[Arquivado] &nbspAnalise de Log

FaXP · Dezembro 9, 2010

Estou com um virus no recycler chamado Dc145. Tentei acha-lo no Killbox que acusou a pasta do Windows Live Messenger + a pasta nao aparece, fica oculta e nao ha meios de deleta-la (ja marquei pra apresentar arquivos e pastas ocultos e ainda assim não aparece). Acusa presença qdo uso o ATF-Cleaner, o Smitfraudfix e o USBfix + tbem não conseguiriram excluí-la. Conforme tento excluir, vai criando outras pastas, agora ta em Dc268

Ja utilizei o Combofix/Vundofix/Bankerfix/Malwarebytes/Kaspersky/OTL/VirtumundoBeGo/Kaspersky AVtool/Spybot/ SpywareBlaster/Gmer/Spydoctor/Sdfix/Findykill/Unlocker.

As chaves de registro dos programas antivirus aparecem alteradas como se tivessem sido desinstaladas.

To com essa pastinha do recycler sem conseguir deletar + uma pastinha de um profile do Mozilla q tbm não consigo excluir: C:\Documents and Settings\User\Configurações locais\Dados de aplicativos\Mozilla\Firefox\Profiles\eay817w8.default\Cache

Qdo acesso uma pagina na internet, acusa essa mesma pagina aberta umas 11 vezes.Sem considerar que ela demora muito pra abrir, tanto no IE qto no Mozilla.

O spybot num consegue deletar nada e os logs são compactados no winrar e protegidos com senha:

08/12/2010 19:41:28 Protegido por senha C:\Documents and Settings\All Users\Dados de aplicativos\Spybot - Search & Destroy\Recovery\Informaodedesinstalaoincorrecta26.zip/sbRecovery.reg

Minhas conversas no msn aparecem neste atalho:

http://www.google.cliente1.msn...

Tudo que deleto na chave de registro volta ao logar.Tudo é compactado, gravado e enviado num sei pra quem. Hj consegui deletar um exe chamado AU_.exe e outro temp.reg.vir

Segue abaixo log do Hijackthis e estou colocando os logs das minhas chaves de registro para serem analisadas(todas alteradas!!!), extrai de um programa chamado Registry Search 2.0 em minhas pesquisas de remoção de virus em fóruns de outros países + num sei utiliza-lo direito: http://www.xs4all.nl/~fstaal01/regsearch-us.html

Grata...

CHAVES DO IE: https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/RegSearchIE.txt (não consigo + entrar no Hotmail pelo IE, acusa Erro de Certificado, que o certificado de segurança apresentado pelo site não foi emitido por uma autoridade de certificação confiável.

CHAVES DO MSN: https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/RegSearchMessenger.txt

CHAVES DO HOTMAIL: https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/RegSearchMSN1.txt?ccsf=1#sn_ccCommentCtrl_anch

CHAVES DO MESSENGER: https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/RegSearchhotmail.txt?ccsf=1#sn_ccCommentCtrl_anch

LOG HIJACKTHIS:

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 12:38:31, on 9/12/2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe

C:\Arquivos de programas\Unlocker\UnlockerAssistant.exe

C:\WINDOWS\explorer.exe

C:\Arquivos de programas\Mozilla Firefox\firefox.exe

C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtblfs.exe

C:\Arquivos de programas\Mozilla Firefox\plugin-container.exe

C:\Arquivos de programas\internet explorer\iexplore.exe

C:\Arquivos de programas\Windows Live\Toolbar\wltuser.exe

C:\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank

R3 - URLSearchHook: PC Tools Browser Guard - {472734EA-242A-422b-ADF8-83D1E48CC825} - C:\Arquivos de programas\PC Tools Security\BDT\PCTBrowserDefender.dll

O2 - BHO: Adobe PDF Link Helper - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\ARQUIV~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Arquivos de programas\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Arquivos de programas\Java\jre6\bin\jp2ssv.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll

O3 - Toolbar: PC Tools Browser Guard - {472734EA-242A-422B-ADF8-83D1E48CC825} - C:\Arquivos de programas\PC Tools Security\BDT\PCTBrowserDefender.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Arquivos de programas\Windows Live\Toolbar\wltcore.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [siSPower] Rundll32.exe SiSPower.dll,ModeAgent

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Arquivos de programas\Arquivos comuns\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [PCTools FGuard] C:\Arquivos de programas\PC Tools Security\BDT\FGuard.exe

O4 - HKLM\..\Run: [avp] "C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe"

O4 - HKLM\..\Run: [unlockerAssistant] "C:\Arquivos de programas\Unlocker\UnlockerAssistant.exe"

O4 - HKCU\..\Run: [incrediMail] C:\Arquivos de programas\IncrediMail\bin\IncMail.exe /c

O4 - HKCU\..\Run: [Advanced SystemCare 3] "C:\Arquivos de programas\IObit\Advanced SystemCare 3\AWC.exe" /startup

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Arquivos de programas\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe

O9 - Extra button: &Teclado Virtual - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtbbho.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARQUIV~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Veri&ficação de URLs - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtbbho.dll

O10 - Unknown file in Winsock LSP: c:\arquivos de programas\iobit\advanced systemcare 3\spictrl.dll

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} (get_atlcom Class) - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8FD07502-5251-4DEF-9047-E68CDF7F82AC}: NameServer = 200.204.0.10,200.204.0.138

O22 - SharedTaskScheduler: Pré-carregador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Daemon de cache de categorias de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Serviço do Kaspersky Anti-Virus (AVP) - Kaspersky Lab ZAO - C:\Arquivos de programas\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe

O23 - Service: Browser Defender Update Service - Unknown owner - C:\Arquivos de programas\PC Tools Security\BDT\BDTUpdateService.exe

O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Arquivos de programas\PC Tools Security\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Arquivos de programas\PC Tools Security\pctsSvc.exe

--

End of file - 6088 bytes

Renato Utsch · Dezembro 11, 2010

Olá!

