w32/sdbot.worm.gen.g (remover)

[_Alucard_]

Pessoal preciso de ajuda

Já andei a "googlar", ja fui ao site do meu antivírus (McAfee)

e Não consigo ver-me livre deste vírus, :S

Alguém me ajuda a remove-lo sff?

Obrigado

[alr_tech]

boas

bém...
esse é dos terriveis que não vive só....

cuidado com as coisas que te enviam pelo AIM ou MSN.

tenta um online... pandasoftware...
corre tb vários antiadware...
convém validar a firewall...
a net desliga-se enquanto estás a validar...

torna a repetir o processo, em safe mode...

valida como permitires o acesso às pastas do recovery...

já procuraste à mão (em safe mode) no registry pelas entradas aqui definidas..

tens de procurar várias hipóteses e percorrer aquilo tudo....


cumps

[_Alucard_]

já estive ai...

Já procurei aqui no pc... mas não consigo achar...

o Log do Mcafee diz isto:



No entanto nem este processo se encontra a decorrer...

Nem acho o AdobeReader.exe

:S


Ja usei o HijackThis (mas não percebo nada disto)

o Log:

Logfile of HijackThis v1.99.1
Scan saved at 11:00:54, on 06-11-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.20661)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Programas\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programas\Windows Defender\MSASCui.exe
C:\Programas\Labtec\Keyboard\V5.1\kbdap32a.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programas\ATI Technologies\ATI.ACE\cli.exe
C:\Programas\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\Mixer.exe
C:\Programas\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programas\Ficheiros comuns\Ahead\Lib\NMBgMonitor.exe
C:\Programas\MSN Messenger\MsnMsgr.Exe
C:\Programas\Messenger\msmsgs.exe
C:\Programas\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programas\IVT Corporation\BlueSoleil\BTNtService.exe
C:\Programas\Bonjour\mDNSResponder.exe
C:\Programas\Ficheiros comuns\McAfee\HackerWatch\HWAPI.exe
C:\WINDOWS\system32\fgnjun.exe
C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
c:\programas\ficheiros comuns\mcafee\mna\mcnasvc.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
C:\PROGRA~1\McAfee\MSC\mcpromgr.exe
c:\PROGRA~1\FICHEI~1\mcafee\redirsvc\redirsvc.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
C:\Programas\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Programas\HP\Digital Imaging\bin\hpqSTE08.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\Programas\MSN Messenger\usnsvc.exe
C:\Programas\Mozilla Firefox\firefox.exe
C:\Programas\Valve\Steam\Steam.exe
c:\programas\valve\steam\steamapps\lcalucardlc\counter-strike\hl.exe
C:\Programas\Valve\Steam\GameOverlayUI.exe
C:\Programas\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sapo.pt/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Hiperligações
F3 - REG:win.ini: run=
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programas\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - c:\programas\mcafee\virusscan\scriptcl.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {89032A20-4370-487E-AB80-2251EC374249} - C:\WINDOWS\system32\wvutsst.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programas\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programas\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Windows Defender] "C:\Programas\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [OFFICEKB] C:\Programas\Labtec\Keyboard\V5.1\kbdap32a.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programas\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programas\Ficheiros comuns\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Programas\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [HP Software Update] C:\Programas\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programas\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [RemoteControl] C:\Programas\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programas\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Microsoft] fgnjun.exe
O4 - HKLM\..\RunServices: [Microsoft] fgnjun.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programas\Ficheiros comuns\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programas\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programas\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programas\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BlueSoleil.lnk = C:\Programas\IVT Corporation\BlueSoleil\BlueSoleil.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programas\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programas\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programas\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programas\bonjour\mdnsnsp.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b56986.cab
O16 - DPF: {5F5F9FB8-878E-4455-95E0-F64B2314288A} (ijjiPlugin2 Class) - http://gamedownload.ijjimax.com/gamedow ... n11USA.cab
O16 - DPF: {69EF49E5-FE46-4B92-B5FA-2193AB7A6B8A} (GameLauncher Control) - http://www.acclaim.com/cabs/acclaim_v5.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programas\Ficheiros comuns\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FICHEI~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: wvutsst - C:\WINDOWS\SYSTEM32\wvutsst.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programas\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programas\Bonjour\mDNSResponder.exe
O23 - Service: McAfee E-mail Proxy (Emproxy) - McAfee, Inc. - C:\PROGRA~1\FICHEI~1\McAfee\EmProxy\emproxy.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programas\Ficheiros comuns\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programas\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: McAfee HackerWatch Service - McAfee, Inc. - C:\Programas\Ficheiros comuns\McAfee\HackerWatch\HWAPI.exe
O23 - Service: McAfee Update Manager (mcmispupdmgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcupdmgr.exe
O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\programas\ficheiros comuns\mcafee\mna\mcnasvc.exe
O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
O23 - Service: McAfee Protection Manager (mcpromgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcpromgr.exe
O23 - Service: McAfee Redirector Service (McRedirector) - McAfee, Inc. - c:\PROGRA~1\FICHEI~1\mcafee\redirsvc\redirsvc.exe
O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programas\CyberLink\Shared Files\RichVideo.exe

[/quote]

[alr_tech]

boas

tu tens o serviço do messenger activo para quê?
se o não usas faz desable ao serviço...

não é necessário para o MSN..

quanto ao AdobeReader.exe no system32, ele está lá está é escondido...
o mesmo para o tmp.exe...


encontrei alguns ficheiros suspeitos...
não necessitas do mdnsnsp.dll para nada....
googla - vê isto
procura por mais...

fgnjun.exe - deve ser o bicho... ou pelo menos uma cópia dele...
apaga as referência a ele
não encontrei nada sobre ele...
- wvutsst.dll - outro
pesquisa...

já correste antispyware? spybot, adware, etc...
corre o panda online (www.pandasoftware.com) só instala um activeX...

cumps

[_Alucard_]

já corri esse panda assim que me o deixas.te aqui...

e nada... Não fez Nada :S

fgnjun.exe.. Como é que apago as referencias a ele? :S
também não acho nada...

wvutsst.dll esse não o vejo :S e muito menos encontro algo .. :S

Quanto a programas e Spy e adware, o que recomendas?

