[Resolvido!] Trojans !

EDSSX · Dezembro 8, 2009

Boa Tarde !

Em meu pc constam quatro trojans wimpixo, cfe. print infra da ferramenta exterminate-it ( a versão desta, que executei seria para detectar o Turkojan ) :

http://translate.google.com.br/translate?hl=pt-BR&sl=en&u=http://www.exterminate-it.com/malpedia/remove-turkojan&ei=EX4eS7yfCsHTlAf3grmHDA&sa=X&oi=translate&ct=result&resnum=1&ved=0CAkQ7gEwAA&prev=/search%3Fq%3Dremover%2Btukorjan%26hl%3Dpt-BR%26client%3Dfirefox-a%26channel%3Ds%26rls%3Dorg.mozilla:pt-BR:official%26hs%3DyN3%26sa%3DG

http://www.exterminate-it.com/malpedia/remove-turkojan

Segue o log do hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:25:51, on 08/12/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

D:\Arquivos de programas\AlienGUIse\wbload.exe

D:\WINDOWS\Explorer.EXE

D:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

D:\WINDOWS\System32\svchost.exe

D:\Arquivos de programas\Java\jre6\bin\jqs.exe

D:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

D:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

D:\Arquivos de programas\Java\jre6\bin\jusched.exe

D:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe

D:\Arquivos de programas\Gadwin Systems\PrintScreen\PrintScreen.exe

D:\Documents and Settings\edsom luis\Configurações locais\Dados de aplicativos\Google\Update\GoogleUpdate.exe

D:\Arquivos de programas\BrOffice.org 3\program\soffice.exe

D:\Arquivos de programas\BrOffice.org 3\program\soffice.bin

D:\WINDOWS\system32\wbem\wmiapsrv.exe

D:\Arquivos de programas\Mozilla Firefox 3.5 Preview\firefox.exe

D:\WINDOWS\system32\wuauclt.exe

D:\WINDOWS\REGEDIT.exe

D:\Arquivos de programas\ESET\ESET NOD32 Antivirus\ekrn.exe

D:\Arquivos de programas\ESET\ESET NOD32 Antivirus\egui.exe

D:\Documents and Settings\edsom luis\Meus documentos\Downloads\HiJackThis(2).exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - D:\Arquivos de programas\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - D:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - D:\Arquivos de programas\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - D:\Arquivos de programas\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: Auxiliar de Conexão do Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Arquivos de programas\Arquivos comuns\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Arquivos de programas\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Arquivos de programas\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - D:\Arquivos de programas\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] "D:\Arquivos de programas\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "D:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Arquivos de programas\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Adobe ARM] "D:\Arquivos de programas\Arquivos comuns\Adobe\ARM\1.0\AdobeARM.exe"

O4 - HKLM\..\Run: [egui] "D:\Arquivos de programas\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice

O4 - HKCU\..\Run: [Gadwin PrintScreen] D:\Arquivos de programas\Gadwin Systems\PrintScreen\PrintScreen.exe /nosplash

O4 - HKCU\..\Run: [Google Update] "D:\Documents and Settings\edsom luis\Configurações locais\Dados de aplicativos\Google\Update\GoogleUpdate.exe" /c

O4 - Startup: BrOffice.org 3.1.lnk = D:\Arquivos de programas\BrOffice.org 3\program\quickstart.exe

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://D:\ARQUIV~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\ARQUIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: &Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\ARQUIV~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\ARQUIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - D:\Arquivos de programas\Microsoft Office\Office12\GrooveSystemServices.dll

O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - D:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

O23 - Service: ESET HTTP Server (EhttpSrv) - ESET - D:\Arquivos de programas\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: ESET Service (ekrn) - ESET - D:\Arquivos de programas\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: Gerenciador do Google Desktop 5.9.906.4286 (GoogleDesktopManager-060409-093314) - GAS Tecnologia - (no file)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Arquivos de programas\Arquivos comuns\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Arquivos de programas\Java\jre6\bin\jqs.exe

--

End of file - 6123 bytes

Grato e abraços

DigRam · Dezembro 8, 2009

Boa Tarde! EDSSX

<!> A remoção pelo Exterminate-It,seria providencial,masss$$$$...doi no bolso. rsrs..

<!> Pelo caminho,ao registro,dado pelo relatório do programa,voçê poderia deletar essas entradas. Faça-o estando em Modo de Segurança.

Abraços!