Seja bem vinda à seção de Remoção de Malwares do Fórum IMasters.

Heh, você conseguiu se infectar bastante, hein?

Bom, gostaria de pedir que seguisse as instruções que passarei nesse tópico e que não as execute em nenhum outro computador, pois elas foram desenhadas especificamente para o seu, e podem comprometer outros!

---//---

Bom, vamos começar com a remoção?

Preciso de informações mais detalhadas de como seu computador está para prosseguir:

Faça o Download do DDS e salve no Desktop (Área de trabalho).

Temporariamente desative os seus programas de proteção.
Duplo clique em dds.scr.
Irá surgir uma tela preta com algumas informações. Não clique em nada, apenas aguarde!
Quando terminar, duas janelas abrirão: DDS.txt e Attach.txt.
Salve o resultado e cole-o no seu tópico.

OBS: Caso o link disponibilizado não funcione, tente baixar o DDS por ESTE link.

Abraços :D

FaXP · Dezembro 15, 2010

Olá, obrigada por me ajudar!

Essas criaturinhas estão se reproduzindo igual aos gunnes =) hj achei duas pastinhas zipadas C:\Windows com nomes de UDB.zip e IDB.zip, coloquei em quarentena no Kaspersky.

Vamos aos logs do DDS:

DDS (Ver_10-12-12.02) - NTFSx86

Run by User at 16:29:41,39 on qua 15/12/2010

Internet Explorer: 8.0.6001.18702

Microsoft Windows XP Professional 5.1.2600.3.1252.55.1046.18.991.598 [GMT -2:00]

AV: Kaspersky Anti-Virus *Disabled/Updated* {2C4D4BC6-0793-4956-A9F9-E252435469C0}

============== Running Processes ===============

C:\WINDOWS\system32\svchost -k DcomLaunch

svchost.exe

C:\WINDOWS\System32\svchost.exe -k netsvcs

svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

svchost.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Arquivos de programas\PC Tools Security\BDT\BDTUpdateService.exe

C:\Arquivos de programas\Arquivos comuns\Java\Java Update\jusched.exe

C:\Arquivos de programas\PC Tools Security\BDT\FGuard.exe

C:\Arquivos de programas\Unlocker\UnlockerAssistant.exe

C:\WINDOWS\system32\PSIService.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\sistray.exe

C:\Documents and Settings\User\Desktop\dds.scr

============== Pseudo HJT Report ===============

uStart Page = hxxp://www.google.com.br/

mDefault_Page_URL = about:blank

mStart Page = about:blank

mSearchAssistant = hxxp://www.google.com/

mCustomizeSearch = about:blank

uURLSearchHooks: PC Tools Browser Guard: {472734ea-242a-422b-adf8-83d1e48cc825} - c:\arquivos de programas\pc tools security\bdt\PCTBrowserDefender.dll

mURLSearchHooks: PC Tools Browser Guard: {472734ea-242a-422b-adf8-83d1e48cc825} - c:\arquivos de programas\pc tools security\bdt\PCTBrowserDefender.dll

BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\arquivos de programas\arquivos comuns\adobe\acrobat\activex\AcroIEHelperShim.dll

BHO: Spybot-S&D IE Protection: {53707962-6f74-2d53-2644-206d7942484f} - c:\arquiv~1\spybot~1\SDHelper.dll

BHO: Search Helper: {6ebf7485-159f-4bff-a14f-b9e3aac4465b} - c:\arquivos de programas\microsoft\search enhancement pack\search helper\SearchHelper.dll

BHO: Java Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\arquivos de programas\java\jre6\bin\jp2ssv.dll

TB: PC Tools Browser Guard: {472734ea-242a-422b-adf8-83d1e48cc825} - c:\arquivos de programas\pc tools security\bdt\PCTBrowserDefender.dll

TB: {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No File

uRun: [incrediMail] c:\arquivos de programas\incredimail\bin\IncMail.exe /c

uRun: [Advanced SystemCare 3] "c:\arquivos de programas\iobit\advanced systemcare 3\AWC.exe" /startup

uRun: [spybotSD TeaTimer] c:\arquivos de programas\spybot - search & destroy\TeaTimer.exe

uRun: [ctfmon.exe] c:\windows\system32\ctfmon.exe

mRun: [RTHDCPL] RTHDCPL.EXE

mRun: [siSPower] Rundll32.exe SiSPower.dll,ModeAgent

mRun: [sunJavaUpdateSched] "c:\arquivos de programas\arquivos comuns\java\java update\jusched.exe"

mRun: [PCTools FGuard] c:\arquivos de programas\pc tools security\bdt\FGuard.exe

mRun: [avp] "c:\arquivos de programas\kaspersky lab\kaspersky anti-virus 2011\avp.exe"

mRun: [unlockerAssistant] "c:\arquivos de programas\unlocker\UnlockerAssistant.exe"

mRun: [DWQueuedReporting] "c:\arquiv~1\arquiv~1\micros~1\dw\dwtrig20.exe" -t

dRun: [CTFMON.EXE] c:\windows\system32\CTFMON.EXE

StartupFolder: c:\docume~1\alluse~1\menuin~1\progra~1\inicia~1\utilit~1.lnk - c:\windows\system32\sistray.exe

