[Arquivado] Me infectei com backdoor.bot no explore.exe

[daniel.moura 0]

Pessoal, acho que ou o malwerebytes ou o bankerfix conseguiu remover. Depois de três tentativas o malware sumiu. No quarto scan nenhum dos dois detectou mais...

 

Olá, como o título do tópico já diz, o arquivo explore.exe se encontra infectado com o backdoor.bot. 

Quem detectou a princípio foi o Malwarebytes, que pediu para reiniciar o computador e supostamente enviou para a quarentena, mas ao reiniciar a varredura, encontra o backdoor novamente. Vou colocar o relatório aqui... Também baixar o HijackThis.exe, será o segundo relatório postado aqui e para finalizar executei também o Banckerfix, será o terceiro relatório. 

Não consigo remover e peço a ajuda de vocês. Uso o windows 10 e quase todos os softwares usados em outros tópicos é incompatível.

Citar

Malwarebytes
www.malwarebytes.com

-Detalhes de registro-
Data da análise: 24/08/17
Hora da análise: 13:20
Arquivo de registro: relatorio malwarebytes.txt
Administrador: Sim

-Informação do software-
Versão: 3.0.6.1469
Versão de componentes: 1.0.75
Versão do pacote de definições: 1.0.2652
Licença: Premium

-Informação do sistema-
Sistema operacional: Windows 10
CPU: x64
Sistema de arquivos: NTFS
Usuário: DESKTOP-FDJJHF1\Daniel Moura

-Resumo da análise-
Tipo de análise: Análise de Ameaças
Resultado: Concluído
Objetos verificados: 375277
Tempo decorrido: 5 min, 2 seg

-Opções da análise-
Memória: Habilitado
Inicialização: Habilitado
Sistema de arquivos: Habilitado
Arquivos compactados: Habilitado
Rootkits: Habilitado
Heurística: Habilitado
PUP: Habilitado
PUM: Habilitado

-Detalhes da análise-
Processo: 3
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\DOWNLOADS\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE\u00c2\u00a0, Quarentena, [700], [77941],1.0.2652
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\DOWNLOADS\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE, Quarentena, [700], [77941],1.0.2652
Backdoor.Agent.Generic, C:\WINDOWS\SYSTEM\EXPLORER.EXE, Quarentena, [638], [355551],1.0.2652

Módulo: 3
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\DOWNLOADS\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE\u00c2\u00a0, Quarentena, [700], [77941],1.0.2652
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\DOWNLOADS\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE, Quarentena, [700], [77941],1.0.2652
Backdoor.Agent.Generic, C:\WINDOWS\SYSTEM\EXPLORER.EXE, Quarentena, [638], [355551],1.0.2652

Chave de registro: 4
Backdoor.Agent.Generic, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\EXPLORER.EXE, Quarentena, [638], [355551],1.0.2652
Backdoor.Agent.Generic, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\EXPLORER.EXE, Quarentena, [638], [355551],1.0.2652
Backdoor.Agent.Generic, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SPOOLSV.EXE, Quarentena, [638], [355551],1.0.2652
Backdoor.Agent.Generic, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SPOOLSV.EXE, Quarentena, [638], [355551],1.0.2652

Valor de registro: 0
(Nenhum item malicioso detectado)

Dados de registro: 0
(Nenhum item malicioso detectado)

Fluxo de dados: 0
(Nenhum item malicioso detectado)

Pasta: 0
(Nenhum item malicioso detectado)

Arquivo: 20
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\DOWNLOADS\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE\u00c2\u00a0, Quarentena, [700], [77941],1.0.2652
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\DOWNLOADS\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE, Quarentena, [700], [77941],1.0.2652
Backdoor.Agent.Generic, C:\WINDOWS\SYSTEM\EXPLORER.EXE, Falha ao remover, [638], [355551],1.0.2652
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\TEMP\RAR$DRA0.812\MALWAREBYTES.PREMIUM.V3\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE\u00c2\u00a0, Quarentena, [700], [77941],1.0.2652
RiskWare.DontStealOurSoftware, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\TEMP\RAR$DRA0.812\MALWAREBYTES.PREMIUM.V3\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET\MALWAREBYTES_ANTI-MALWARE_KEYGEN_V1.5_URET.EXE, Quarentena, [700], [77941],1.0.2652
Backdoor.Agent.Generic, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\ICSYS.ICN.EXE, Quarentena, [638], [355551],1.0.2652
Backdoor.Agent.Generic, C:\WINDOWS\SYSTEM\SPOOLSV.EXE, Falha ao remover, [638], [355551],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_filmfanatic2.dl.tb.ask.com_0.localstorage, Quarentena, [259], [240306],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_filmfanatic2.dl.tb.ask.com_0.localstorage-journal, Quarentena, [259], [240306],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_gamingwonderland.dl.tb.ask.com_0.localstorage, Quarentena, [259], [240306],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_filmfanatic2.dl.myway.com_0.localstorage, Quarentena, [259], [240305],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_filmfanatic2.dl.myway.com_0.localstorage-journal, Quarentena, [259], [240305],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_radiorage.dl.tb.ask.com_0.localstorage, Quarentena, [259], [240306],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_radiorage.dl.tb.ask.com_0.localstorage-journal, Quarentena, [259], [240306],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_gamingwonderland.dl.myway.com_0.localstorage, Quarentena, [259], [240305],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_radiorage.dl.myway.com_0.localstorage, Quarentena, [259], [240305],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_radiorage.dl.myway.com_0.localstorage-journal, Quarentena, [259], [240305],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_translationbuddy.dl.myway.com_0.localstorage, Quarentena, [259], [240305],1.0.2652
PUP.Optional.CrossRider, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\https_d19tqk5t6qcjac.cloudfront.net_0.localstorage, Quarentena, [219], [256629],1.0.2652
PUP.Optional.MindSpark, C:\USERS\DANIEL MOURA\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\LOCAL STORAGE\http_free.gamingwonderland.com_0.localstorage, Quarentena, [259], [370343],1.0.2652