EDSSX · Dezembro 8, 2009

Boa Tarde ! DigRam

Sim, mas como vossa pessoa pode ver, no print tem até uma janela(aba) na barra inferior do regedit; entretanto no print não deu para apareçer as 4 chaves inteiras ( até valores/dados ); pois vai até somente a palavra services ( serv... ). Portanto não sei de quais chaves se tratam . Que azar .

Obrigado e abraços

DigRam · Dezembro 8, 2009

Boa Tarde ! DigRam

Sim, mas como vossa pessoa pode ver, no print tem até uma janela(aba) na barra inferior do regedit; entretanto no print não deu para apareçer as 4 chaves inteiras ( até valores/dados ); pois vai até somente a palavra services ( serv... ). Portanto não sei de quais chaves se tratam . Que azar .

Obrigado e abraços

Olá!

<!> Pode ser uma estratégia do software,essas detecções,para forçar sua aquisição.

<!> Ps: O que dizem seus escaneamentos online? ( Panda,Kaspersky,Eset,etc... )

Abraços!

EDSSX · Dezembro 8, 2009

Boa Tarde ! DigRam

Com Nod 32 4 e Dr web Cureit, fecharam - se os(as) soft´s/janelas ; cfe. print infra :

Já com o Kaspersky Removal Tool, não detectou nada cfe. log infra :

Marcando apenas opção Disk boot sectors :

Scan

----

Scanned: 3

Detected: 0

Untreated: 0

Start time: 07/12/2009 11:07:11

Duration: 00:01:09

Finish time: 07/12/2009 11:08:20

Detected

--------

Status Object

------ ------

Events

------

Time Name Status Reason

---- ---- ------ ------

07/12/2009 11:07:11 Logical disk sector: C ok scanned

07/12/2009 11:08:20 Logical disk sector: D ok scanned

Marcando apenas a opção computador :

Scan

----

Scanned: 294550

Detected: 0

Untreated: 0

Start time: 07/12/2009 11:20:39

Duration: 06:42:07

Finish time: 07/12/2009 18:02:46

Detected

--------

Status Object

------ ------

Marcando apenas a opção memória :