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: {4248FE82-7FCB-46AC-B270-339F08212110} - {4248FE82-7FCB-46AC-B270-339F08212110} - c:\arquivos de programas\kaspersky lab\kaspersky anti-virus 2011\klwtbbho.dll

IE: {92780B25-18CC-41C8-B9BE-3C9C571A8263} - {FF059E31-CC5A-4E2E-BF3B-96E929D65503} - c:\arquiv~1\micros~2\office12\REFIEBAR.DLL

IE: {CCF151D8-D089-449F-A5A4-D9909053F20F} - {CCF151D8-D089-449F-A5A4-D9909053F20F} - c:\arquivos de programas\kaspersky lab\kaspersky anti-virus 2011\klwtbbho.dll

IE: {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - {53707962-6F74-2D53-2644-206D7942484F} - c:\arquiv~1\spybot~1\SDHelper.dll

LSP: c:\arquivos de programas\iobit\advanced systemcare 3\SPICtrl.dll

LSP: c:\arquivos de programas\arquivos comuns\pc tools\lsp\PCTLsp.dll

DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} - hxxp://acs.pandasoftware.com/activescan/cabs/as2stubie.cab

DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

TCP: {8FD07502-5251-4DEF-9047-E68CDF7F82AC} = 200.204.0.10,200.204.0.138

SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\wpdshserviceobj.dll

Hosts: 127.0.0.1 www.spywareinfo.com

============= SERVICES / DRIVERS ===============

R0 KL1;kl1;c:\windows\system32\drivers\kl1.sys [2010-6-9 132184]

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2010-12-15 28552]

R0 PCTCore;PCTools KDS;c:\windows\system32\drivers\PCTCore.sys [2010-12-6 237632]

R0 pctDS;PC Tools Data Store;c:\windows\system32\drivers\pctDS.sys [2010-12-6 338880]

R0 pctEFA;PC Tools Extended File Attributes;c:\windows\system32\drivers\pctEFA.sys [2010-12-6 656320]

R1 kl2;kl2;c:\windows\system32\drivers\kl2.sys [2010-6-9 11352]

R1 KLIF;Kaspersky Lab Driver;c:\windows\system32\drivers\klif.sys [2010-12-6 475736]

R1 uzi3ndu1;AVZ-RK Kernel Driver;c:\windows\system32\drivers\uzi3ndu1.sys [2010-12-8 11264]

R2 Browser Defender Update Service;Browser Defender Update Service;c:\arquivos de programas\pc tools security\bdt\BDTUpdateService.exe [2010-12-6 235472]

R3 klim5;Kaspersky Anti-Virus NDIS Filter;c:\windows\system32\drivers\klim5.sys [2010-5-7 32856]

R3 klmouflt;Kaspersky Lab KLMOUFLT;c:\windows\system32\drivers\klmouflt.sys [2009-11-2 19472]

S2 AVP;Serviço do Kaspersky Anti-Virus;c:\arquivos de programas\kaspersky lab\kaspersky anti-virus 2011\avp.exe [2010-7-1 352976]

S3 esgiguard;esgiguard; [x]

S3 MEMSWEEP2;MEMSWEEP2; [x]

S3 nosGetPlusHelper;getPlus® Helper 3004;c:\windows\system32\svchost.exe -k nosGetPlusHelper [2008-4-13 14336]

S3 sdAuxService;PC Tools Auxiliary Service;c:\arquivos de programas\pc tools security\pctsAuxs.exe [2010-12-6 366840]

S3 sdCoreService;PC Tools Security Service;c:\arquivos de programas\pc tools security\pctsSvc.exe [2010-12-6 1145304]

=============== Created Last 30 ================

2010-12-15 16:10:23 1228 ----a-w- C:\ANTIVIR.bat

2010-12-15 13:40:59 32768 ----a-w- c:\windows\system32\PLUGIN.DLL

2010-12-15 13:40:59 210944 ----a-w- c:\windows\system32\Msvcrt10.dll

2010-12-15 13:14:29 32768 ----a-w- c:\windows\system\plugin.dll

2010-12-15 12:23:09 266293 ----a-w- c:\windows\system\MSVCRT.DLL

2010-12-15 10:47:53 28552 ----a-w- c:\windows\system32\drivers\pavboot.sys

2010-12-15 10:47:27 -------- d-----w- c:\arquivos de programas\Panda Security

2010-12-14 10:33:01 554760 ----a-w- c:\arquivos de programas\mozilla firefox\uninstall\helper.exe