Setor físico: 0
(Nenhum item malicioso detectado)

(end)

 

[daniel.moura 0]

Não consegui colocar a citação do hijackthis, acho que ficou longo...

 

Citar

BankerFix 3.5 VALKYRIE - Removedor de Bankers
Linha Defensiva | http://www.linhadefensiva.org
http://www.linhadefensiva.org/bankerfix/
-------------------------------------------------------
Data: 2017-08-30 - 22:10
-------------------------------------------------------
Lista de Definição: 2014-01-18-1 | CORE: 2012-08-22-6
=======================================================

Arquivo infectado detectado: C:\Windows\System32\explorer.exe
O arquivo só será removido quando o sistema for reiniciado

----- Fim -------------------------
 

hijackthis.log

[DigRam 144]

/_ Bom Dia! daniel.moura _\

 

Backdoor.Agent.Generic, C:\WINDOWS\SYSTEM\EXPLORER.EXE, Quarentena, [638], [355551],1.0.2652

---

---

O arquivo detectado pelo MBAM foi quarentenado,onde ao acessá-la você pode dispor do mesmo e enviá-lo ao Virus Total,para análise.

 

C:\WINDOWS\EXPLORER.EXE << Diretório correto ao arquivo!

 

Acredito ser malware já que o diretório ( System ),está incorreto ao explorer.exe.

Quanto ao BankerFix,leia abaixo o falso positivo ao explorer.exe,detectado na pasta System 32.

 

Para Windows 64 bits, Observação importantíssima!

Após baixar o BankerFix,não execute-o na primeira em que aparecer na tela. Feche a janela e abra-a,novamente,à partir do arquivo "Iniciar-BankerFix.vbs" que fica na pasta LinhaDefensiva,normalmente localizada na raiz de C:\.

Se você não fizer isso, o BankerFix irá detectar um vírus no arquivo Explorer.exe que na verdade não está no seu computador.

Você também não deve executar o BankerFix ,novamente,a partir do arquivo .exe que você baixou da internet. Use APENAS o Iniciar-Bankerfix.vbs.

 

Detalhes do problema


Os Windows em 64 bits têm um ambiente "falso" (virtualizado) para que programas 32 bits funcionem. O BankerFix não é um programa nem em 32 bits nem em 64 bits. Ele é compilado no run-time, por meio do Windows Scripting Host (WSH). Em outras palavras, o BankerFix é executado nativamente em 64 bits sem problema algum.

O instalador do BankerFix, no entanto, é um programa em 32 bits. Isso significa que o BankerFix, quando executado a partir do Instalador, será tratado como um software de 32 bits pelo Windows, o que fará com que ele não detecte as pragas corretamente em seu sistema.

O sintoma principal é a detecção do arquivo c:\Windows\system32\explorer.exe como vírus. Em um sistema que não está infectado, esse arquivo não existe. O BankerFix irá detectá-lo mesmo assim. Isso acontece porque o BankerFix na verdade estará lendo a pasta SysWOW64, onde esse arquivo existe. No entanto, o BankerFix não sabe disso, porque o ambiente, como já dito, é "virtualizado" para o programa.

Executar o BankerFix a partir do Iniciar-BankerFix, pelo Windows Explorer - que é um programa nativo, 64 bits - fará com que o BankerFix seja tratado como um programa 64 bits também e tudo deve funcionar normalmente.

Fonte: Altieres Rohr Para Windows 64 bits, Observação importantíssima!

[]s