Scan

----

Scanned: 3945

Detected: 0

Untreated: 0

Start time: 07/12/2009 18:10:34

Duration: 00:11:49

Finish time: 07/12/2009 18:22:23

Detected

--------

Status Object

------ ------

Events

------

Time Name Status Reason

---- ---- ------ ------

07/12/2009 18:10:34 Running module: smss.exe\smss.exe ok scanned

07/12/2009 18:10:40 File: D:\WINDOWS\System32\smss.exe ok scanned

07/12/2009 18:10:50 Running module: smss.exe\ntdll.dll ok scanned

07/12/2009 18:10:55 File: D:\WINDOWS\system32\ntdll.dll ok scanned

07/12/2009 18:10:59 Running module: csrss.exe\csrss.exe ok scanned

07/12/2009 18:15:05 File: D:\WINDOWS\system32\csrss.exe ok scanned

07/12/2009 18:15:22 Running module: csrss.exe\ntdll.dll ok scanned

07/12/2009 18:15:30 File: D:\WINDOWS\system32\ntdll.dll ok scanned

07/12/2009 18:15:43 Running module: csrss.exe\CSRSRV.dll ok scanned

07/12/2009 18:15:48 File: D:\WINDOWS\system32\CSRSRV.dll ok scanned

07/12/2009 18:15:58 Running module: csrss.exe\basesrv.dll ok scanned

07/12/2009 18:20:44 File: D:\WINDOWS\system32\basesrv.dll ok scanned

07/12/2009 18:20:45 Running module: csrss.exe\winsrv.dll ok scanned

07/12/2009 18:20:50 File: D:\WINDOWS\system32\winsrv.dll ok scanned

07/12/2009 18:20:57 Running module: csrss.exe\GDI32.dll ok scanned

07/12/2009 18:21:12 File: D:\WINDOWS\system32\GDI32.dll ok scanned

07/12/2009 18:21:20 Running module: csrss.exe\KERNEL32.dll ok scanned

07/12/2009 18:21:42 File: D:\WINDOWS\system32\KERNEL32.dll ok scanned

07/12/2009 18:21:45 Running module: csrss.exe\USER32.dll ok scanned

07/12/2009 18:21:53 File: D:\WINDOWS\system32\USER32.dll ok scanned

07/12/2009 18:21:55 Running module: csrss.exe\sxs.dll ok scanned

07/12/2009 18:21:58 File: D:\WINDOWS\system32\sxs.dll ok scanned

07/12/2009 18:22:04 Running module: csrss.exe\ADVAPI32.dll ok scanned

07/12/2009 18:22:05 File: D:\WINDOWS\system32\ADVAPI32.dll ok scanned

07/12/2009 18:22:09 Running module: csrss.exe\RPCRT4.dll ok scanned

07/12/2009 18:22:15 File: D:\WINDOWS\system32\RPCRT4.dll ok scanned

07/12/2009 18:22:17 Running module: csrss.exe\Secur32.dll ok scanned

07/12/2009 18:22:18 File: D:\WINDOWS\system32\Secur32.dll ok scanned

07/12/2009 18:22:19 Running module: csrss.exe\Apphelp.dll ok scanned

07/12/2009 18:22:20 File: D:\WINDOWS\system32\Apphelp.dll ok scanned

07/12/2009 18:22:21 Running module: csrss.exe\VERSION.dll ok scanned

07/12/2009 18:22:22 File: D:\WINDOWS\system32\VERSION.dll ok scanned

07/12/2009 18:22:23 Running module: WINLOGON.EXE\winlogon.exe ok scanned

Marcando apenas a opção Startup objects :

Scan

----

Scanned: 895

Detected: 0

Untreated: 0

Start time: 07/12/2009 18:28:00

Duration: 00:04:59

Finish time: 07/12/2009 18:32:59

Detected

--------

Status Object

------ ------

Events

------

Time Name Status Reason

---- ---- ------ ------

07/12/2009 18:28:01 File: c:\config.sys ok scanned

07/12/2009 18:28:54 File: d:\windows\system32\config.nt ok scanned

07/12/2009 18:30:56 File: D:\WINDOWS\system32\config.nt ok scanned

07/12/2009 18:31:58 File: d:\windows\system32\autoexec.nt ok scanned

07/12/2009 18:32:59 File: d:\windows\system32\command.com ok scanned

Agora no D:, onde fica o meu s o/windows/system32/user.dat/regedit; estou fazendo uma nova varredura com o kaspersky removal tool 2010 ; cfe. print infra :

Entretanto segundo uma pesquisa minha no google/invaders fórum ( Deus me livre deste fórum invaders; nem seção de remoção de malware tem ); estes trojans os Turkojans são indetectáveis (pelo menos por enquanto; se Deus quizer ) por anti-virus comuns/populares tais como Nod, Avira, Karpersky etc... cfe. este tópico do fórum invaders infra :

hxxp://www.forum-invaders.com.br/phpBB/viewtopic.php?f=19&t=8547836

Bom, pelo menos aqui em meu sistema, descobri as chaves do registro e alguns valores, exclui e não consta mais os trojans wimpixo/Turkojan cfe. a varredura da ferramenta exterminate-it cfe. prints infra :

Print da varredura da ferramenta atualizada, com 541144 threats e não apareçendo os trojans :

Para remover estes trojans :

Exclui o valor Root\legacy_fasturseswitchingcompatibyliti , da chave contida no print abaixo :

Exclui esta chave contida no print infra :

Da chave KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\fasturseswitchingcompatibyliti\Parameters , exclui os valores/dados TRJDAT e o mstwain32 ( este é o ponto inicial de contaminação do turkojan )

Abraços

DigRam · Dezembro 9, 2009

Boa Noite! EDSSX

<@> Baixe: < > ( ...by sUBs )

<!> Link-2 --> < ForoSpyware >

<!> Link-3 --> < GeeksToGo >

<!> Link-4 --> < como usar o combofix >

<@> Salve-o no desktop!

<@> Desabilite as proteções residente de: antivírus,antispywares e firewall. ( Menos o do Windows! )

<@> Feche todas as janelas e execute a ferramenta!

<@> Ps: A execução,por comando,também é possível:
<@> Vá em Iniciar --> Executar --> Digite ou cole: "%userprofile%\desktop\Combofix.exe" /killall

<@> Clique em Ok.

<@> Na solicitação: "Negação de garantia de software" --> Clique em Sim!

<@> Não possuindo o "Console de Recuperação",aceite optar pela instalação do mesmo!

<@> Terminando,clique Sim ou Yes. --> Aguarde!

<!> Caso aconteça a notificação de: Aplicativo Win32 inválido,delete a ferramenta ComboFix.exe e faça,novamente,seu download.
<!> Salve-a no desktop,renomeada como: Kombo.exe

<!> Ps: Nomeie durante o salvamento,e não após salvá-la!

<!> Ps: Surgindo alguma mensagem de erro,rode o ComboFix.exe em "Modo de Segurança". <-- Link!

