Virus Win32/Virut

[vIzZeRdRiX]

Olá, meus executáveis estão praticamente todos infectados com o vírus Win32/Virut (uso o AVG), o que devo fazer?

Já passei o Malwarebytes e removi 1 trojan.

Malwarebytes' Anti-Malware 1.33

Versão do banco de dados: 1693

Windows 5.1.2600 Service Pack 2

27/04/2009 11:01:41

mbam-log-2009-04-27 (11-01-41).txt

Tipo de Verificação: Completa (C:\|)

Objetos verificados: 149255

Tempo decorrido: 41 minute(s), 11 second(s)

Processos da Memória infectados: 0

Módulos de Memória Infectados: 0

Chaves do Registro infectadas: 0

Valores do Registro infectados: 0

Ítens do Registro infectados: 0

Pastas infectadas: 0

Arquivos infectados: 1

Processos da Memória infectados:

(Nenhum ítem malicioso foi detectado)

Módulos de Memória Infectados:

(Nenhum ítem malicioso foi detectado)

Chaves do Registro infectadas:

(Nenhum ítem malicioso foi detectado)

Valores do Registro infectados:

(Nenhum ítem malicioso foi detectado)

Ítens do Registro infectados:

(Nenhum ítem malicioso foi detectado)

Pastas infectadas:

(Nenhum ítem malicioso foi detectado)

Arquivos infectados:

C:\WINDOWS\system32\E.tmp (Trojan.Agent) -> Quarantined and deleted successfully.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 11:49:27, on 27/04/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\ARQUIV~1\AVG\AVG8\avgwdsvc.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\CAIXA\SEFIP\IB6\Bin\IBGuard.EXE

C:\Arquivos de programas\Java\jre6\bin\jqs.exe

C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\VS7Debug\mdm.exe

C:\Arquivos de programas\Eset\nod32krn.exe

C:\Arquivos de programas\IDT\1192009185541\STacSV.exe

C:\ARQUIV~1\AVG\AVG8\avgrsx.exe

C:\ARQUIV~1\AVG\AVG8\avgnsx.exe

C:\WINDOWS\system32\svchost.exe

C:\ARQUIV~1\AVG\AVG8\avgemc.exe

C:\Arquivos de programas\AVG\AVG8\avgcsrvx.exe

C:\Arquivos de programas\CAIXA\SEFIP\IB6\Bin\IBServer.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Arquivos de programas\Eset\nod32kui.exe

C:\Arquivos de programas\Java\jre6\bin\jusched.exe

C:\ARQUIV~1\AVG\AVG8\avgtray.exe

C:\Arquivos de programas\IDT\WDM\sttray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\winmine.exe

C:\Arquivos de programas\Mozilla Firefox\firefox.exe

C:\Arquivos de programas\Nokia\Nokia PC Suite\LaunchApplication.exe

C:\Arquivos de programas\Nokia\Nokia PC Suite\OneTouchAccess.exe

C:\Arquivos de programas\Nokia\Nokia PC Suite\GetConnected.exe

C:\Arquivos de programas\Malwarebytes' Anti-Malware\mbam.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Arquivos de programas\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ig.com.br/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.compartilhando.org/

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Arquivos de programas\BitComet\tools\BitCometBHO_1.2.8.7.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Arquivos de programas\AVG\AVG8\avgssie.dll

O2 - BHO: (no name) - {6EF05952-B48D-4944-AA91-57A6A1A48EF8} - C:\Arquivos de programas\Puxa Rápido\IEBHO.DLL

O2 - BHO: Java Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Arquivos de programas\Java\jre6\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Arquivos de programas\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Arquivos de programas\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Arquivos de programas\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Arquivos de programas\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [AVG8_TRAY] C:\ARQUIV~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [sysTrayApp] %ProgramFiles%\IDT\WDM\sttray.exe

O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Arquivos de programas\Lexmark X1100 Series\lxbkbmgr.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [NokiaPCSuiteTray] "C:\Arquivos de programas\Nokia\Nokia PC Suite\LaunchApplication.exe" -startup

O4 - HKCU\..\Run: [msnmsgr] "C:\Arquivos de programas\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Arquivos de programas\DAEMON Tools Lite\daemon.exe" -autorun

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-19\..\Run: [MsnMsgr] "C:\Arquivos de programas\MSN Messenger\MsnMsgr.Exe" /background (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Arquivos de programas\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Arquivos de programas\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &B&aixar &com o BitComet - res://C:\Arquivos de programas\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &B&aixar todos os vídeos com o BitComet - res://C:\Arquivos de programas\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: &B&aixar tudo usando o BitComet - res://C:\Arquivos de programas\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Arquivos de programas\BitComet\tools\BitCometBHO_1.2.8.7.dll/206 (file missing)

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O14 - IERESET.INF: START_PAGE_URL=http://www.compartilhando.org/

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.MSN.com/binary/Messe...nt.cab56907.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.MSN.com/binary/MineS...er.cab56986.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{B6007772-F2E7-4486-92DC-34058D21124E}: NameServer = 200.227.128.21 200.227.128.20

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Arquivos de programas\AVG\AVG8\avgpp.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\ARQUIV~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\ARQUIV~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: InterbaseGuardian - Inprise Corporation - C:\Arquivos de programas\CAIXA\SEFIP\IB6\Bin\IBGuard.EXE

O23 - Service: InterbaseServer - Inprise Corporation - C:\Arquivos de programas\CAIXA\SEFIP\IB6\Bin\IBServer.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Arquivos de programas\Java\jre6\bin\jqs.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Arquivos de programas\Eset\nod32krn.exe

O23 - Service: Audio Service (STacSV) - IDT, Inc. - C:\Arquivos de programas\IDT\1192009185541\STacSV.exe

--

End of file - 7727 bytes

Olha, desculpa por este post duplicado, não foi minha intenção. Cliquei para enviar o novo tópico mas deu falha em minha conexão e a página não abriu, então pensei que o post não tivesse sido criado.

