[Resolvido] &nbspComputador com virus

[Magro Costa 0]

Não consigo desativar meu anti virus...

Ele não aparece para excluir mas o combofix acusa que ele esta aberto....

[wings 22]

1.

Clique com o botão direito do mouse no ícone do Avast ao lado do relógio

Selecione "Pausar a proteção residente"

Clique [OK].

 

Caso não consiga, desinstale o antivírus.

[Magro Costa 0]

Do lado do relogio nao aparece...

Eu clico para abrir e o anti virus não abre...

Tentei desinstalar mas não vai, ele nem executa.

[wings 22]

*Baixe o aswclear e salve-o no desktop

 

*Reinicie o PC em Modo de Segurança

 

*Execute o aswclear e localize a pasta onde o Avast está instalado

 

*Clique [Remove] e reinicie o PC ao término

[Magro Costa 0]

Feito, segue o log:

 

 

ComboFix 12-06-15.06 - User 15/06/2012 17:47:40.1.2 - x86

Microsoft Windows XP Professional 5.1.2600.2.1252.55.1046.18.1406.990 [GMT -3:00]

Executando de: c:\documents and settings\User\Desktop\ComboFix.exe

.

ADS - system32: deleted 2 bytes in 1 streams.

ADS - drivers: deleted 216 bytes in 2 streams.

.

((((((((((((((((((((((((((((((((((((( Outras Exclusões )))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

C:\autorun.inf

c:\documents and settings\All Users\Dados de aplicativos\F5F271CC86.sys

c:\documents and settings\All Users\Dados de aplicativos\TEMP

c:\documents and settings\All Users\Dados de aplicativos\TEMP\gbplugin_ie_bb_setup.exe

c:\documents and settings\All Users\Dados de aplicativos\TEMP\gbplugin_mz_bb_setup.xpi

c:\documents and settings\All Users\Dados de aplicativos\TEMP\hdahelper.sys

c:\documents and settings\All Users\Documentos\Settings

c:\documents and settings\User\Dados de aplicativos\10.exe

c:\documents and settings\User\Dados de aplicativos\Desktopicon

c:\documents and settings\User\Dados de aplicativos\Desktopicon\config.ini

c:\documents and settings\User\Dados de aplicativos\Desktopicon\mc.ico

c:\documents and settings\User\WINDOWS

D:\autorun.inf

.

.

((((((((((((((((((((((((((((((((((((((( Drivers/Serviços )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Legacy_ASC3550P

-------\Legacy_ASCSERVICE

-------\Legacy_DRIVER

-------\Legacy_SYMAVC32

-------\Legacy_TASKMON.SYS

-------\Service_ASCService

.

.

(((((((((((((((( Arquivos/Ficheiros criados de 2012-05-15 to 2012-06-15 ))))))))))))))))))))))))))))

.

.

2012-06-15 20:14 . 2012-06-15 20:14 -------- d-----w- c:\documents and settings\Administrador\Configurações locais\Dados de aplicativos\Ahead

2012-06-15 17:22 . 2012-06-15 17:22 -------- dc----w- C:\_OTL

2012-06-14 13:13 . 2012-06-14 13:13 -------- d--h--w- c:\windows\system32\GroupPolicy

2012-06-13 16:34 . 2012-06-13 16:34 -------- d-----w- c:\documents and settings\User\Dados de aplicativos\Malwarebytes

2012-06-13 16:34 . 2012-06-13 16:34 -------- d-----w- c:\documents and settings\All Users\Dados de aplicativos\Malwarebytes

2012-06-13 16:34 . 2012-06-13 16:34 -------- dc----w- c:\arquivos de programas\Malwarebytes' Anti-Malware

2012-06-13 16:34 . 2012-04-04 18:56 22344 ----a-w- c:\windows\system32\drivers\mbam.sys

2012-06-13 14:39 . 2012-06-13 14:39 -------- d-----w- c:\documents and settings\User\Dados de aplicativos\TeamViewer

2012-06-13 14:39 . 2012-06-13 14:39 -------- dc----w- c:\arquivos de programas\TeamViewer

2012-06-02 17:37 . 2012-06-02 17:37 -------- dc----w- c:\arquivos de programas\Dropbox

2012-06-01 19:30 . 2012-06-01 19:30 1409 ----a-w- c:\windows\QTFont.for

.