2010-12-13 18:35:09 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\IObit

2010-12-13 11:48:26 -------- d-----w- c:\arquivos de programas\CCleaner

2010-12-11 11:21:10 -------- d-----w- c:\docume~1\user\config~1\dadosd~1\Google

2010-12-10 19:15:24 -------- d-----w- C:\HostsXpert

2010-12-09 16:27:39 -------- d-----w- C:\MSXML3msms

2010-12-09 14:36:41 -------- d-----w- C:\Hijackthis

2010-12-09 12:48:36 -------- d-----w- c:\arquivos de programas\Unlocker

2010-12-08 20:49:27 98816 ----a-w- c:\windows\sed.exe

2010-12-08 20:49:27 89088 ----a-w- c:\windows\MBR.exe

2010-12-08 20:49:27 256512 ----a-w- c:\windows\PEV.exe

2010-12-08 20:49:27 161792 ----a-w- c:\windows\SWREG.exe

2010-12-08 20:07:18 -------- d-----w- c:\docume~1\user\config~1\dadosd~1\PCHealth

2010-12-08 18:08:16 3426072 ----a-w- c:\windows\system32\d3dx9_32.dll

2010-12-08 18:07:42 -------- d-----w- c:\arquivos de programas\Microsoft SQL Server Compact Edition

2010-12-08 17:49:09 74520 ----a-w- c:\arquivos de programas\arquivos comuns\windows live\.cache\31ea81bc1cb9700\DSETUP.dll

2010-12-08 17:49:09 484632 ----a-w- c:\arquivos de programas\arquivos comuns\windows live\.cache\31ea81bc1cb9700\DXSETUP.exe

2010-12-08 17:49:09 1670936 ----a-w- c:\arquivos de programas\arquivos comuns\windows live\.cache\31ea81bc1cb9700\dsetup32.dll

2010-12-08 17:47:55 1013800 ----a-w- c:\arquivos de programas\arquivos comuns\windows live\.cache\a8c8dae1cb9700\WindowsXP-KB954708-x86-ENU.exe

2010-12-08 14:54:15 11264 ----a-w- c:\windows\system32\drivers\uzi3ndu1.sys

2010-12-08 11:09:49 -------- d-----w- c:\windows\system32\XPSViewer

2010-12-08 11:08:46 89088 ----a-w- c:\windows\system32\spool\prtprocs\w32x86\filterpipelineprintproc.dll

2010-12-08 11:08:12 89088 -c----w- c:\windows\system32\dllcache\filterpipelineprintproc.dll

2010-12-08 11:08:12 597504 -c----w- c:\windows\system32\dllcache\printfilterpipelinesvc.exe

2010-12-08 11:08:12 597504 ------w- c:\windows\system32\spool\prtprocs\w32x86\printfilterpipelinesvc.exe

2010-12-08 11:08:12 575488 -c----w- c:\windows\system32\dllcache\xpsshhdr.dll

2010-12-08 11:08:12 575488 ------w- c:\windows\system32\xpsshhdr.dll

2010-12-08 11:08:12 117760 ------w- c:\windows\system32\prntvpt.dll

2010-12-08 11:08:11 1676288 -c----w- c:\windows\system32\dllcache\xpssvcs.dll

2010-12-08 11:08:11 1676288 ------w- c:\windows\system32\xpssvcs.dll

2010-12-06 20:41:49 97859 ----a-w- c:\windows\system32\drivers\klick.dat

2010-12-06 20:41:49 114243 ----a-w- c:\windows\system32\drivers\klin.dat

2010-12-06 20:39:44 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\Kaspersky Lab

2010-12-06 20:39:44 -------- d-----w- c:\arquivos de programas\Kaspersky Lab

2010-12-06 20:11:58 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\Kaspersky Lab Setup Files

2010-12-06 15:08:55 -------- d-----w- c:\arquivos de programas\arquivos comuns\Wise Installation Wizard

2010-12-06 14:16:57 -------- d-----w- c:\docume~1\user\config~1\dadosd~1\Threat Expert

2010-12-06 14:05:17 767952 ----a-w- c:\windows\BDTSupport.dll

2010-12-06 14:05:17 149456 ----a-w- c:\windows\SGDetectionTool.dll

2010-12-06 14:05:16 743376 ----a-w- c:\windows\PCTBDRes.dll

2010-12-06 14:05:16 1914832 ----a-w- c:\windows\PCTBDCore.dll

2010-12-06 13:21:10 656320 ----a-w- c:\windows\system32\drivers\pctEFA.sys

2010-12-06 13:21:10 338880 ----a-w- c:\windows\system32\drivers\pctDS.sys

2010-12-06 13:21:09 249616 ----a-w- c:\windows\system32\drivers\pctgntdi.sys

2010-12-06 13:21:04 237632 ----a-w- c:\windows\system32\drivers\PCTCore.sys

2010-12-06 13:21:04 159936 ----a-w- c:\windows\system32\drivers\PCTAppEvent.sys

2010-12-06 13:20:58 87400 ----a-w- c:\windows\system32\drivers\pctNdis-PacketFilter.sys