Editado Abril 27, 2009 por vIzZeRdRiX

[JackSSA]

Baixe Dr.WebCureIt e salve na sua área de trabalho:

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

• Execute o arquivo drweb-cureit.exe, clique em Iniciar e deixe que ele faça uma verificação expressa no seu pc (express scan).
• Ele vai escanear os arquivos que estão rodando na memória e quando ele encontrar algo, clique no botão yes para permitir que ele recupere o arquivo infectado.(Esse é um exame rápido)
• Quando o scan rápido terminar, clique em Opções > Alterar Definições . Na aba Verificação desmarque a opção Análise Heurística e confirme.
• De volta à janela principal, marque os drives que você deseja examinar, clicando uma vez sobre a unidade desejada.
• Selecione todos. Um ponto vermelho vai indicar os drives selecionados.
• Clique na seta verde para iniciar o exame, conforme a imagem abaixo:

• Se ele perguntar se você deseja curar/mover o arquivo, clique em Sim para todos.
• Quando o exame terminar, observe se o ícone "objetos encontrados" está habilitado. ->
• Se estiver, clique nele e então clique no ícone logo abaixo e selecione Mover incuráveis, como mostra a imagem abaixo:

• Caso o programa não possa curá-los, ele irá movê-los para a pasta Quarentena, no diretório do DoctorWeb.
• Feito isto, vá no menu superior e clique na opção Ficheiros > Guardar listas de arquivos
• Salve a lista na sua área de trabalho. A lista será salva como DrWeb.csv
• Feche o programa
• Reinicie seu computador para que o programa termine de deletar/mover os arquivos que estavam sendo usados.

Talvez seja preciso executar este procedimento mais de uma vez.

Se não funcionar, só resta a você a formatação de todo o sistema.

[vIzZeRdRiX]

no momento estou na faculdade

daqui a poucas horas estarei em casa e poderei fazer o que está descrito acima, mas antes disso gostaria de saber se "curar arquivos" significa apagá-los. porque apagar os executáveis é a mesma coisa que deixar o pc quase sem nd.

vlw

[JackSSA]

Se fosse para apagar os arquivos eu solicitaria a formatação.

O Cure IT vai tentar limpar os arquivos, recuperando e livrando-os da infecção.

[vIzZeRdRiX]

opa que bom que n vou perder os arquivos

em pouco tempo vou executar o programa

acho q os antivírus costumam apagar os arquivos, por isso perguntei, foi mais pra confirmar

vlw

Editado Abril 28, 2009 por vIzZeRdRiX

[vIzZeRdRiX]

Olá Jack, inicializei a verificação rápida e ao detectar o 1º vírus mandei limpá-lo. Logo em seguida fui verificar o executável que estava contaminado com este vírus e ele agora não pode ser executado (o icone mudou e agora está branco, como se não estivesse sendo reconhecido). Isso é o que acontece quando os antivírus removem o vírus, você clica no executável e não dá em nada (por falar nisso acho q me enganei lá em cima e disse que os antivírus removiam os arquivos).

Ah sim, não limpei os outros 59 executáveis infectados para evitar que eles ficassem inutilizáveis também.

Reiniciei o PC numa tentativa de q o executável voltasse ao normal, mas n deu em nada e apareceu uma msg "Generic Host Process for Win32 Services encontrou um problema e precisa ser fechado".

Mais 2 problemas: de vez em quando agora está abrindo automaticamente um site de cassino no meu navegador web!!! E também agora estou com trojans, eu os apago mas dps de algumas horas aparecem mais trojans!

Depois de apagar alguns trojans perdi meus pontos de restauração do sistema.

Editado Abril 29, 2009 por vIzZeRdRiX

[JackSSA]

Repita o procedimento indicado acima, se possível em Modo de Segurança. Caso contrário, salve seus documentos e fotos e formate completamente o PC.

[vIzZeRdRiX]

e qtn aos executáveis n funcionarem dps da remoção do vírus? n tem jeito?

[JackSSA]

A ferramenta irá tentar recuperar os arquivos. Caso contrário, a formatação ainda é a melhor alternativa para este caso.

Tente executar os procedimentos em modo de segurança.

[vIzZeRdRiX]

Rodei o programa e ele desinfectou alguns arquivos (e os outros, com certa dificuldade, consegui movê-los). Bom... agora está impossivel de se usar o windows porque muitos ".exe" importantes estavam infectados e foram movidos pra quarentena. Eu poderia tirá-los da quarentena mas o problema é q n tenho mais acesso ao programa porque o "explorer.exe" também foi movido. Nesse estado não dá pra salvar os outros arquivos que não estavam infectado (arquivos "não .exe").

:(

[JackSSA]

Infelizmente casos do Virut levam a este estado e os mesmos tem se tornado frequentes nas últimas semanas. A Dr.Web nem sempre consegue ser eficiente com ele. A comunidade internacional de Remoção de Malwares indica sempre a formatação em casos deste malware.

Tente restaurar o explorer.exe e verifique se o Explorer volta, assim você poderá tentar realizar os backups.

[vIzZeRdRiX]

Olá Jack, formatei o pc. Parece que o vírus foi exterminado. É verdade que é possível alguns vírus resistirem à formatação?

Vlw!

[JackSSA]

Se manteve algum .exe infectado em uma outra partição ou pen-drive é possível que o problema retorne. Caso contrário não há como haver novas infecções, por enquanto;