.

.

((((((((((((((((((((((((((((((((((((( Relatório Find3M ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2012-06-14 16:24 . 2010-01-24 20:21 40960 ----a-r- c:\documents and settings\User\Dados de aplicativos\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\NewShortcut1_9559F7CA5E344237A2D9D856464AD727.exe

2012-06-14 16:24 . 2010-01-24 20:21 40960 ----a-r- c:\documents and settings\User\Dados de aplicativos\Microsoft\Installer\{9559F7CA-5E34-4237-A2D9-D856464AD727}\ARPPRODUCTICON.exe

2012-05-03 02:29 . 2011-10-27 00:45 97208 ----a-w- c:\arquivos de programas\mozilla firefox\components\browsercomps.dll

.

.

(((((((((((((((((((((((((( Pontos de Carregamento do Registro )))))))))))))))))))))))))))))))))))))))

.

.

*Nota* entradas vazias e legítimas por padrão não são apresentadas.

REGEDIT4

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]

@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]

2011-02-18 05:12 94208 ----a-w- c:\documents and settings\User\Dados de aplicativos\Dropbox\bin\DropboxExt.14.dll

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]

@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]

2011-02-18 05:12 94208 ----a-w- c:\documents and settings\User\Dados de aplicativos\Dropbox\bin\DropboxExt.14.dll

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]

@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]

2011-02-18 05:12 94208 ----a-w- c:\documents and settings\User\Dados de aplicativos\Dropbox\bin\DropboxExt.14.dll

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt4]

@="{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}"

[HKEY_CLASSES_ROOT\CLSID\{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}]

2011-02-18 05:12 94208 ----a-w- c:\documents and settings\User\Dados de aplicativos\Dropbox\bin\DropboxExt.14.dll

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\arquivos de programas\Arquivos comuns\Ahead\lib\NMBgMonitor.exe" [2005-12-16 94208]

.

c:\documents and settings\User\Menu Iniciar\Programas\Inicializar\

Dropbox.lnk - c:\documents and settings\User\Dados de aplicativos\Dropbox\bin\Dropbox.exe [2012-5-24 27112840]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ GbPluginBb]

2011-08-08 14:22 1692960 ----a-w- c:\arquivos de programas\GbPlugin\gbieh.dll

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute REG_MULTI_SZ autocheck autochk *\0aswBoot.exe /M:8866dcc53b8

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"AntiVirusOverride"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"FirewallDisableNotify"=dword:00000001

"FirewallOverride"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"UacDisableNotify"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Documents and Settings\\User\\Dados de aplicativos\\Dropbox\\bin\\Dropbox.exe"=

.

R0 GbpKm;Gbp KernelMode;c:\windows\system32\drivers\gbpkm.sys [1/4/2010 08:08 44064]

R2 FirebirdGuardianDefaultInstance;Firebird Guardian - DefaultInstance;c:\arquivos de programas\Firebird\Firebird_2_1\bin\fbguard.exe [30/4/2010 23:16 81920]

R2 GbpSv;Gbp Service;c:\arquiv~1\GbPlugin\GbpSv.exe [1/4/2010 08:08 208672]

R2 npf;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [26/1/2010 23:09 50704]

R2 TeamViewer7;TeamViewer 7;c:\arquivos de programas\TeamViewer\Version7\TeamViewer_Service.exe [13/6/2012 11:39 2666880]

R3 FirebirdServerDefaultInstance;Firebird Server - DefaultInstance;c:\arquivos de programas\Firebird\Firebird_2_1\bin\fbserver.exe [30/4/2010 23:16 2732032]

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

wzbuzemwv

.

Conteúdo da pasta 'Tarefas Agendadas'

.

.