2010-12-06 13:20:58 31960 ----a-w- c:\windows\system32\drivers\pctNdis-DNS.sys

2010-12-06 13:20:58 123712 ----a-w- c:\windows\system32\drivers\pctplfw.sys

2010-12-06 13:20:56 70536 ----a-w- c:\windows\system32\drivers\pctplsg.sys

2010-12-06 13:20:45 -------- d-----w- c:\docume~1\user\dadosd~1\PC Tools

2010-12-06 13:20:45 -------- d-----w- c:\arquivos de programas\PC Tools Security

2010-12-06 13:20:45 -------- d-----w- c:\arquivos de programas\arquivos comuns\PC Tools

2010-12-06 13:11:26 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\PC Tools

2010-12-03 18:07:20 -------- d-----w- c:\arquivos de programas\trend micro

2010-12-03 17:45:41 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\F-Secure

2010-12-02 03:35:18 4280320 ----a-w- c:\windows\system32\GPhotos.scr

2010-11-30 17:34:04 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\Spybot - Search & Destroy

2010-11-30 17:34:04 -------- d-----w- c:\arquivos de programas\Spybot - Search & Destroy

2010-11-25 20:30:55 -------- d-----w- c:\arquivos de programas\SpywareBlaster

2010-11-25 19:56:31 -------- d-----w- c:\windows\ERUNT

2010-11-25 19:21:04 -------- d-----w- c:\docume~1\user\config~1\dadosd~1\Mozilla

2010-11-25 18:28:57 8204807 ------w- C:\stinger10101147.exe

2010-11-25 18:20:00 178597 ------w- C:\51942_bankerfix_30.exe

2010-11-25 18:06:42 -------- d-----w- c:\windows\system32\appmgmt

2010-11-25 13:30:59 -------- d-----w- c:\arquivos de programas\arquivos comuns\Corel

2010-11-25 13:04:33 -------- d--h--w- c:\windows\PIF

2010-11-20 12:47:48 -------- d-----w- c:\docume~1\user\config~1\dadosd~1\Corel

2010-11-20 12:47:30 88 --sh--r- c:\windows\system32\2EBF6AA40D.sys

2010-11-20 12:46:18 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\Corel

2010-11-20 12:40:40 2516 --sha-w- c:\windows\system32\KGyGaAvL.sys

2010-11-20 12:33:49 -------- d-----w- c:\arquivos de programas\Corel

2010-11-19 16:07:12 -------- d-----w- c:\windows\system32\drivers\disdn

2010-11-18 15:31:56 -------- d-----w- c:\windows\system32\NtmsData

2010-11-17 18:20:19 -------- d-----w- c:\windows\pss

2010-11-17 18:03:28 221184 ----a-w- c:\windows\system32\wmpns.dll

2010-11-17 17:58:59 -------- d-----w- c:\windows\ie8updates

2010-11-17 17:58:44 -------- d-----w- c:\arquivos de programas\MSXML 4.0

2010-11-17 16:59:13 457216 -c----w- c:\windows\system32\dllcache\mrxsmb.sys

2010-11-17 16:52:28 602112 -c----w- c:\windows\system32\dllcache\msfeeds.dll

2010-11-17 16:52:28 247808 -c----w- c:\windows\system32\dllcache\ieproxy.dll

2010-11-17 16:52:27 55296 -c----w- c:\windows\system32\dllcache\msfeedsbs.dll

2010-11-17 16:52:27 1987072 -c----w- c:\windows\system32\dllcache\iertutil.dll

2010-11-17 16:52:23 12800 -c----w- c:\windows\system32\dllcache\xpshims.dll

2010-11-17 16:52:22 743424 -c----w- c:\windows\system32\dllcache\iedvtool.dll

2010-11-17 16:38:41 274288 ----a-w- c:\windows\system32\mucltui.dll

2010-11-17 16:38:41 215920 ----a-w- c:\windows\system32\muweb.dll

2010-11-17 16:38:41 17264 ----a-w- c:\windows\system32\mucltui.dll.mui

2010-11-17 16:11:48 -------- d-----w- c:\docume~1\user\dadosd~1\IObit

2010-11-17 16:11:48 -------- d-----w- c:\arquivos de programas\IObit

2010-11-17 15:48:21 -------- d-----w- c:\docume~1\alluse~1\dadosd~1\Malwarebytes

2010-11-17 15:16:15 -------- d-----w- C:\cmdcons

==================== Find3M ====================

2010-11-05 18:02:26 73728 ----a-w- c:\windows\system32\javacpl.cpl

2010-11-05 18:02:26 472808 ----a-w- c:\windows\system32\deployJava1.dll

2010-11-05 17:08:48 315392 ----a-w- c:\windows\HideWin.exe

2010-10-19 20:51:33 222080 ------w- c:\windows\system32\MpSigStub.exe

2010-09-18 14:23:20 974848 ----a-w- c:\windows\system32\mfc42u.dll

2010-09-18 06:53:19 974848 ----a-w- c:\windows\system32\mfc42.dll

2010-09-18 06:53:19 954368 ----a-w- c:\windows\system32\mfc40.dll

2010-09-18 06:53:19 953856 ----a-w- c:\windows\system32\mfc40u.dll

============= FINISH: 16:30:24,68 ===============

UNLESS SPECIFICALLY INSTRUCTED, DO NOT POST THIS LOG.

