1. Este site usa cookies. Ao continuar a usar este site está a concordar com o nosso uso de cookies. Saber Mais.

Help - Disk Knight Worm!!! Destruidor De Pens

Discussão em 'Dúvidas e Suporte—Internet, Redes, Segurança' iniciada por Aftermath, 16 de Janeiro de 2008. (Respostas: 17; Visualizações: 1667)

  1. Aftermath

    Aftermath Power Member

    Ja não consigo ligar ao meu pc 2 pens, como?
    nao sei, só sei que quando cheguei a cas com a pen de uma amiga minha que queria que eu lhe desse uma musica, o meu kaspersky acusou um worm, nela que se chamava knight.
    Agora tento ligar a pen dela e n consigo em mais nenhum pc ca em casa, e ja tb n consigo na minha...
    O meu antivirus n acusa nada no scan mas parece que ha mais pessoas com o meu problema. pesquisem na net. Ajudem-me!!!!!

    disk knight parece ser o nome do virus, ou worm ou o ca**** que o lixe.
    ALGUEM???
    plz
     
  2. bruncamps

    bruncamps Power Member

    Também apanhei esse 'virus' na minha pen e nos PC's. A remoção é relativamente fácil, basta apagar uns ficheiros.
     
    Última edição pelo moderador: 29 de Outubro de 2008
  3. Aftermath

    Aftermath Power Member

    mas eu n percebo nada do qua aqui diz, eu sei mais ao menos de computadores soq ue estes termos brasileiros. "clique no botao sobre a drive USB" ? que drive? (no my computer n me aparece a pen quando a meto no pc...)
     
  4. Aftermath

    Aftermath Power Member

    Para ser mais correcto: o que me aparece no windows é ao pé do relogio a dizer "Dispositivo de USB nao reconhecido".
    pod ser outra coisa?
    Ideias?

    plz help
     
  5. pulups

    pulups Power Member

    eu tambem apanhei esse "worm", mas o engraçado é que segui os passos desse guia e nao encontrei nenhum dos files que ele fala ( e sim eu mudei nas ferramentas para ver todos os ficheiros ate aqueles que diz la recomendado nao ver eu meti pa ver) :/ alguem tem outra soluçao? é que eu uso este pc pa faculdade e nao me apetecia nada agora formatar e instalar de novo :/
     
    Última edição: 27 de Outubro de 2008
  6. pulups

    pulups Power Member

  7. Pedro82

    Pedro82 Power Member

  8. pulups

    pulups Power Member

    ia programa excelente mesmo obrigado, mas e quanto ao apagar o disk knight k se encontra no pc? é que se eu calho a nao reparar que ele se activou e nao faço terminar processo a ele o computador passado uns segundos para logo :S , eu ja andei a pesquisar no google que tinha de apagar uns files mas fui a procura desses files e nao os encontrei :/ ha algum programa super facil de utilizar para resolver o problema do disk knight k esta no pc?=) ou pronto nem que seja uma maneira complicada cheia de passsos, preciso mesmo é de uma soluçao :)
     
  9. Blue Zee

    Blue Zee Power Member

    Tente este programa:
    http://www.softpedia.com/get/Security/Secure-cleaning/Autorun-Eater.shtml

    Se não resultar...
    Descarregue o HijackThis v. 2.0.2 daqui (use o installer):
    http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

    Instale e arranque o programa usando o ícone criado no ambiente de trabalho.

    Clique Do a System Scan and Save a Log File.

    Quando o scan acabar será criado um ficheiro de texto com o seu log.

    Coloque aqui o log do HjackThis, mas não tente usar o HJT para qualquer limpeza sem ajuda.

    Logo que coloque o log e veremos como prosseguir.

    Boa sorte,

    Zee
     
  10. pulups

    pulups Power Member

    muito obrigado pela ajuda, mas visto que a primeira opçao nao resultou, deixo aqui o log da segunda opçao :)

    Logfile of Trend Micro HijackThis v2.0.2
    Scan saved at 19:25:30, on 31-10-2008
    Platform: Windows XP SP2 (WinNT 5.01.2600)
    MSIE: Internet Explorer v7.00 (7.00.6000.20733)
    Boot mode: Normal

