1. Este site usa cookies. Ao continuar a usar este site está a concordar com o nosso uso de cookies. Saber Mais.
  2. A secção Microsoft/Windows encontra-se actualmente em processo de reestruturação.
    Remover anúncio

Virus autorun.inf Worm/AutoRun

Discussão em 'Windows 7 e anteriores' iniciada por Djony, 7 de Dezembro de 2007. (Respostas: 34; Visualizações: 32997)

  1. Djony

    Djony Power Member

    Boas...

    Bem eu hoje trago um virus hein...LOL mas tenho q resolver este problema e o q mais me chateia é q o AVG detecta mas nao faz nada, o ficheiro é o autorun.inf mas o avg detecta-o com o outro nome Worm/AutoRun...ja passei o scan do AVG já passei o Spybot actualizadissimo e nada...ngm o agarra!!o avg diz q este virus está na pasta C: e quando eu entro no disco nada....nao tá lá ficheiro nenhum com esse nome nem nenhum ficheiro estranho!!!já rodei o HIjackThis vou deixar aqui o log...

    obrigado pela ajuda pessoal

    CumpZ!

    Logfile of HijackThis v1.99.1
    Scan saved at 11:15:40, on 07-12-2007
    Platform: Unknown Windows (WinNT 6.00.1904)
    MSIE: Internet Explorer v7.00 (7.00.6000.16546)

    Running processes:
    C:\Windows\system32\taskeng.exe
    C:\Windows\system32\Dwm.exe
    C:\Windows\Explorer.EXE
    C:\Windows\System32\rundll32.exe
    C:\Program Files\Windows Defender\MSASCui.exe
    C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    C:\Windows\RtHDVCpl.exe
    C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
    C:\Program Files\HP\QuickPlay\QPService.exe
    C:\Windows\System32\rundll32.exe
    C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
    C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
    C:\Program Files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe
    C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
    C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
    C:\Program Files\Grisoft\AVG7\avgcc.exe
    C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
    C:\Program Files\Windows Sidebar\sidebar.exe
    C:\Windows\ehome\ehtray.exe
    C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
    C:\Program Files\Windows Media Player\wmpnscfg.exe
    C:\Windows\ehome\ehmsas.exe
    C:\Users\Djony\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.exe
    C:\Program Files\Windows Sidebar\sidebar.exe
    C:\Program Files\Grisoft\AVG7\avgw.exe
    C:\Windows\system32\wbem\unsecapp.exe
    C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
    C:\Program Files\Mozilla Firefox\firefox.exe
    C:\Users\Djony\Setups\HijackThis\HijackThis.exe
    C:\Windows\system32\SearchFilterHost.exe

    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pt/
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
    O1 - Hosts: ::1 localhost
    O2 - BHO: Facilitador de Leitor de Link Adobe PDF - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
    O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~3\Office12\GRA8E1~1.DLL
    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
    O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
    O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
    O4 - HKLM\..\Run: [SMSERIAL] C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
    O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
    O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
    O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
    O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"
    O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
    O4 - HKLM\..\Run: [HP Health Check Scheduler] C:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
    O4 - HKLM\..\Run: [hpWirelessAssistant] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
    O4 - HKLM\..\Run: [WAWifiMessage] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe
    O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
    O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
    O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
    O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
    O4 - HKLM\..\Run: [SynTPStart] C:\Program Files\Synaptics\SynTP\SynTPStart.exe
    O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
    O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
    O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
    O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
    O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
    O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
    O4 - Startup: ctfmon.exe
    O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
    O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
    O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
    O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll
    O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll
    O11 - Options group: [INTERNATIONAL] International*
    O13 - Gopher Prefix:
    O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
    O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab2.cab
    O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
    O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://driveragent.com/files/driveragent.cab
    O17 - HKLM\System\CCS\Services\Tcpip\..\{AF6001A7-CD72-43EE-85A3-1AE1B7D4AB51}: NameServer = 192.168.1.1
    O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~3\Office12\GR99D3~1.DLL
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Program Files\JiWire\BOT Mapping\Skype4COM.dll (file missing)
    O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
    O20 - Winlogon Notify: avgwlntf - C:\Windows\SYSTEM32\avgwlntf.dll
    O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
    O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
    O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
    O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgrssvc.exe
    O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
    O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLSched.exe
    O23 - Service: Com4Qlb - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4Qlb.exe
    O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\Windows\system32\CTsvcCDA.exe
    O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)
    O23 - Service: HP Health Check Service - Hewlett-Packard - C:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
    O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
    O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
    O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
    O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
    O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
    O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)
    O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
    O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
    O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)
    O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
    O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)
     
  2. nunot

    nunot [email protected] Member

    está limpo no arranque

    edita o autorun e coloca aqui o que está lá escrito
     
  3. Kamipt

    Kamipt Power Member

    Tenho visto uns worms em pens até com o autorun.inf e com o processo ctfmon, e se o avg não conseguir retirar sei que o antivir o faz.
     
  4. Krat0s

    Krat0s Power Member

    Pessoalmente não gosto do AVG..não sei o que é que eles fizeram nestas últimas versões.
    Eu usava sempre o AVG nestes últimos anos mas ele tem ficado um bocado estúpido.
    Eu sacava programas da net e o AVG detectava que ele tinha um trojan e não me deixava fazer mais nada com ele, nem excluíndo o ficheiro de quarentena ele me deixava usar o ficheiro, e o pior é que o ficheiro estava limpo..já me tinha acontecido isto pela terceira vez. Fartei-me e instalei as outras soluções mais óbvias.
    Agora uso o BitDefender Internet Security que é o melhor na minha opinião. Experimenta este ou então se não gostares do BitDefender experimenta o Kaspersky para testares.
    Vais ver que preferes estes do que o AVG. É pena porque eu sempre usei o AVG mas ultimamente só me decepcionou :P
     
  5. Mitch

    Mitch Banido

    esses virus do autorun apagam-se... apagando os ficheiros do autorun.
    se não os vês é porque tens os ficheiros de sistema escondidos nas opções de visualização de pastas.
     