------- Scan Suplementar -------

.

uStart Page = hxxp://www.google.com

mStart Page = hxxp://www.google.com

uInternet Settings,ProxyOverride = *.local

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: E&xportar para o Microsoft Excel - c:\arquiv~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

IE: Free YouTube Download - c:\documents and settings\User\Dados de aplicativos\DVDVideoSoftIEHelpers\youtubedownload.htm

IE: Search the Web - c:\arquivos de programas\SweetIM\Toolbars\Internet Explorer\resources\menuext.html

Trusted Zone: bancobrasil.com.br\www

Trusted Zone: bancobrasil.com.br\www14

Trusted Zone: bancobrasil.com.br\www2

Trusted Zone: bb.com.br\www

Trusted Zone: com.br\www.bancobrasil

Trusted Zone: com.br\www.bb

Trusted Zone: com.br\www14.bancobrasil

Trusted Zone: com.br\www2.bancobrasil

TCP: DhcpNameServer = 10.0.1.1

FF - ProfilePath - c:\documents and settings\User\Dados de aplicativos\Mozilla\Firefox\Profiles\s11ozi7m.default\

FF - prefs.js: browser.search.selectedEngine - Search the web (Babylon)

FF - prefs.js: browser.startup.homepage - www.google.com.br

FF - prefs.js: keyword.URL - hxxp://search.sweetim.com/search.asp?src=2&crg=3.1010000&q=

FF - user.js: extensions.BabylonToolbar_i.babTrack - affID=101416

FF - user.js: extensions.BabylonToolbar_i.babExt -

FF - user.js: extensions.BabylonToolbar_i.srcExt - ss

FF - user.js: extensions.BabylonToolbar_i.id - 704218fa0000000000000019d12ca2b1

FF - user.js: extensions.BabylonToolbar_i.hardId - 704218fa0000000000000019d12ca2b1

FF - user.js: extensions.BabylonToolbar_i.instlDay - 15436

FF - user.js: extensions.BabylonToolbar_i.vrsn - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsni - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsnTs - 1.5.3.1723:46

FF - user.js: extensions.BabylonToolbar_i.prtnrId - babylon

FF - user.js: extensions.BabylonToolbar_i.prdct - BabylonToolbar

FF - user.js: extensions.BabylonToolbar_i.aflt - babsst

FF - user.js: extensions.BabylonToolbar_i.smplGrp - none

FF - user.js: extensions.BabylonToolbar_i.tlbrId - tb9

FF - user.js: extensions.BabylonToolbar_i.instlRef - sst

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2012-06-15 17:55

Windows 5.1.2600 Service Pack 2 NTFS

.

Procurando processos ocultos ...

.

Procurando entradas auto inicializáveis ocultas ...

.

Procurando ficheiros/arquivos ocultos ...

.

Varredura completada com sucesso

arquivos/ficheiros ocultos: 0

.

**************************************************************************

.

--------------------- DLLs Carregadas Sob os Processos em Execução ---------------------

.

- - - - - - - > 'winlogon.exe'(544)

c:\arquivos de programas\GBPLUGIN\gbieh.dll

c:\windows\system32\Ati2evxx.dll

.

- - - - - - - > 'explorer.exe'(3168)

c:\documents and settings\User\Dados de aplicativos\Dropbox\bin\DropboxExt.14.dll

c:\arquivos de programas\GBPLUGIN\gbieh.dll

c:\windows\system32\msi.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Outros Processos em Execução ------------------------

.

c:\arquivos de programas\Bonjour\mDNSResponder.exe

c:\arquivos de programas\Java\jre6\bin\jqs.exe

c:\arquivos de programas\Arquivos comuns\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe

c:\arquivos de programas\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

c:\arquivos de programas\Arquivos comuns\Ulead Systems\DVD\ULCDRSvr.exe

c:\arquivos de programas\TeamViewer\Version7\TeamViewer.exe

c:\windows\system32\wscntfy.exe

c:\arquivos de programas\TeamViewer\Version7\tv_w32.exe

.

**************************************************************************

.

Tempo para conclusão: 2012-06-15 17:59:56 - Máquina reiniciou

ComboFix-quarantined-files.txt 2012-06-15 20:59

.

Pré-execução: 17 pasta(s) 25.195.352.064 bytes disponíveis

Pós execução: 19 pasta(s) 25.001.738.240 bytes disponíveis

.

WindowsXP-KB310994-SP2-Pro-BootDisk-PTG.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

[spybotsd]

timeout.old=30

.

