Help - Disk Knight Worm!!! Destruidor De Pens

Aftermath

Aftermath

Power Member
Ja não consigo ligar ao meu pc 2 pens, como?
nao sei, só sei que quando cheguei a cas com a pen de uma amiga minha que queria que eu lhe desse uma musica, o meu kaspersky acusou um worm, nela que se chamava knight.
Agora tento ligar a pen dela e n consigo em mais nenhum pc ca em casa, e ja tb n consigo na minha...
O meu antivirus n acusa nada no scan mas parece que ha mais pessoas com o meu problema. pesquisem na net. Ajudem-me!!!!!

disk knight parece ser o nome do virus, ou worm ou o ca**** que o lixe.
ALGUEM???
plz
 
Também apanhei esse 'virus' na minha pen e nos PC's. A remoção é relativamente fácil, basta apagar uns ficheiros.
 
Última edição pelo moderador:
mas eu n percebo nada do qua aqui diz, eu sei mais ao menos de computadores soq ue estes termos brasileiros. "clique no botao sobre a drive USB" ? que drive? (no my computer n me aparece a pen quando a meto no pc...)
 
Para ser mais correcto: o que me aparece no windows é ao pé do relogio a dizer "Dispositivo de USB nao reconhecido".
pod ser outra coisa?
Ideias?

plz help
 
eu tambem apanhei esse "worm", mas o engraçado é que segui os passos desse guia e nao encontrei nenhum dos files que ele fala ( e sim eu mudei nas ferramentas para ver todos os ficheiros ate aqueles que diz la recomendado nao ver eu meti pa ver) :/ alguem tem outra soluçao? é que eu uso este pc pa faculdade e nao me apetecia nada agora formatar e instalar de novo :/
 
Última edição:
ia programa excelente mesmo obrigado, mas e quanto ao apagar o disk knight k se encontra no pc? é que se eu calho a nao reparar que ele se activou e nao faço terminar processo a ele o computador passado uns segundos para logo :S , eu ja andei a pesquisar no google que tinha de apagar uns files mas fui a procura desses files e nao os encontrei :/ ha algum programa super facil de utilizar para resolver o problema do disk knight k esta no pc?=) ou pronto nem que seja uma maneira complicada cheia de passsos, preciso mesmo é de uma soluçao :)
 
Tente este programa:
http://www.softpedia.com/get/Security/Secure-cleaning/Autorun-Eater.shtml

Se não resultar... Descarregue o HijackThis v. 2.0.2 daqui (use o installer):
 http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

 Instale e arranque o programa usando o ícone criado no ambiente de trabalho.

 Clique Do a System Scan and Save a Log File.

 Quando o scan acabar será criado um ficheiro de texto com o seu log.

 Coloque aqui o log do HjackThis, mas não tente usar o HJT para qualquer limpeza sem ajuda.

 Logo que coloque o log e veremos como prosseguir.

 Boa sorte,

 Zee
 
muito obrigado pela ajuda, mas visto que a primeira opçao nao resultou, deixo aqui o log da segunda opçao :)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:25:30, on 31-10-2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.20733)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\Knight.exe
C:\Program Files\Lexmark 3400 Series\lxcymon.exe
C:\Program Files\Lexmark 3400 Series\ezprint.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Documents and Settings\pulups\Local Settings\Application Data\Google\Update\GoogleUpdate.exe
C:\Program Files\tmn\tmn\tmn.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\IoctlSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Hewlett-Packard\Shared\hpqWmiEx.exe
C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
C:\WINDOWS\system32\lxcycoms.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Program Files\Adobe\/Adobe Contribute CS3/contributeieplugin.dll
O3 - Toolbar: Lexmark Barra de ferramentas - {1017A80C-6F09-4548-A84D-EDD6AC9525F0} - C:\Program Files\Lexmark Toolbar\toolband.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [Adobe_ID0EYTHM] C:\PROGRA~1\COMMON~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [Disk Knight] C:\WINDOWS\Knight.exe
O4 - HKLM\..\Run: [lxcymon.exe] "C:\Program Files\Lexmark 3400 Series\lxcymon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 3400 Series\ezprint.exe"
O4 - HKLM\..\Run: [LXCYCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCYtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\pulups\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [avp] C:\RECYCLER\S-1-5-21-3981619581-8096447585-845258714-3447\hdav.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Tango Patcher 2600 Reloader.lnk = C:\WINDOWS\Tango Patcher 2600\Reloader.exe
O4 - Global Startup: tmn.lnk = C:\Program Files\tmn\tmn\tmn.exe
O8 - Extra context menu item: Append to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: liwoia.dll ubyhjv.dll
O23 - Service: Adobe Version Cue CS3 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS3\Server\bin\VersionCueCS3.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqWmiEx.exe
O23 - Service: lxcy_device - - C:\WINDOWS\system32\lxcycoms.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