  6. Djony

    Djony Power Member

    mas como é q eu faço o edit autorun...sorry! lol eu uso o avg pq é free e ja usei o kaspersky q é mil vezes superior mas nao arranjei mais serials para aquilo olha...tenho q ver um bom antivirus....entao o q me recomendam fazer?

    cumpz!
     
  7. nunot

    nunot [email protected] Member

    botao do lado direito - open - notepad
     
  8. Djony

    Djony Power Member

    mas onde?eu nao sei mesmo fazer isso...obrigado
     
  9. Djony

    Djony Power Member

  10. flipo

    flipo Power Member

    Estou com o mesmo problema, o AVG anda-me a detectar esse ficheiro mas ele nao está lá nem em oculto, é bastante estranho.

    Alguem sabe como me livrar deste virus? É que o avg quando vai fazer o heal diz que nao consegue.

    Ja experimentei entrar em modo segurabça e tentar limpar mas nao dá na mesma.
     
    Última edição: 9 de Fevereiro de 2008
  11. SwimmerBoy

    SwimmerBoy Folding Member

    Usa um linux livecd e apaga esse ficheiro em todas as drives que tenhas, incluindo pens e afins...
     
  12. ti17

    ti17 Power Member

    mais facil é pores a mostrar os ficheiros ocultos e ficheiros protegidos pelo sistema.. e assim ja consegues ver o autorun na raiz do c:. nao o conseguias ver pork como é normal eles fikam sempre ocultos para nao se poder ver.. se nao souberes por a ver os ficheiros ocultos faz assim.. abre uma pasta qualquer e em cima tem um separador k se chama ferramentas... depois escolhe opçoes de pastas.. depois la procura o k diz "MOSTRAR FICHEIROS OCULTOS", mete isso activo. depois a outro k é +/- assim "MOSTRAR FICHEIROS PROTEGIDOS PELO SISTEMA", faz ixo e depois vai ao c: e procura agora o autorun.inf de certeza k aparece.. se ele existir mesmo.. espero k te ajude..
     
  13. jnightz

    jnightz Power Member

    Não percebo o que estão aqui a dizer. Estão a chamar vírus a um ficheiro AUTORUN.INF?
    Esse ficheiro é apenas texto e serve para fazer o arranque automático de um CD/DVD.
    Como é que pode ser vírus???

    Esses ficheiros costumam ser assim:
    Agora se o conteúdo for MUITO diferente disto então ai sim, já se pode desconfiar.
     
  14. Kissol

    Kissol Power Member

    Há coisas estranhas, não é? Mas que as há - há...
    Esse ficheiro pode ter sido adicionado para o vírus se executar. Não é nada do outro mundo. Grande parte dos vírus que afectam as pen drives tem esse tipo de actuação. Ver aqui p.e..

    Recomendo e reforço a utilidade da execução das ferramentas que indiquei no meu post anterior.

    :cool:
     
  15. ShadeX

    ShadeX Power Member

    Ele tem razão e tu próprio explicas porquê. Pelo menos pelo que eu me lembro do autorun.inf, já é ocasionalmente dificil fazer com que ele cumpra a tarefa limitada que lhe foi dada, quanto mais coisas complexas como ser um vírus. Claro que, como batch file simultaneamente limitado e glorificado nada o impede de correr o vírus propriamente dito.

    Quanto à questão de autorun.inf's infectados, bom, pelo menos que eu me lembre o Shift ainda funciona. No Vista não sei, mas no XP funciona de certeza... Desactivar o Autorun tambem costuma funcionar. Mas a preguiça vence 95% das vezes...
     
  16. jnightz

    jnightz Power Member

    Pelo que vi naquele link que o Kissol deu, o AUTORUN.INF não é o virus, mas é o responsável porque abre o virus na instrução "open=...", o virus ou seja lá o que for já existe no PC e é chamado ao abrir a drive que tenha o AUTORUN.INF lá dentro.


    ha ha, está boa. Tem piada porque 95% das vezes é verdade :) lol
     
  17. Pretender

    Pretender Power Member

    Sim carregar no shift faz com que o autorun não arranque.
    Se for em XP convém antes carregar um bocado no shift porque vai arrancar o shortcut das SitckyKeys (accessibility Options)...
    E claro meter visível os ficheiros ocultos de sistema...
    Atenção que anda ai um vírus que já vi num computador (nenhum dos meus :P) que quando se colocava para ver os ficheiros ocultos automaticamente voltavam a ocultos (a opção não funcionava).
    E isto foi com um computador com o AVG Free (fiquei mal impressionado com esse antivírus) mas também não sei de quem foi a culpa pois quem usou o computador.... ....
     
  18. bobdealer

    bobdealer Power Member

    acontece-me isso...

    alguem sabe como resolver o problema?
     
  19. Kissol

    Kissol Power Member

    @ bobdealer, seria conveniente expurgar o pc de eventuais vírus que tenham causado isso. De modo que podes curar uma consequência mas deixas a causa a hibernar. Que tal checares o teu pc através dum registo do HijackThis?

    De qq forma vai a dica: p/ a questão dos fich. ocultos poderás corrigir a situação c/ esta ferramenta (não necessita de instalação): RRT

    P.S.: Procura eliminar a causa...
     

Partilhar esta Página