<!> Ps: Na presença de atividades rootkit,teremos a seguinte janela de notificação:

<!> Ps: Anote essas detecções,e dê o OK.

<!> Ps: Para completar as remoções,talvez haja necessidade da ferramenta reiniciar o computador. <-- Aguarde!

<!> Ps: Evite executar,voluntariamente,esta ferramenta!

<!> Ps: Para evitar problemas,siga todas as recomendações propostas.

<!> O ComboFix é uma ferramenta que pode danificar o sistema. Utilize-o,somente,sob supervisão profissional.

<@> Abrir-se-á a janela Auto Scan. --> Aguarde!

<@> Àfim de completar as remoções,o ComboFix poderá reiniciar o computador.

<@> Se houver necessidade,digite a opção para continuar! --> ( 1 ) --> Aperte Enter! --> Aguarde a conclusão!

<@> Durante o scan,evite manusear o mouse ou teclado! <-- Importante!

<@> Para parar ou sair do ComboFix,tecle "N" ou "2" --> Aperte Enter!

<><><><><><><><><><><><>

<@> Terminando,poste os relatórios: D:\ComboFix.txt + HijackThis,atualizado.

Abraços!

EDSSX · Dezembro 9, 2009

Bom dia !

Segue o log do combofix e do hijackthis :

ComboFix 09-12-08.03 - edsom luis 09/12/2009 0:50.13.1 - FAT32x86

Microsoft Windows XP Professional 5.1.2600.3.1252.55.1046.18.511.281 [GMT -2:00]

Executando de: d:\documents and settings\edsom luis\Desktop\ComboFix.exe

AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

.

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))

.

d:\windows\rrxx.dll

.

(((((((((((((((( Arquivos/Ficheiros criados de 2009-11-09 to 2009-12-09 ))))))))))))))))))))))))))))

.

2009-12-09 06:35 . 2009-12-09 06:35 -------- d-----w- d:\arquivos de programas\Exterminate It!

2009-12-09 03:22 . 2009-12-09 03:22 -------- d-----w- D:\Lop SD

2009-12-08 23:59 . 2009-12-08 23:59 -------- d-----w- d:\documents and settings\edsom luis\DoctorWeb

2009-12-05 20:14 . 2009-12-05 20:14 -------- d-----w- d:\documents and settings\edsom luis\Dados de aplicativos\K-Meleon

2009-12-05 20:13 . 2009-12-05 20:13 -------- d-----w- d:\arquivos de programas\K-Meleon

2009-12-04 23:42 . 2009-12-03 18:14 38224 ----a-w- d:\windows\system32\drivers\mbamswissarmy.sys

2009-12-04 23:42 . 2009-12-03 18:13 19160 ----a-w- d:\windows\system32\drivers\mbam.sys

2009-12-04 23:30 . 2009-12-04 23:30 -------- d-----w- d:\documents and settings\edsom luis\Dados de aplicativos\KoshyJohn.com

2009-12-04 23:30 . 2009-12-04 23:30 384433 ----a-w- d:\documents and settings\edsom luis\Dados de aplicativos\KoshyJohn.com\MemClean\MemClean.exe

2009-12-01 21:13 . 2009-12-01 21:13 -------- d--h--w- d:\windows\PIF

2009-12-01 17:27 . 2009-07-10 05:20 284032 ----a-w- d:\windows\system32\XceedZip.dll

2009-12-01 16:47 . 2009-11-26 19:39 678912 ----a-w- d:\documents and settings\edsom luis\Dados de aplicativos\Mozilla\Firefox\Profiles\hzw2khas.default\extensions\{e001c731-5e37-4538-a5cb-8168736a2360}\components\bdqscan.dll

2009-12-01 16:47 . 2009-11-26 19:37 768512 ----a-w- d:\documents and settings\edsom luis\Dados de aplicativos\Mozilla\Firefox\Profiles\hzw2khas.default\extensions\{e001c731-5e37-4538-a5cb-8168736a2360}\plugins\npqscan.dll

2009-12-01 01:12 . 2009-12-01 01:12 579072 ----a-w- d:\windows\system32\dllcache\user32.dll

2009-11-29 02:00 . 2009-11-29 02:00 -------- d-----w- d:\arquivos de programas\MSXML 4.0

2009-11-27 20:47 . 2009-11-27 20:47 -------- d-----w- d:\arquivos de programas\Arquivos comuns\unite

2009-11-27 20:47 . 2009-11-27 20:47 -------- d-----w- d:\arquivos de programas\Arquivos comuns\ui

