetup.job

- c:\windows\system32\KB905474\wgasetup.exe [2009-08-25 01:18]

.

------- Scan Suplementar -------

.

uInternet Settings,ProxyOverride = *.local

IE: E&xportar para o Microsoft Excel - c:\arquiv~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-10-15 16:28

Windows 5.1.2600 Service Pack 2 NTFS

Procurando processos ocultos ...

Procurando entradas auto inicializáveis ocultas ...

Procurando ficheiros/arquivos ocultos ...

Varredura completada com sucesso

arquivos/ficheiros ocultos: 0

**************************************************************************

.

--------------------- CHAVES DO REGISTRO BLOQUEADAS ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\ð•€|ÿÿÿÿ.•€|þ»Òw*]

"6140110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

.

Tempo para conclusão: 2009-10-15 16:29

ComboFix-quarantined-files.txt 2009-10-15 19:29

Pré-execução: 8 pasta(s) 40.646.365.184 bytes disponíveis

Pós execução: 9 pasta(s) 41.666.035.712 bytes disponíveis

184 --- E O F --- 2009-10-15 01:58

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:31:22, on 15/10/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

C:\Arquivos de programas\HP\HP Software Update\HPWuSchd2.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

C:\Arquivos de programas\Ares\Ares.exe

C:\Arquivos de programas\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

C:\WINDOWS\system32\svchost.exe

C:\Arquivos de programas\HP\Digital Imaging\bin\hpqtra08.exe

C:\Arquivos de programas\Canon\CAL\CALMAIN.exe

C:\Arquivos de programas\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Arquivos de programas\Windows Live\Toolbar\wltuser.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\explorer.exe