- - End Of File - - A8ED887A4A0AF8C91473929B75AD9271

[wings 22]

1.

*Verifique se já consegue acessar C:\

 

 

2.

*Abra o bloco de notas e cole nele as linhas em azul:

Firefox::

FF - prefs.js: browser.search.selectedEngine - Search the web (Babylon)

FF - user.js: extensions.BabylonToolbar_i.babTrack - affID=101416

FF - user.js: extensions.BabylonToolbar_i.babExt -

FF - user.js: extensions.BabylonToolbar_i.srcExt - ss

FF - user.js: extensions.BabylonToolbar_i.id - 704218fa0000000000000019d12ca2b1

FF - user.js: extensions.BabylonToolbar_i.hardId - 704218fa0000000000000019d12ca2b1

FF - user.js: extensions.BabylonToolbar_i.instlDay - 15436

FF - user.js: extensions.BabylonToolbar_i.vrsn - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsni - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsnTs - 1.5.3.1723:46

FF - user.js: extensions.BabylonToolbar_i.prtnrId - babylon

FF - user.js: extensions.BabylonToolbar_i.prdct - BabylonToolbar

FF - user.js: extensions.BabylonToolbar_i.aflt - babsst

FF - user.js: extensions.BabylonToolbar_i.smplGrp - none

FF - user.js: extensions.BabylonToolbar_i.tlbrId - tb9

FF - user.js: extensions.BabylonToolbar_i.instlRef - sst

*Salve o arquivo no desktop como CFScript.txt

 

*Arraste-o para o Combofix conforme ilustração abaixo:

 

 

*Enquanto o combofix estiver em execução, não use o mouse nem o teclado!!

 

*Cole o relatório apresentado

 

 

3.

*Execute o OTL

 

*Cole as linhas em azul no espaço abaixo de Exames Personalizados/Correções:

:OTL

FF - prefs.js..browser.search.defaultengine: "Ask.com"

FF - prefs.js..browser.search.defaultenginename: "Search the web (Babylon)"

FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"

FF - prefs.js..browser.search.selectedEngine: "Search the web (Babylon)"

 

:Commands

[RESETHOSTS]

*Clique [Consertar]

 

*Clique [OK]

 

*Cole o relatório apresentado

 

 

4.

*Baixe e instale o SP3

[Magro Costa 0]

Bom dia,

 

O combo fiz não apresentou o relatório.

Segue o relatório do OTL:

 

========== OTL ==========

Prefs.js: "Ask.com" removed from browser.search.defaultengine

Prefs.js: "Search the web (Babylon)" removed from browser.search.defaultenginename

Prefs.js: "Search the web (Babylon)" removed from browser.search.order.1

Prefs.js: "Search the web (Babylon)" removed from browser.search.selectedEngine

========== COMMANDS ==========

C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

 

OTL by OldTimer - Version 3.2.48.0 log created on 06182012_104751

 

Baixando o SP3

[wings 22]

Bom dia MagroCosta

 

 

Após instalar o SP3, informe se já consegue acessar C:\

[Magro Costa 0]

Boa tarde, sim já consigo acessar o C:.

 

Outra coisa é que meu Gerenciador de tarefas esta sem os menus acima, ele abre é só aparece a tela de finalizar uma tarefa....

 

Obrigado

[wings 22]

Outra coisa é que meu Gerenciador de tarefas esta sem os menus acima, ele abre é só aparece a tela de finalizar uma tarefa....

 

Para resolver isso, dê duplo clique na borda da janela.

 

 

Encerrando o seu caso.

 

 

1.

*Clique [iniciar] > [Executar] > digite: Gpedit.msc

 

*Clique [OK]

 

*Em Configuração do Computador, expanda Modelos Administrativos e clique em Sistema

 

*Clique com o botão direito do mouse em Desativar AutoExecutar e selecione Propriedades

 

*Selecione Desativado

 

*Na caixa abaixo de onde está escrito Desativar Executar automaticamente em: selecione Todas as unidades

 

*Clique em [Aplicar] > [OK]

 

*Reinicie o computador

 

 

 

2.