2009-11-27 20:47 . 2009-11-27 20:47 -------- d-----w- d:\arquivos de programas\Arquivos comuns\styles

2009-11-27 20:47 . 2009-11-27 20:47 -------- d-----w- d:\arquivos de programas\Arquivos comuns\skin

2009-11-27 20:47 . 2009-11-27 20:47 -------- d-----w- d:\arquivos de programas\Arquivos comuns\program

2009-11-27 20:47 . 2009-11-27 20:47 -------- d-----w- d:\arquivos de programas\Arquivos comuns\extra

2009-11-25 13:08 . 2009-11-25 13:08 -------- d-----w- D:\FindyKill

2009-11-25 12:38 . 2009-11-25 12:38 -------- d-----w- d:\documents and settings\edsom luis\Dados de aplicativos\QuickScan

2009-11-24 21:44 . 2009-11-24 21:45 -------- d-----w- D:\UsbFix

2009-11-24 21:34 . 2009-03-30 11:33 96104 ----a-w- d:\windows\system32\drivers\avipbb.sys

2009-11-24 21:34 . 2009-02-13 13:29 22360 ----a-w- d:\windows\system32\drivers\avgntmgr.sys

2009-11-24 21:34 . 2009-02-13 13:17 45416 ----a-w- d:\windows\system32\drivers\avgntdd.sys

2009-11-24 21:34 . 2009-11-24 21:34 -------- d-----w- d:\documents and settings\All Users\Dados de aplicativos\Avira

2009-11-24 21:23 . 2009-11-24 21:23 0 ----a-w- D:\paths.bat

2009-11-24 21:16 . 2009-11-24 21:16 -------- d-----w- D:\ToolBar SD

2009-11-24 20:41 . 2009-11-24 20:41 -------- d-----w- d:\documents and settings\edsom luis\Dados de aplicativos\IObit

2009-11-20 21:01 . 2009-11-20 21:01 832296 ----a-w- d:\arquivos de programas\Arquivos comuns\opera.exe

2009-11-20 21:01 . 2009-11-20 21:01 4450088 ----a-w- d:\arquivos de programas\Arquivos comuns\opera.dll

2009-11-20 21:00 . 2009-11-20 21:00 20480 ----a-w- d:\arquivos de programas\Arquivos comuns\OUniAnsi.dll

2009-11-20 21:00 . 2009-11-20 21:00 653419 ----a-w- d:\arquivos de programas\Arquivos comuns\encoding.bin

2009-11-20 12:17 . 2009-11-20 12:17 -------- d-----w- d:\arquivos de programas\Marcos Velasco Security

2009-11-19 04:31 . 2009-11-19 04:31 -------- d-----w- d:\documents and settings\All Users\Dados de aplicativos\Iomatic

2009-11-18 05:35 . 2009-11-18 05:35 -------- d-----w- d:\arquivos de programas\Arquivos comuns\PC Tools

2009-11-18 05:34 . 2009-11-18 05:34 -------- d-----w- d:\documents and settings\All Users\Dados de aplicativos\TEMP

2009-11-15 03:37 . 2009-11-18 00:58 48 ----a-w- d:\windows\system32\_1PUTILS.dat

2009-11-14 22:15 . 2009-11-14 22:15 -------- d---a-w- D:\autorun(2).inf

2009-11-13 20:19 . 2009-11-13 20:19 -------- d-----w- d:\arquivos de programas\Arquivos comuns\locale

.

((((((((((((((((((((((((((((((((((((( Relatório Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-12-09 05:40 . 2009-08-27 00:37 664 ----a-w- d:\windows\system32\d3d9caps.dat

2009-12-09 03:13 . 2009-08-22 13:01 12 ----a-w- d:\windows\system32\drivers\IncompleteBoot.cnt

2009-12-08 02:21 . 2009-03-18 23:30 56816 ----a-w- d:\windows\system32\drivers\avgntflt.sys

2009-12-07 01:42 . 2009-09-22 19:52 1 ----a-w- d:\documents and settings\edsom luis\Dados de aplicativos\BrOffice.org\3\user\uno_packages\cache\stamp.sys

2009-12-01 17:16 . 2009-12-01 17:16 38338 ----a-w- d:\arquivos de programas\Uninst.isu

2009-11-27 20:47 . 2009-11-13 20:19 218 ----a-w- d:\arquivos de programas\Arquivos comuns\operaprefs_default.ini

2009-11-25 11:57 . 2001-10-28 20:07 80198 ----a-w- d:\windows\system32\perfc016.dat