IF REQUESTED, ZIP IT UP & ATTACH IT

DDS (Ver_10-12-12.02)

Microsoft Windows XP Professional

Boot Device: \Device\HarddiskVolume1

Install Date: 31/8/2007 13:04:58

System Uptime: 15/12/2010 16:03:22 (0 hours ago)

Motherboard: ECS | | 671T-M

Processor: Processador Intel Pentium II | CPU 1 | 1599/200mhz

==== Disk Partitions =========================

C: is FIXED (NTFS) - 75 GiB total, 38,589 GiB free.

==== Disabled Device Manager Items =============

==== System Restore Points ===================

RP1: 8/12/2010 18:59:19 - Ponto de verificação do sistema

RP2: 9/12/2010 08:49:37 - Removido Windows Live Messenger

RP3: 9/12/2010 09:00:19 - Software Distribution Service 3.0

RP4: 9/12/2010 14:22:54 - Installed Microsoft XML Parser

RP5: 10/12/2010 09:00:18 - Software Distribution Service 3.0

RP6: 10/12/2010 17:03:33 - Software Distribution Service 3.0

RP7: 11/12/2010 09:21:49 - Installed Windows XP -- Software Updates KB952011.

RP8: 13/12/2010 09:32:07 - Ponto de verificação do sistema

RP9: 13/12/2010 09:51:07 - Removido Windows Live Call

RP10: 13/12/2010 09:51:27 - Removido Windows Live Essentials

RP11: 13/12/2010 09:51:52 - Removido Windows Live Communications Platform

RP12: 13/12/2010 09:52:09 - Removido Windows Live Galeria de Fotos

RP13: 13/12/2010 09:52:38 - Removido Windows Live Mail

RP14: 13/12/2010 09:53:12 - Removido Windows Live Messenger

RP15: 13/12/2010 09:53:53 - Removido Windows Live Sync

RP16: 13/12/2010 09:54:17 - Removido Windows Live Toolbar

RP17: 13/12/2010 09:54:48 - Removido Windows Live Writer

RP18: 14/12/2010 08:35:02 - Software Distribution Service 3.0

==== Installed Programs ======================

Adobe Download Manager

Adobe Flash Player 10 ActiveX

Adobe Flash Player 10 Plugin

Adobe Reader 9.4.1 - Português

Advanced SystemCare 3

Arquivo do WinRAR

Assistente de Conexão do Windows Live

Atualização de Segurança para o Windows Media Player (KB2378111)

Atualização de Segurança para o Windows Media Player (KB954155)

Atualização de Segurança para o Windows Media Player (KB973540)

Atualização de Segurança para o Windows Media Player (KB975558)

Atualização de Segurança para o Windows Media Player (KB978695)

Atualização de Segurança para Windows Internet Explorer 8 (KB2360131)

Atualização de Segurança para Windows Internet Explorer 8 (KB969897)

Atualização de Segurança para Windows Internet Explorer 8 (KB971961)

Atualização de Segurança para Windows Internet Explorer 8 (KB981332)

Atualização de Segurança para Windows XP (KB2079403)

Atualização de Segurança para Windows XP (KB2115168)

Atualização de Segurança para Windows XP (KB2121546)

Atualização de Segurança para Windows XP (KB2229593)

Atualização de Segurança para Windows XP (KB2259922)

Atualização de Segurança para Windows XP (KB2279986)

Atualização de Segurança para Windows XP (KB2286198)

Atualização de Segurança para Windows XP (KB2296011)

Atualização de Segurança para Windows XP (KB2347290)

Atualização de Segurança para Windows XP (KB2360937)

Atualização de Segurança para Windows XP (KB2387149)

Atualização de Segurança para Windows XP (KB923561)

Atualização de Segurança para Windows XP (KB923789)

Atualização de Segurança para Windows XP (KB950760)

Atualização de Segurança para Windows XP (KB956744)

Atualização de Segurança para Windows XP (KB956844)

Atualização de Segurança para Windows XP (KB958869)

Atualização de Segurança para Windows XP (KB960859)

Atualização de Segurança para Windows XP (KB969059)

Atualização de Segurança para Windows XP (KB969898)

Atualização de Segurança para Windows XP (KB970430)

Atualização de Segurança para Windows XP (KB971657)

Atualização de Segurança para Windows XP (KB972270)

Atualização de Segurança para Windows XP (KB973507)

Atualização de Segurança para Windows XP (KB973869)

Atualização de Segurança para Windows XP (KB973904)

Atualização de Segurança para Windows XP (KB974112)

Atualização de Segurança para Windows XP (KB974318)

Atualização de Segurança para Windows XP (KB974392)

Atualização de Segurança para Windows XP (KB974571)

Atualização de Segurança para Windows XP (KB975025)

Atualização de Segurança para Windows XP (KB975467)

Atualização de Segurança para Windows XP (KB975560)

Atualização de Segurança para Windows XP (KB975562)

Atualização de Segurança para Windows XP (KB975713)

Atualização de Segurança para Windows XP (KB977816)

Atualização de Segurança para Windows XP (KB977914)

Atualização de Segurança para Windows XP (KB978037)

Atualização de Segurança para Windows XP (KB978338)

Atualização de Segurança para Windows XP (KB978542)

Atualização de Segurança para Windows XP (KB978601)

Atualização de Segurança para Windows XP (KB978706)

Atualização de Segurança para Windows XP (KB979309)

Atualização de Segurança para Windows XP (KB979482)

