PC com infecção

Vai uns logs para verificação, esse PC possui algumas infecção.

Segue anexo a sequencia usada, o ultimo aplicativo que usei foi o ZHP.

Boa Tarde! luizvilarinho

> Execute este script na ferramenta ZHPFix.
> Selecione e copie estas informações que estão em vermelho,para o Bloco de Notas.
> Com o Bloco de Notas aberto,faça: ctrl+a >> ctrl+c ( Selecionar e Copiar )
> À seguir,minimize o Bloco de Notas.

Script ZHPFix
FirewallRaz
EmptyCLSID
EmptyPrefetch
EmptyTemp
EmptyFlash
[MD5.00000000000000000000000000000000] [APT] [{DA872A20-9150-469D-9892-4F2193AADD5C}] (...) -- F:\DeviceSetup.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [{E6CF910B-F747-4B9F-B292-E871A41D2880}] (...) -- F:\3G HSDPA Modem\DeviceSetup.exe (.not file.)   [0]
O3 - Toolbar\WebBrowser: (no name) - [HKCU]{21FA44EF-376D-4D53-9B0F-8A89D3229068} Chave orfã
O4 - HKCU\..\Run: [7033] . (...) -- C:\Users\uespi\AppData\Roaming\662\7033.js
O44 - LFC:[MD5.0691AB71FB781D5A755F6DC9B1493131] - 28/09/2014 - 12:20:16 ---A- . (...) -- C:\zoek-results.log   [14858]
O44 - LFC:[MD5.F046D6B5FD40D0C4EFF7B526BE8C6635] - 28/09/2014 - 13:31:29 ---A- . (...) -- C:\Windows\System32\spsys.log   [82984]
O51 - MPSK:{2e1f8cad-6cf9-11df-92ab-0023aeb98e5d}\AutoRun\command. (...) -- C:\Windows\system32\pjSieQ.exe (.not file.)
O51 - MPSK:{8a2805a3-6a02-11e0-a20d-0023aeb98e5d}\AutoRun\command. (...) -- H:\Windows\Install.exe (.not file.)
O51 - MPSK:{02171d95-dd4f-11df-95af-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{0d7eb4a9-7341-11df-b94d-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{0d7eb4ac-7341-11df-b94d-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{1078cf7f-3c49-11df-a06a-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{1121593c-d70e-11df-8670-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{3efc87b3-b94d-11e0-b26d-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{47386478-b08c-11df-8823-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{47c5518b-6e2f-11df-9d43-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{4d7d5a8a-638c-11df-bfbf-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{58c00b80-5e0b-11df-92b6-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{5b089303-f1e1-11df-b1ba-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{5cc69139-aefd-11df-98f9-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{5cc6913a-aefd-11df-98f9-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{721950c8-7f8a-11df-b316-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{7a94a7ee-8828-11df-aa58-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{995f747c-740b-11df-9969-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{9999ca65-94bb-11df-8bfc-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{a7fc55fa-a46b-11df-95f1-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{a7fc562b-a46b-11df-95f1-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{b3776e9b-8947-11df-91fa-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{c08f3ee9-b45a-11e0-98d3-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{c08f3ef5-b45a-11e0-98d3-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{c08f3f07-b45a-11e0-98d3-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{c16b6942-93f0-11df-aabe-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{d7cb4912-d201-11df-b7a7-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{d7cb4922-d201-11df-b7a7-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{e5e67886-a3d3-11e0-ba87-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{e5e678ab-a3d3-11e0-ba87-0023aeb98e5d}\AutoRun\command - Chave orfã
O51 - MPSK:{f035b781-a7c3-11e0-9497-0023aeb98e5d}\AutoRun\command - Chave orfã
C:\Users\uespi\AppData\Roaming\662\7033.js
C:\Users\uespi\AppData\Roaming\662

> Abra a ferramenta ZHPFix. < [Tens de ter uma conta e sessão iniciada para poderes visualizar esta imagem] >
> Clique IMPORTAÇÃO >> OK.
>  Ps: Ao clicar "OK",verifique se o campo está limpo para que receba,somente,as informações do script.
> Clique "GO".
> Poste o relatório!

A+

Está apresentando uma mensagem de erro vai imagem anexo.

Olá!

> É porque veio outras informações além do script.
> Remova o script e cole,novamente,mas observe se as informações da imagem que me enviou,vai junto ao script.
> O campo tem que estar limpo,ao colar o script.