2009-11-25 11:57 . 2001-10-28 20:07 471376 ----a-w- d:\windows\system32\perfh016.dat

2009-11-24 21:40 . 2008-12-04 12:33 411368 ----a-w- d:\windows\system32\deploytk.dll

2009-11-24 08:18 . 2009-04-29 22:59 32 --sha-w- d:\windows\system32\drivers\fidbox.idx

2009-11-24 08:18 . 2009-04-29 22:59 32 --sha-w- d:\windows\system32\drivers\fidbox.dat

2009-11-20 21:11 . 2009-11-20 21:11 15828 ----a-w- d:\arquivos de programas\Arquivos comuns\license.rtf

2009-11-13 20:19 . 2009-03-27 22:27 2320 ----a-w- d:\arquivos de programas\Arquivos comuns\operadef6.ini

2009-11-06 16:09 . 2009-11-06 16:09 -------- d-----w- d:\documents and settings\edsom luis\Dados de aplicativos\Yahoo!

2009-11-04 22:02 . 2009-11-04 22:02 -------- d-----w- d:\documents and settings\All Users\Dados de aplicativos\Malwarebytes

2009-11-04 22:02 . 2009-11-04 22:02 -------- d-----w- d:\arquivos de programas\Malwarebytes' Anti-Malware

2009-11-03 20:55 . 2009-11-03 20:55 -------- d-----w- d:\arquivos de programas\Microsoft Works

2009-11-03 20:55 . 2009-11-03 20:55 -------- d-----w- d:\arquivos de programas\MSBuild

2009-11-03 20:52 . 2009-11-03 20:52 -------- d-----w- d:\arquivos de programas\Microsoft.NET

2009-11-03 20:49 . 2009-11-03 20:49 -------- d-----w- d:\arquivos de programas\Microsoft Visual Studio 8

2009-11-03 19:53 . 2007-09-19 12:55 249856 ------w- d:\windows\Setup1.exe

2009-11-03 19:53 . 2007-09-19 12:55 73216 ----a-w- d:\windows\ST6UNST.EXE

2009-10-31 17:32 . 2009-10-31 17:32 -------- d-----w- d:\arquivos de programas\Yahoo!

2009-09-26 00:45 . 2009-09-26 00:45 28 ----a-w- d:\windows\kmcdfa2200.dat

2009-09-22 19:51 . 2009-09-22 19:51 7424000 ----a-r- d:\documents and settings\edsom luis\Dados de aplicativos\Microsoft\Installer\{CE853177-215B-4C6D-AB90-3DCE66BA7D75}\soffice.exe

2009-09-17 19:43 . 2009-09-17 19:43 29584 ----a-w- d:\windows\system32\drivers\regguard.sys

2009-09-11 16:30 . 2009-09-11 16:30 54 ----a-w- d:\windows\system32\rp_stats.dat

2009-09-11 16:30 . 2009-09-11 16:30 44 ----a-w- d:\windows\system32\statistics.dat

2009-09-11 16:30 . 2009-09-11 16:30 39 ----a-w- d:\windows\system32\rp_rules.dat

2009-09-11 16:29 . 2009-09-11 19:13 64160 ----a-w- d:\windows\system32\drivers\Lbd.sys

2009-09-11 13:19 . 2004-08-04 09:45 136192 ----a-w- d:\windows\system32\msv1_0.dll

2009-08-26 15:04 . 2009-08-26 15:04 11233 ----a-w- d:\arquivos de programas\fm20enu.dll.zip

2009-08-20 14:06 . 2009-08-20 14:06 126704693 ----a-w- d:\arquivos de programas\brofficeorg1.cab

2009-08-20 14:04 . 2009-08-20 14:04 9812992 ----a-w- d:\arquivos de programas\brofficeorg31.msi

2009-08-19 07:39 . 2009-08-19 07:39 330 ----a-w- d:\arquivos de programas\setup.ini

2009-07-10 05:20 . 2009-12-01 17:16 621546 ----a-w- d:\arquivos de programas\ACIHELP.HLP

2009-07-10 05:20 . 2009-12-01 17:16 3219 ----a-w- d:\arquivos de programas\Acihelp.cnt

2009-06-17 16:41 . 2009-06-17 16:41 3870 ----a-w- d:\arquivos de programas\Arquivos comuns\lngcode.txt

2008-06-09 12:17 . 2008-06-09 12:17 301 ----a-w- d:\arquivos de programas\Arquivos comuns\c3nform.vxml

2004-02-26 15:35 . 2004-02-26 15:35 7904 ----a-w- d:\arquivos de programas\Arquivos comuns\html40_entities.dtd

2002-03-11 08:06 . 2002-03-11 08:06 1822520 ----a-w- d:\arquivos de programas\instmsiw.exe

2002-03-11 07:45 . 2002-03-11 07:45 1708856 ----a-w- d:\arquivos de programas\instmsia.exe

2009-03-08 16:09 . 2008-04-14 02:21 638816 --sha-w- d:\windows\ServicePackFiles\i386\iexplore.exe

.