Atualização de Segurança para Windows XP (KB979687)

Atualização de Segurança para Windows XP (KB980195)

Atualização de Segurança para Windows XP (KB980232)

Atualização de Segurança para Windows XP (KB980436)

Atualização de Segurança para Windows XP (KB981322)

Atualização de Segurança para Windows XP (KB981852)

Atualização de Segurança para Windows XP (KB981957)

Atualização de Segurança para Windows XP (KB981997)

Atualização de Segurança para Windows XP (KB982132)

Atualização de Segurança para Windows XP (KB982214)

Atualização de Segurança para Windows XP (KB982665)

Atualização para o Windows XP (KB943729)

Atualização para Windows Internet Explorer 8 (KB976662)

Atualização para Windows XP (KB2141007)

Atualização para Windows XP (KB2345886)

Atualização para Windows XP (KB898461)

Atualização para Windows XP (KB955759)

Atualização para Windows XP (KB961503)

Atualização para Windows XP (KB968389)

Atualização para Windows XP (KB971737)

Atualização para Windows XP (KB973687)

Atualização para Windows XP (KB973815)

Browser Defender 3.0

CCleaner

Corel Paint Shop Pro Photo X2

Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)

Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)

Hotfix for Windows XP (KB954550-v5)

Hotfix para Windows XP (KB2158563)

Hotfix para Windows XP (KB961118)

IncrediMail

IncrediMail 2.0

Java Auto Updater

Java 6 Update 22

Junk Mail filter update

K-Lite Mega Codec Pack 6.4.0

Kaspersky Anti-Virus 2011

Microsoft .NET Framework 2.0 Service Pack 2

Microsoft .NET Framework 3.0 Service Pack 2

Microsoft .NET Framework 3.5 SP1

Microsoft Application Error Reporting

Microsoft Choice Guard

Microsoft Office Access MUI (Portuguese (Brazil)) 2007

Microsoft Office Enterprise 2007

Microsoft Office Excel MUI (Portuguese (Brazil)) 2007

Microsoft Office Groove MUI (Portuguese (Brazil)) 2007

Microsoft Office InfoPath MUI (Portuguese (Brazil)) 2007

Microsoft Office Live Add-in 1.3

Microsoft Office OneNote MUI (Portuguese (Brazil)) 2007

Microsoft Office Outlook MUI (Portuguese (Brazil)) 2007

Microsoft Office PowerPoint MUI (Portuguese (Brazil)) 2007

Microsoft Office Proof (English) 2007

Microsoft Office Proof (Portuguese (Brazil)) 2007

Microsoft Office Proof (Spanish) 2007

Microsoft Office Proofing (Portuguese (Brazil)) 2007

Microsoft Office Publisher MUI (Portuguese (Brazil)) 2007

Microsoft Office Shared MUI (Portuguese (Brazil)) 2007

Microsoft Office Word MUI (Portuguese (Brazil)) 2007

Microsoft Search Enhancement Pack

Microsoft Silverlight

Microsoft Software Update for Web Folders (Portuguese (Brazil)) 12

Microsoft SQL Server 2005 Compact Edition [ENU]

Microsoft Sync Framework Runtime Native v1.0 (x86)

Microsoft Sync Framework Services Native v1.0 (x86)

Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17

Microsoft XML Parser

Mozilla Firefox (3.6.13)

MSVCRT

MSXML 4.0 SP2 (KB954430)

MSXML 4.0 SP2 (KB973688)

MV RegClean 5.9

Panda ActiveScan 2.0

Picasa 3

Realtek High Definition Audio Driver

Security Update for Microsoft .NET Framework 3.5 SP1 (KB2416473)

Segoe UI

SiS VGA Utilities

Sophos Anti-Rootkit 1.5.4

Spybot - Search & Destroy

SpywareBlaster 4.4

Unlocker 1.9.0

Update for Microsoft .NET Framework 3.5 SP1 (KB963707)

UsbFix By El Desaparecido & C_XX

WebFldrs XP

Windows Feature Pack for Storage (32-bit) - IMAPI update for Blu-Ray

Windows Genuine Advantage Validation Tool (KB892130)

Windows Live Call

Windows Live Communications Platform

Windows Live Essentials

Windows Live Messenger

==== End Of File ===========================

:joia: t+

Renato Utsch · Dezembro 16, 2010

Eeeh, deu pra ver que você tentou muita coisa mesmo ;D

Bom, vamos fazer umas coisinhas:

<< 1 >>

Faça o download do FindyKill e salve no seu desktop (área de trabalho).

Duplo clique em Setup.exe.
Digite p e tecle enter.
Digite 2 e tecle novamente enter para iniciar a remoção.
Clique em OK. Clique em OK novamente.
Atenção: Poderá surgir uma mensagem que seu computador será desligado.
NÃO REINICIE!!! O FindyKill irá reiniciar seu computador automaticamente.
Ao reiniciar o PC a ferramenta será executada automaticamente. Apenas aguarde, sem mover o mouse ou usar o teclado. Seja paciente, o escaneamento pode demorar.
Será aberto o log no bloco de notas automaticamente. O log também estará em C:\FindyKill.txt ou C:\FyK.txt.
Poste esse log na sua próxima resposta.

<< 2 >>

Vi que possui o HostsXpert instalado no seu computador.