A+

Rapport de ZHPFix 2014.9.16.7 par Nicolas Coolman, Update du 16/09/2014
Fichier d'export Registre :
Run by uespi at 28/09/2014 15:04:48
High Elevated Privileges : OK
Windows Vista Business Edition, 64-bit Service Pack 2 (Build 6002)

Reciclagem vazia (00mn 02s)
Prefetcher vazio

========== Chaves do Registo ==========
ELIMINÉ CLSID MPSK: {2e1f8cad-6cf9-11df-92ab-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {8a2805a3-6a02-11e0-a20d-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {02171d95-dd4f-11df-95af-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {0d7eb4a9-7341-11df-b94d-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {0d7eb4ac-7341-11df-b94d-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {1078cf7f-3c49-11df-a06a-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {1121593c-d70e-11df-8670-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {3efc87b3-b94d-11e0-b26d-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {47386478-b08c-11df-8823-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {47c5518b-6e2f-11df-9d43-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {4d7d5a8a-638c-11df-bfbf-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {58c00b80-5e0b-11df-92b6-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {5b089303-f1e1-11df-b1ba-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {5cc69139-aefd-11df-98f9-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {5cc6913a-aefd-11df-98f9-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {721950c8-7f8a-11df-b316-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {7a94a7ee-8828-11df-aa58-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {995f747c-740b-11df-9969-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {9999ca65-94bb-11df-8bfc-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {a7fc55fa-a46b-11df-95f1-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {a7fc562b-a46b-11df-95f1-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {b3776e9b-8947-11df-91fa-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {c08f3ee9-b45a-11e0-98d3-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {c08f3ef5-b45a-11e0-98d3-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {c08f3f07-b45a-11e0-98d3-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {c16b6942-93f0-11df-aabe-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {d7cb4912-d201-11df-b7a7-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {d7cb4922-d201-11df-b7a7-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {e5e67886-a3d3-11e0-ba87-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {e5e678ab-a3d3-11e0-ba87-0023aeb98e5d}
ELIMINÉ CLSID MPSK: {f035b781-a7c3-11e0-9497-0023aeb98e5d}

========== Valores do Registo ==========
Ausente Valor Perfil Domínio FirewallRaz :
ELIMINÉ: FirewallRaz (None) : {BC2C6A29-3433-488F-8D29-A81CCB6C32CD}
ELIMINÉ: Toolbar: {21FA44EF-376D-4D53-9B0F-8A89D3229068}
ELIMINÉ RunValue: 7033

========== Pastas ==========
Nenhuma pasta CLSID local utilizador vazia
ELIMINÉ Temporários windows (10)
ELIMINÉ Flash Cookies (3)
ELIMINÉ: c:\users\uespi\appdata\roaming\662

========== Ficheiros ==========
ELIMINÉ Temporários windows (11) (318.652 octets)
ELIMINÉ Flash Cookies (0) (0 octets)
ELIMINÉ: c:\zoek-results.log
ELIMINA REINICIAR: c:\windows\system32\spsys.log

========== Tarefa planificada ==========
ELIMINÉ: {DA872A20-9150-469D-9892-4F2193AADD5C}
ELIMINÉ: {E6CF910B-F747-4B9F-B292-E871A41D2880}


========== Recapitulativo ==========
31 : Chaves do Registo
4 : Valores do Registo
4 : Pastas
4 : Ficheiros
2 : Tarefa planificada


End of clean in 00mn 20s

========== Caminho do ficheiro do relatório ==========
C:\Users\uespi\AppData\Roaming\ZHP\ZHPFix[R1].txt - 28/09/2014 15:04:54 [3189]

Boa Tarde! luizvilarinho

> Teve infecção via pendrive,em sua máquina! Caso tenha o pendrive em mãos,leia as observações quanto à desligar o autorun.
>
> Baixe:  [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
>
> Salve-a no desktop!
> Abra a ferramenta UsbFix >> Clique: Opções

[Tens de ter uma conta e sessão iniciada para poderes visualizar esta imagem]

> Marque a caixa "Desativar Autorun/AutoPlay".
> Clique "Aplicar".
> Insira,agora,seu pendrive infectado e na tela principal da ferramenta,clique "Limpar".
> Poste o relatório!

A+

Não foi meu pendrive e não sei o de quem infectou ele pois muitas pessoas devem ter utilizado o PC. Devo usar o USB Fix mesmo sem pendrive?

luizvilarinho escreveu:Não foi meu pendrive e não sei o de quem infectou ele pois muitas pessoas devem ter utilizado. Devo usar o USB Fix mesmo sem pendrive?

Olá!

Sim! Pode utilizar.

A+

Demorei pois minha conexão ficou ruim, mas dei um jeito. Segue.