[PauloJorge]

já corri esse panda assim que me o deixas.te aqui...

e nada... Não fez Nada :S

fgnjun.exe.. Como é que apago as referencias a ele? :S
também não acho nada...

wvutsst.dll esse não o vejo :S e muito menos encontro algo .. :S

Quanto a programas e Spy e adware, o que recomendas?

Usa isto para entenderes o log do hijackthis http://www.hijackthis.de/en .

[_Alucard_]

Obrigado PauloJorge

...Bom, já me estou a passar, não consigo achar o virus e remove-lo de forma alguma :S

agora o McAfee deu-me outro log...daquela porcaria

[alr_tech]

boas

o panda não deu nada... não acredito...
devia ter uma lista de falsos avisos... pelo menos...

spybot e Adware
valida no forum respectivo...
os inamoviveis..

tu não vês os ficheiros pois deves ter a opção para esconder ficheiros de sistema activa (são 3 ou 4 opções...)

cumps

[PauloJorge]

Obrigado PauloJorge

...Bom, já me estou a passar, não consigo achar o virus e remove-lo de forma alguma :S

agora o McAfee deu-me outro log...daquela porcaria

Penso que o vírus esta nos backups do restauro do Windows tenta desactivar o restauro do Windows e de seguida faz a limpeza do disco e escolhe opcoes avançadas , apagar restauros do sistema e depois tenta correr o anti vírus de novo .

[alr_tech]

boas

eu já tinha dito isso a ele:
instala o ccleaner..... e apagas algum lixo...
entrar em Safe mode
desactivar o restore.. ver na M$ como
correr os antivirus e antiadware...

limpar aquelas entradas que te disse

cumps

[PauloJorge]

boas

eu já tinha dito isso a ele:
instala o ccleaner..... e apagas algum lixo...
entrar em Safe mode
desactivar o restore.. ver na M$ como
correr os antivirus e antiadware...

limpar aquelas entradas que te disse

cumps

Mas não mencionas-te retirar a tralha do restore do Windows , já tive numa situação parecida e só consegui apagando os system restore points todos e só depois apagar o vírus

[alr_tech]

boas

valida como permitires o acesso às pastas do recovery...

disse, disse... não fui muito explicito..
é da pressa... era para ele ir à M$ pesquisar lá por restore

é que um tipo escreve à pressa e responde a tantos iguais que às duas por três... já não se lembra de tudo..

é que os antivirus geralmente não limpam lá os bicharocos.... por serem pastas de sistema...

cumps

[PauloJorge]

boas

valida como permitires o acesso às pastas do recovery...

disse, disse... não fui muito explicito..
é da pressa... era para ele ir à M$ pesquisar lá por restore

é que um tipo escreve à pressa e responde a tantos iguais que às duas por três... já não se lembra de tudo..

é que os antivirus geralmente não limpam lá os bicharocos.... por serem pastas de sistema...

cumps

Mas muitos user nem tem conhecimentos dessas pastas por isso e um alvo preferido dos virus assim como ficheiros da pasta system32.

PS. A pressa o nao ajudas bastante os users com as respostas rapidas.

_Alucard_ Tenta com este kit -> http://www.commentcamarche.net/faq/suje ... -w32-sdbot , espero que tenhas sorte

[_Alucard_]

Muito obrigado!

Estou agora a usar o apesar de no kit não mencionar w32/sdbot.worm.gen.g, pode ser que safe
já digo qualquer coisa!

Quanto a M$ ?? :S soz tou a nora


---------------------

Para não fazer double post!

Já usei o Kit e o gajo não encontrou nada LOL nem removeu nada..

No entanto o McAfee continua a dar-me Avisos, de alteração no sistema, por parte do tal sdbot

[alr_tech]

boas

M$ - www.microsoft.com
procura coisas como restore

o problema destes vermes é que os seus autores estão sempre a recompilá-los e a mudá-los e como tal as assinaturas ficam desactualizadas...

já correste tb o Kaspersky Online Scanner - http://www.kaspersky.com/virusscanner

tens de pesquisar e criar uma bateria de antivirus e antiadware
e corrê-los tb em safe mode.

existe é claro o método mais rápido que é descartar tudo o que seja executáveis...
fazer bk aos dados que queres... (depois passar todos os ficheiros numa máquina limpa...por antivirus e antiadware)
criar numa máquina limpa todos os updates necessários, todos os programas a instalar, incluindo firewall e antivirus e antiadware... + updates às assinaturas....
coloca a chave do win à mão e a do office e de outros programas que necessitem delas.. (se não tiveres, arranja um programa de recuperação de chaves que estão no teu windows)
e um belo de um format longo, seguido de uma instalação..
atenção só te ligas à nete depois do SP2, firewall e protecções instaladas..
depois últimos updates a tudo..

boa sorte

cumps