Por favor, siga as instruções abaixo:

Faça o download do HostsXpert e salve em uma pasta própria (como C:\HostsXpert)

Extraia o arquivo .zip
Clique em Restore MS Hosts File.
OBSERVAÇÃO: Caso o HostsXpert reportar algum erro, clique em Make Writeable? e, após isso, clique em Restore MS Hosts File.

<< 3 >>

Poste um novo log do DDS.

Abraços :D

FaXP · Dezembro 20, 2010

Olá, como vai?

:( Num consigo abrir o link do findyKill nem no IE muito menos no Mozilla.

Tem certeza que o link está valido, andei dando uma busca pelo google e os links que encontrei tbem num consegui abrir.

Que faço agora??

To postando 3 imagens netstat da minha maquina pra você dar uma olhada. Abri 2 paginas do google em branco tanto no IE qto do mozilla e havia um monte de conexão, idem para Hotmail no IE, segue tbem imagem das conexões do MSN pelo Spy&Bot(aparece um IP 0.0.0.0 que num entendo o que é):

https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/MSN.jpg

https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/Hotmailaberto.JPG

https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/Mozilla.JPG

https://cid-e621203d0f213cb2.office.live.com/self.aspx/.Public/InternetExplorer.JPG

Aguardo instruções, um abraço.

Renato Utsch · Dezembro 20, 2010

Olá!

Executou o HostsXpert?

Humm... estranho... a sua conexão foi bloqueada pelo malware. Vou hospedar a última versão no meu host e te mando. Não mande esse link que vou te passar para outras, pessoas, pois não é o oficial! O oficial é o que passei no post acima. Envie ele caso for sugerir o mesmo para outras pessoas.

FindyKill Mirror [Version 5.052]

Mirror 2

Execute-o conforme as instruções acima.

Abraços :D

FaXP · Dezembro 21, 2010

Ola

:( "nem com reza brava" eu consigo executar os dois arquivos que me enviou, nem no Mozilla nem no IE. Esta é a informação que acusa:

! C:\Documents and Settings\User\Meus documentos\Downloads\Setup.zip: O arquivo está em formato desconhecido ou danificado

! Não foi possível executar "C:\DOCUME~1\User\CONFIG~1\Temp\Rar$EX00.765\Setup.exe"

Passei o BankerFix 3x e detecta IP malicioso encontrato no host 76.163.

Depois aparece isso em C:\WINDOWS\system32\drivers\etc:

hosts.20101220-150819.backup

hosts.20101221-081305.backup

hosts.20101217-155126.backup

hosts.20101217-154635.backup

Parece que tem algum programa de backup nessa maquina, tudo q excluo, volta. Ja desabilitei a restauração do sistema e não adiantou nada, hj assim q loguei, havia 83 conexões e eu havia aberto somente uma pagina em branco do Google.

:joia: Que luta companheiro, rs...Nem adianta me mandar o link do Combofix pq num funciona, detecta presença de rootkit, desliga a máquina, reinicia e o programa não roda.

Segue log novamente do DDSDDS

(Ver_10-12-12.02) - NTFSx86

Run by User at 14:52:25,75 on ter 21/12/2010

Internet Explorer: 8.0.6001.18702

Microsoft Windows XP Professional 5.1.2600.3.1252.55.1046.18.991.601 [GMT -2:00]

AV: Kaspersky Anti-Virus *Disabled/Updated* {2C4D4BC6-0793-4956-A9F9-E252435469C0}

============== Running Processes ===============

C:\WINDOWS\system32\svchost -k DcomLaunch

svchost.exe

C:\WINDOWS\System32\svchost.exe -k netsvcs

svchost.exe

C:\WINDOWS\system32\spoolsv.exe

svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\PSIService.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Arquivos de programas\Arquivos comuns\Java\Java Update\jusched.exe

C:\Arquivos de programas\Unlocker\UnlockerAssistant.exe

C:\Arquivos de programas\Arquivos comuns\Corel\Corel PhotoDownloader\Corel Photo Downloader.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Arquivos de programas\IncrediMail\Bin\ImApp.exe

C:\WINDOWS\system32\svchost.exe -k imgsvc

C:\Arquivos de programas\Windows Media Player\wmplayer.exe

C:\Arquivos de programas\IncrediMail\Bin\IncMail.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\User\Desktop\dds.scr

============== Pseudo HJT Report ===============

uStart Page = hxxp://www.google.com.br/

mDefault_Page_URL = about:blank

mStart Page = about:blank

mSearchAssistant = hxxp://www.google.com/

mCustomizeSearch = about:blank

mURLSearchHooks: H - No File

BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\arquivos de programas\arquivos comuns\adobe\acrobat\activex\AcroIEHelperShim.dll

BHO: Spybot-S&D IE Protection: {53707962-6f74-2d53-2644-206d7942484f} - c:\arquiv~1\spybot~1\SDHelper.dll

BHO: Search Helper: {6ebf7485-159f-4bff-a14f-b9e3aac4465b} - c:\arquivos de programas\microsoft\search enhancement pack\search helper\SearchHelper.dll

BHO: {dbc80044-a445-435b-bc74-9c25c1c588a9} - Java Plug-In 2 SSV Helper

TB: {472734EA-242A-422B-ADF8-83D1E48CC825} - No File