(((((((((((((((((((((((((( Pontos de Carregamento do Registro )))))))))))))))))))))))))))))))))))))))

.

*Nota* entradas vazias e legítimas por defeito não são mostradas.

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Gadwin PrintScreen"="d:\arquivos de programas\Gadwin Systems\PrintScreen\PrintScreen.exe" [2008-12-09 495616]

"Google Update"="d:\documents and settings\edsom luis\Configurações locais\Dados de aplicativos\Google\Update\GoogleUpdate.exe" [2009-09-16 133104]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SunJavaUpdateSched"="d:\arquivos de programas\Java\jre6\bin\jusched.exe" [2009-11-24 149280]

"avgnt"="d:\arquivos de programas\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"Adobe Reader Speed Launcher"="d:\arquivos de programas\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-10-03 35696]

"Adobe ARM"="d:\arquivos de programas\Arquivos comuns\Adobe\ARM\1.0\AdobeARM.exe" [2009-09-04 935288]

"DWQueuedReporting"="d:\arquiv~1\ARQUIV~1\MICROS~1\DW\dwtrig20.exe" [2008-11-04 435096]

d:\documents and settings\edsom luis\Menu Iniciar\Programas\Inicializar\

BrOffice.org 3.1.lnk - d:\arquivos de programas\BrOffice.org 3\program\quickstart.exe [2009-8-18 384000]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"HonorAutoRunSetting"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"NoRealMode"= 0 (0x0)

"HonorAutoRunSetting"= 0 (0x0)

"NoFileUrl"= 0 (0x0)

"NoUpdateCheck"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\WB]

2001-12-21 01:34 24576 ----a-w- d:\arquivos de programas\AlienGUIse\fastload.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute REG_MULTI_SZ autocheck autochk *\0 bsmain

[HKLM\~\startupfolder\^.mjsync_pt_BR]

path=\.mjsync_pt_BR

[HKLM\~\startupfolder\^ESTUDO AVANÇADO HJTSGRANDE BLOCO.txt]

path=\ESTUDO AVANÇADO HJTSGRANDE BLOCO.txt

[HKLM\~\startupfolder\^hjtscanlist.txt]

path=\hjtscanlist.txt

[HKLM\~\startupfolder\^NTUSER.DAT.bak_jv16pt]

path=\NTUSER.DAT.bak_jv16pt

[HKLM\~\startupfolder\^ntuser.dat.LOG]

path=\ntuser.dat.LOG

[HKLM\~\startupfolder\^NTUSER.DAT.tmp.LOG]

path=\NTUSER.DAT.tmp.LOG

[HKLM\~\startupfolder\^ntuser.ini]

path=\ntuser.ini

[HKLM\~\startupfolder\^PrivacIE.rar]

path=\PrivacIE.rar

[HKLM\~\startupfolder\^rebuilt.UserData.rar]

path=\rebuilt.UserData.rar

[HKLM\~\startupfolder\^UserData.rar]

path=\UserData.rar

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"d:\\WINDOWS\\system32\\rtcshare.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"d:\\Arquivos de programas\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

"d:\\Arquivos de programas\\Microsoft Office\\Office12\\groove.exe"=

"d:\\Arquivos de programas\\Microsoft Office\\Office12\\ONENOTE.EXE"=

"d:\\Arquivos de programas\\Arquivos comuns\\opera.exe"=

R0 Lbd;Lbd;d:\windows\system32\drivers\Lbd.sys [11/09/2009 17:13 64160]

R1 VBoxDrv;VirtualBox Service;d:\windows\system32\drivers\VBoxDrv.sys [18/09/2009 13:11 115856]

R1 VBoxUSBMon;VirtualBox USB Monitor Driver;d:\windows\system32\drivers\VBoxUSBMon.sys [18/09/2009 13:10 41424]

R2 713xTVCard;SAA7131 TV Card;d:\windows\system32\drivers\SAA713x.sys [15/03/2005 12:00 277504]