############################## | UsbFix V 7.182 | [Limpar]

Usuário: uespi (Administrador) # UESPI-PC1
Atualizado em 14/09/2014 por El Desaparecido - SosVirus
Começou em 16:26:57 | 28/09/2014

Site : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
Changelog : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
Asistencia : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
Upload Malware : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
Detecção en vivo : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
Contato : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]

################## | System information |

MB: Dell Inc. (0R230R)
CPU: Intel(R) Core(TM)2 Duo CPU E7500 @ 2.93GHz
RAM -> [Total : 1979 Mo | Free : 712 Mo]
Bios: Dell Inc.
Boot: Normal boot

OS: Microsoft™ Windows (TM) Vista Business (6.0.6002 64-Bit) Service Pack 2
WB: Internet Explorer : 7.00.6000.16386
WB: Mozilla Firefox : 32.0.3

################## | Security Information |

AS: Malwarebytes Anti-Malware : 2.0.2.1012
FW: Windows Firewall [(!) Não ativo]
SC: Security Center [(!) Não ativo]
WU: Windows Update [Ativo]

################## | Disk Information |

C:\ (%SystemDrive%) -> Disco fixo # 147 Gb (84 Gb livre - 57%) [UESPI] # NTFS
D:\ -> Disco fixo # 2 Gb (998 Mb livre - 49%) [RECOVERY] # NTFS
F:\ -> Disco removível # 4 Gb (4 Gb livre - 100%) [ CARLOS] # FAT32

################## | Procura genérica |


(!) Ficheiros temporários suprimido. (3.0875883102417 MB)

################## | Registro |


################## | Regedit Run |

F2 - HKLM\..\Winlogon : [Shell] explorer.exe
F2 - [x64] HKLM\..\Winlogon : [Shell] explorer.exe
F2 - HKLM\..\Winlogon : [Userinit] userinit.exe,
F2 - [x64] HKLM\..\Winlogon : [Userinit] C:\Windows\system32\userinit.exe,
04 - HKCU\..\Run : [KiesPDLR] C:\Program Files (x86)\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe
04 - HKCU\..\Run : [WMPNSCFG] C:\Program Files (x86)\Windows Media Player\WMPNSCFG.exe
04 - HKLM\..\Run : [PCSuiteTrayApplication] c:\program files (x86)\nokia\nokia pc suite 6\launchapplication.exe -startup
04 - HKLM\..\Run : [AvastUI.exe] "C:\Program Files\Alwil Software\Avast5\AvastUI.exe" /nogui
04 - HKU\S-1-5-19\..\Run : [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem
04 - HKU\S-1-5-19\..\Run : [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
04 - HKU\S-1-5-20\..\Run : [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem
04 - HKU\S-1-5-20\..\Run : [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
04 - HKU\S-1-5-21-534425044-1199858176-912634614-1000\..\Run : [KiesPDLR] C:\Program Files (x86)\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe
04 - HKU\S-1-5-21-534425044-1199858176-912634614-1000\..\Run : [WMPNSCFG] C:\Program Files (x86)\Windows Media Player\WMPNSCFG.exe
04 - HKU\S-1-5-18\..\Run : [Nokia.PCSync] C:\Program Files (x86)\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog

################## | UsbFix - Informação |

Info : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
Info : [Tens de ter uma conta e sessão iniciada para poderes visualizar este link]

################## | Hijack |


################## | Vaccin |

C:\Autorun.inf -> Vacina criada por UsbFix (El Desaparecido)
D:\Autorun.inf -> Vacina criada por UsbFix (El Desaparecido)
F:\Autorun.inf -> Vacina criada por UsbFix (El Desaparecido)

################## | E.O.F | [Tens de ter uma conta e sessão iniciada para poderes visualizar este link] | [Tens de ter uma conta e sessão iniciada para poderes visualizar este link] |

Boa Noite! luizvilarinho

> Baixe: |[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]| ( ... de Xplode )

[Tens de ter uma conta e sessão iniciada para poderes visualizar esta imagem]

> Estando na página,clique em Download Now. 
> Salve-a em um local conveniente! ( desktop! )
> Feche aplicativos que estejam abertos.

[Tens de ter uma conta e sessão iniciada para poderes visualizar esta imagem]

> Com as caixinhas marcadas,clique Executar!
> Tudo OK?

Abs!

Problemas resolvidos, podemos arquivar o tópico.

Caso Resolvido

Caso o autor do tópico necessite, o mesmo será reaberto, para isso deverá entrar em contato com um dos membros da [Tens de ter uma conta e sessão iniciada para poderes visualizar este link] solicitando o desbloqueio.