--
End of file - 9210 bytes
 
Última edição:
Descarregue e instale os seguintes programas:

A versão Slim do CCleaner (sem toolbar, em Inglês):
http://www.ccleaner.com/download/builds.aspx

SUPERAntiSpyware FREE

Depois de instalados os programas acima, reinicie em Modo de Segurança depois de pressionar F8 ao arrancar o sistema, faça um scan com o HJT e seleccione as seguintes entradas para limpar com o HJT (clique no quadradinho à esquerda de cada uma):

O4 - HKLM\..\Run: [Disk Knight] C:\WINDOWS\Knight.exe
O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b
O4 - HKCU\..\Run: [avp] C:\RECYCLER\S-1-5-21-3981619581-8096447585-845258714-3447\hdav.exe
O20 - AppInit_DLLs: liwoia.dll ubyhjv.dll

 Faça a limpeza clicando em Fix checked, confirme se necessário e encerre o HJT.

 Reinicie o sistema de novo em Modo de Segurança.

Assegure-se que pode ver todas as pastas e ficheiros, e apague o ficheiro:

 C:\WINDOWS\Knight.exe
Arranque com o CCleaner usando o ícone no ambiente de trabalho, seleccione todas as entradas nos separadores Windows e Applications e clique no botão Run cleaner.

Terminada a limpeza reinicie o sistema em Modo Normal.

Arranque o SUPERAntiSpyware utilizando o ícone criado no ambiente de trabalho.

Actualize as definições clicando no botão Check for Updates...

Terminada a actualização clique em Preferences, depois no separador Scanning Control, em Scanner Options, assegure-se que selecciona

- Close browsers before scanning.
- Scan for tracking cookies.
- Terminate memory threats before quarantining.

E desmarque todos os outros. Agora clique em Close para sair deste menu.

Clique em Scan your Computer..., seleccione Perform Complete Scan, clique em Next e aguarde pacientemente até lhe ser apresentado um relatório dos itens encontrados. Clique em OK e Next para confirmar a limpeza.

Encerre o programa, reinicie o PC e teste.

Diga-nos se resultou.

Zee
 
eu vou tentar mas agora fiquei com medo, qual é o motivo de ter de iniciar em mode de segurança? ha possibilidade de perder algum ficheiro? é que eu tenho aqui documentos importantes, devo fazer backup?
 
pulups disse:
eu vou tentar mas agora fiquei com medo, qual é o motivo de ter de iniciar em mode de segurança? ha possibilidade de perder algum ficheiro? é que eu tenho aqui documentos importantes, devo fazer backup?
Clicar para expandir...
Modo de Segurança é para permitir a limpeza de alguma entrada que em Modo Normal esteja activa e seja, por isso, de difícil eliminação.

Se seguir as instruções não há risco nenhum e o próprio HJT faz backups do que é limpo.

Não afecta nenhuns ficheiros, documentos ou dados.
 
Até agora está a resultar na perfeição :D muito obrigado

Só este file é que nao encontrei O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b é que quando estava em modo de segurança a utilizar o hijackthis como me explicou
 
pulups disse:
Até agora está a resultar na perfeição :D muito obrigado

Só este file é que nao encontrei O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b é que quando estava em modo de segurança a utilizar o hijackthis como me explicou
Clicar para expandir...
Óptimas notícias.

Arranque o HJT em Modo Normal e confirme se essa entrada existe ou não.

Se ainda lá estiver, limpe-a em Modo Normal, reinicie o PC e reconfirme se ela desapareceu.

Zee
 
estive a confirmar como disse e não não está ca ( será esquesito?) , mas o que interessa é que esta tudo a funcionar perfeitamente, o computador depois disto ja nao bloqueou vez nenhuma e nao ha sinais do disk knight =D
muito obrigado pela sua ajuda =)
 
pulups disse:
estive a confirmar como disse e não não está ca ( será esquesito?) , mas o que interessa é que esta tudo a funcionar perfeitamente, o computador depois disto ja nao bloqueou vez nenhuma e nao ha sinais do disk knight =D
muito obrigado pela sua ajuda =)
Clicar para expandir...
Então está tudo bem!
:beerchug:
 
Inicie sessão ou registe-se para poder participar.
Back
Topo