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;d:\arquivos de programas\Avira\AntiVir Desktop\sched.exe [24/11/2009 19:34 108289]

R3 VBoxNetAdp;VirtualBox Host-Only Ethernet Adapter;d:\windows\system32\drivers\VBoxNetAdp.sys [18/09/2009 13:11 91856]

R3 VBoxNetFlt;VBoxNetFlt Service;d:\windows\system32\drivers\VBoxNetFlt.sys [09/09/2009 20:15 100368]

R3 xpvcom;XPVCOM Port;d:\windows\system32\drivers\XPVCOM.sys [23/03/2007 02:00 30032]

S0 GbpKm;Gbp KernelMode;d:\windows\system32\drivers\GbpKm.sys [18/04/2009 21:46 26568]

S3 GoogleDesktopManager-060409-093314;Gerenciador do Google Desktop 5.9.906.4286; [x]

S3 RegGuard;RegGuard;d:\windows\system32\drivers\regguard.sys [17/09/2009 17:43 29584]

S3 rspSanity;rspSanity;d:\windows\system32\drivers\rspSanity32.sys [14/04/2009 19:51 30136]

.

------- Scan Suplementar -------

.

mWindow Title =

IE: E&xportar para o Microsoft Excel - d:\arquiv~1\MICROS~2\Office12\EXCEL.EXE/3000

.

------- Associação de arquivos/ficheiros -------

.

inifile=Notepad.exe "%1"

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-12-09 00:55

Windows 5.1.2600 Service Pack 3 FAT NTAPI

Procurando processos ocultos ...

Procurando entradas auto inicializáveis ocultas ...

Procurando ficheiros/arquivos ocultos ...

Varredura completada com sucesso

arquivos/ficheiros ocultos: 0

**************************************************************************

.

--------------------- CHAVES DO REGISTRO BLOQUEADAS ---------------------

[HKEY_USERS\.Default\Software\Stardock\WindowBlinds]

@DACL=(02 0000)

[HKEY_USERS\S-1-5-21-839522115-1409082233-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\CLSID]

@Denied: (Full) (LocalSystem)

[HKEY_LOCAL_MACHINE\software\Classes\Installer\Products\740714A303E250D498777F604DB0FF93\SourceList]

@DACL=(02 0000)

"PackageName"="Dashboard.msi"

[HKEY_LOCAL_MACHINE\software\Classes\Installer\Products\B37BDAE8D62087948A0FE1FEE5E1EC7C\SourceList]

@DACL=(02 0000)

"PackageName"="Install_{8EADB73B-026D-4978-A8F0-1EEF5E1ECEC7}.msi"

"LastUsedSource"=expand:"n;1;d:\\Arquivos de programas\\Arquivos comuns\\WindowsLiveInstaller\\MsiSources\\"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•6~*]

"6140110900063D11C8EF10054038389C"="D?\\WINDOWS\\system32\\FM20ENU.DLL"

.

--------------------- DLLs Carregadas Sob os Processos em Execução ---------------------

- - - - - - - > 'winlogon.exe'(1060)

d:\arquivos de programas\AlienGUIse\fastload.dll

.

Tempo para conclusão: 2009-12-09 00:57:09

ComboFix-quarantined-files.txt 2009-12-09 02:57

Pré-execução: 20 pasta(s) 40.871.493.632 bytes disponíveis

Pós execução: 22 pasta(s) 40.836.694.016 bytes disponíveis

- - End Of File - - 3019674E696219264C2CE97F3B75072E

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 01:07:46, on 09/12/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe

D:\Arquivos de programas\AlienGUIse\wbload.exe

D:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe

D:\WINDOWS\System32\svchost.exe

D:\Arquivos de programas\Java\jre6\bin\jqs.exe

D:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

D:\Arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

D:\Arquivos de programas\Java\jre6\bin\jusched.exe

D:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe

D:\Arquivos de programas\Gadwin Systems\PrintScreen\PrintScreen.exe

D:\Documents and Settings\edsom luis\Configurações locais\Dados de aplicativos\Google\Update\GoogleUpdate.exe

D:\Arquivos de programas\BrOffice.org 3\program\soffice.exe

D:\Arquivos de programas\BrOffice.org 3\program\soffice.bin

D:\WINDOWS\system32\wbem\wmiapsrv.exe

D:\Arquivos de programas\Exterminate It!\ExterminateIt.exe

D:\WINDOWS\system32\notepad.exe

D:\WINDOWS\explorer.exe

D:\WINDOWS\system32\NOTEPAD.EXE