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\Explorer.EXE
    C:\WINDOWS\system32\igfxtray.exe
    C:\WINDOWS\system32\hkcmd.exe
    C:\WINDOWS\system32\igfxpers.exe
    C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
    C:\WINDOWS\system32\igfxsrvc.exe
    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe
    C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
    C:\WINDOWS\Knight.exe
    C:\Program Files\Lexmark 3400 Series\lxcymon.exe
    C:\Program Files\Lexmark 3400 Series\ezprint.exe
    C:\WINDOWS\system32\rundll32.exe
    C:\WINDOWS\system32\ctfmon.exe
    C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe
    C:\Program Files\DAEMON Tools Lite\daemon.exe
    C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
    C:\Documents and Settings\pulups\Local Settings\Application Data\Google\Update\GoogleUpdate.exe
    C:\Program Files\tmn\tmn\tmn.exe
    C:\Program Files\Bonjour\mDNSResponder.exe
    C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
    C:\WINDOWS\system32\IoctlSvc.exe
    C:\WINDOWS\system32\svchost.exe
    C:\Program Files\Hewlett-Packard\Shared\hpqWmiEx.exe
    C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
    C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
    C:\WINDOWS\system32\lxcycoms.exe
    C:\WINDOWS\System32\svchost.exe
    C:\Program Files\Windows Live\Messenger\usnsvc.exe
    C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
    O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
    O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
    O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Program Files\Adobe\/Adobe Contribute CS3/contributeieplugin.dll
    O3 - Toolbar: Lexmark Barra de ferramentas - {1017A80C-6F09-4548-A84D-EDD6AC9525F0} - C:\Program Files\Lexmark Toolbar\toolband.dll
    O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
    O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
    O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
    O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
    O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
    O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
    O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
    O4 - HKLM\..\Run: [Adobe_ID0EYTHM] C:\PROGRA~1\COMMON~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
    O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
    O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
    O4 - HKLM\..\Run: [Disk Knight] C:\WINDOWS\Knight.exe
    O4 - HKLM\..\Run: [lxcymon.exe] "C:\Program Files\Lexmark 3400 Series\lxcymon.exe"
    O4 - HKLM\..\Run: [EzPrint] "C:\Program Files\Lexmark 3400 Series\ezprint.exe"
    O4 - HKLM\..\Run: [LXCYCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCYtime.dll,[email protected]
    O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b
    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
    O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
    O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
    O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
    O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\pulups\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
    O4 - HKCU\..\Run: [avp] C:\RECYCLER\S-1-5-21-3981619581-8096447585-845258714-3447\hdav.exe
    O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
    O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
    O4 - Global Startup: Tango Patcher 2600 Reloader.lnk = C:\WINDOWS\Tango Patcher 2600\Reloader.exe
    O4 - Global Startup: tmn.lnk = C:\Program Files\tmn\tmn\tmn.exe
    O8 - Extra context menu item: Append to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
    O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
    O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
    O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
    O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
    O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
    O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
    O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
    O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
    O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
    O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
    O20 - AppInit_DLLs: liwoia.dll ubyhjv.dll
    O23 - Service: Adobe Version Cue CS3 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS3\Server\bin\VersionCueCS3.exe
    O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
    O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
    O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqWmiEx.exe
    O23 - Service: lxcy_device - - C:\WINDOWS\system32\lxcycoms.exe
    O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
    O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
    O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

    --
    End of file - 9210 bytes
     
    Última edição: 31 de Outubro de 2008
  11. Blue Zee

    Blue Zee Power Member

    Descarregue e instale os seguintes programas:

    A versão Slim do CCleaner (sem toolbar, em Inglês):
    http://www.ccleaner.com/download/builds.aspx

    SUPERAntiSpyware FREE

    Depois de instalados os programas acima, reinicie em Modo de Segurança depois de pressionar F8 ao arrancar o sistema, faça um scan com o HJT e seleccione as seguintes entradas para limpar com o HJT (clique no quadradinho à esquerda de cada uma):

    O4 - HKLM\..\Run: [Disk Knight] C:\WINDOWS\Knight.exe
    O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b
    O4 - HKCU\..\Run: [avp] C:\RECYCLER\S-1-5-21-3981619581-8096447585-845258714-3447\hdav.exe
    O20 - AppInit_DLLs: liwoia.dll ubyhjv.dll

    Faça a limpeza clicando em Fix checked, confirme se necessário e encerre o HJT.

    Reinicie o sistema de novo em Modo de Segurança.

    Assegure-se que pode ver todas as pastas e ficheiros, e apague o ficheiro:

    C:\WINDOWS\Knight.exe

    Arranque com o CCleaner usando o ícone no ambiente de trabalho, seleccione todas as entradas nos separadores Windows e Applications e clique no botão Run cleaner.

    Terminada a limpeza reinicie o sistema em Modo Normal.

    Arranque o SUPERAntiSpyware utilizando o ícone criado no ambiente de trabalho.

    Actualize as definições clicando no botão Check for Updates...

    Terminada a actualização clique em Preferences, depois no separador Scanning Control, em Scanner Options, assegure-se que selecciona

    - Close browsers before scanning.
    - Scan for tracking cookies.
    - Terminate memory threats before quarantining.

    E desmarque todos os outros. Agora clique em Close para sair deste menu.

    Clique em Scan your Computer..., seleccione Perform Complete Scan, clique em Next e aguarde pacientemente até lhe ser apresentado um relatório dos itens encontrados. Clique em OK e Next para confirmar a limpeza.

    Encerre o programa, reinicie o PC e teste.

    Diga-nos se resultou.

    Zee
     
  12. pulups

    pulups Power Member

    eu vou tentar mas agora fiquei com medo, qual é o motivo de ter de iniciar em mode de segurança? ha possibilidade de perder algum ficheiro? é que eu tenho aqui documentos importantes, devo fazer backup?
     
  13. Blue Zee

    Blue Zee Power Member

    Modo de Segurança é para permitir a limpeza de alguma entrada que em Modo Normal esteja activa e seja, por isso, de difícil eliminação.

    Se seguir as instruções não há risco nenhum e o próprio HJT faz backups do que é limpo.

    Não afecta nenhuns ficheiros, documentos ou dados.
     
  14. pulups

    pulups Power Member

    Até agora está a resultar na perfeição :D muito obrigado

    Só este file é que nao encontrei O4 - HKLM\..\Run: [0010ad98] rundll32.exe "C:\WINDOWS\system32\teialgkc.dll",b é que quando estava em modo de segurança a utilizar o hijackthis como me explicou
     
  15. Blue Zee

    Blue Zee Power Member

    Óptimas notícias.

    Arranque o HJT em Modo Normal e confirme se essa entrada existe ou não.

    Se ainda lá estiver, limpe-a em Modo Normal, reinicie o PC e reconfirme se ela desapareceu.

    Zee
     
  16. pulups

    pulups Power Member

    estive a confirmar como disse e não não está ca ( será esquesito?) , mas o que interessa é que esta tudo a funcionar perfeitamente, o computador depois disto ja nao bloqueou vez nenhuma e nao ha sinais do disk knight =D
    muito obrigado pela sua ajuda =)
     
  17. Blue Zee

    Blue Zee Power Member

    Então está tudo bem!
    :beerchug:
     

Partilhar esta Página