*Clique com o botão direito do mouse em Meu Computador e selecione Propriedades

 

*Clique em Restauração do Sistema

 

*Desmarque a opção Desativar Restauração do Sistema

 

*Clique [Aplicar] > [sim] > [OK]

 

 

3.

*Execute o OTL, clique [Limpeza] > [OK]

 

*O PC será reiniciado

 

 

4.

*Instale um antivírus. Sugiro Avast ou Avira

 

 

5.

*Instale o MalwareBytes

 

*Aguarde a atualização e o programa será aberto automaticamente

 

*Selecione [Verificação completa]

 

 

*Clique [Verificar] e selecione a partição onde o Windows está instalado ( C:\ )

 

*Clique [Verificar]

 

*Ao término, clique [OK] > [Ver Resultados] > [Remover Selecionados]

 

 

6.

*Limpe o cache do Java

 

 

7.

*Desinstale a versão antiga do Java

 

*Instale a nova versão do Java

 

 

8.

*Baixe o TFC (...de Old_Timer) e salve-o no Desktop (Área de Trabalho)

 

*Execute-o. Usuários do Windows Vista ou do Windows 7 devem clicar com o botão direito do mouse no arquivo e selecionar Executar como administrador

 

 

*Clique [start]

 

*Ao término, clique [Exit]

 

 

 

Um abraço

[Magro Costa 0]

Estou fazendo conforme, outra pergunta, tenho um outro pc aqui em casa, podemos verificar ele também??

Crio um novo tópico???

E muito obrigado pela paciência e pela ajuda.

Magro Costa.

[wings 22]

Estou fazendo conforme, outra pergunta, tenho um outro pc aqui em casa, podemos verificar ele também??

Crio um novo tópico???

Se o PC estiver com algum problema relacionado a malwares, crie um novo tópico.

 

 

Um abraço.

[wings 22]

PROBLEMA RESOLVIDO

 

Caso o autor necessite que o tópico seja reaberto basta enviar uma Mensagem Privada para um Moderador com um link para o tópico.

[wings 22]

Tópico reaberto por solicitação do usuário.

[Magro Costa 0]

Bom noite.

 

Depois de toda a trabalheira que dei a vocês com esse mundo de virus no PC do meu filho, fiz exatamente o que vocês sugeriram. Instalei e deixei ativo o Avast , e instalei o MalwareBytes.

Fiz também a atualização do Java conforme orientado. O PC ficou bem mais rápido do que estava não há dúvida alguma.

Depois disso passei o MalwareBytes e ele não encontrou nada de anormal. Daí resolvi fazer o Escaneamento completo do Sistema com o Avast e tive uma baita surpresa. Apareceram 71 arquivos infectados com o Win32:Sality novamente.

Nesse meio tempo, não coloquei nada (pen drive, HD externo, etc) nesse PC que pudesse estar contaminado anteriormente, o Avast nunca esteve “desativado” e o uso que fizemos dele foi digamos normal (meu guri usa pra trabalhos da faculdade e pesquisas na rede)

 

Veja a lista que o Avast me mostrou:

IMAGEM - CLIQUE AQUI

 

E agora? O vírus passou direto pelo Avast? O que faço?

 

Desculpem mas tô perdido aqui...

 

Abraços.

[wings 22]

O Sality é problemático mesmo....

 

Em alguns momentos a melhor e mais rápida saída é a formatação.

 

 

Vamos ver se conseguimos algum sucesso.

 

 

1.

*Desative temporariamente o seu antivírus

Clique com o botão direito do mouse no ícone do Avast ao lado do relógio

Selecione "Pausar a proteção residente"

Clique [OK].

 

 

2.

*Desative a Restauração do Sistema

*Clique com o botão direito do mouse em Meu Computador e selecione Propriedades

 

*Clique Restauração do Sistema

 

*Selecione a opção Desativar Restauração do Sistema

 

*Clique [Aplicar] > [sim] > [OK]

 

 

3.

*Refaça o procedimento do SalityKiller conforme orientei.

 

Segue o link do SalityKiller

 

*Caso não tenha sucesso na remoção, a saída é a formatação.

[wings 22]

PROBLEMA RESOLVIDO

 

Caso o autor necessite que o tópico seja reaberto basta enviar uma Mensagem Privada para um Moderador com um link para o tópico.