Virus - Todas as pastas viram "atalhos"

Question

brando lee

por conta e risco eu executei o comando(attrib /s /d -s -h) nas unidades do pc, s&oacute; achou um arquivo com a descri&ccedil;&atilde;o s h   passei o antivirus completo. detectou 3 arquivos, depois o pc deu 3 resets seguidos. e por final entrou em modo de seguran&ccedil;a.

reiniciei normal, iniciou blz, coloquei o pendriver e est&aacute; as mil maravilhas. nada de virus, nem pastas escondidas.

amanha farei o test do msn que estava abrindo sozinho depois  que eu conectava a net.

amanha postarei outro log.

obrigado a todos mais uma vez.

-----------------------------------------------------------------------------------------------------------------------------

Reinstalei o msn, na na desinstala&ccedil;&atilde;o, foi detectado um v&iacute;rus.

Com o novo reinstalado, ate agora ainda n&atilde;o iniciou sozinho.

Segue o novo Log.

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 19:33:10, on 5/9/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Arquivos de programas\Ninja
inja.exe
C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Arquivos de programas\Avira\AntiVir Desktop\avshadow.exe
c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Arquivos de programas\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Copiadora Kariri\Desktop\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://supply.net.br/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Arquivos de programas\Arquivos comuns\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\ARQUIV~1\MICROS~2\Office14\GROOVEEX.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Arquivos de programas\Java\jre1.6.0\bin\ssv.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\ARQUIV~1\MICROS~2\Office14\URLREDIR.DLL
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Arquivos de programas\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O4 - HKLM\..\Run: [avgnt] C:\Arquivos de programas\Avira\AntiVir Desktop\avgnt.exe /min
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ninja.lnk = C:\Arquivos de programas\Ninja
inja.exe
O8 - Extra context menu item: &Enviar para o OneNote - res://C:\ARQUIV~1\MICROS~2\Office14\ONBttnIE.dll/105
O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\ARQUIV~1\MICROS~2\Office14\EXCEL.EXE/3000
O9 - Extra button: Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Enviar para o OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: &Anota&ccedil;&otilde;es Vinculadas do OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: &Anota&ccedil;&otilde;es Vinculadas do OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Arquivos de programas\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra button: Sele&ccedil;&atilde;o HP Smart - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Arquivos de programas\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Arquivos de programas\Arquivos comuns\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O22 - SharedTaskScheduler: Pr&eacute;-carregador Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon de cache de categorias de componente - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: FencesShellExt - {1984DD45-52CF-49cd-AB77-18F378FEA264} - C:\Arquivos de programas\Stardock\Fences\FencesMenu.dll
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Arquivos de programas\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Arquivos de programas\Arquivos comuns\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Protexis Licensing V2 (PSI_SVC_2) - Protexis Inc. - c:\Arquivos de programas\Arquivos comuns\Protexis\License Service\PsiService_2.exe

--
End of file - 6121 bytes

Answer

Eu conseguir usando o comando via msdos, dentro da unidade, so digitar 
attrib /s /d -s -h -r

E pronto, todas as pastas v&atilde;o aparecer, e foi s&oacute; deletar  todos os atalhos e a pasta com o virus. &Eacute; claro, como eu ja sabia qual era o nome do tal virus.

Bom, essa &eacute; uma outra maneira de retirar o virus... e realmente esse arquivo justched.exe foi removido junto com o msn.

Answer

Consegui remover este virus, por&eacute;m fica por conta e risco de cada um seguir os procedimentos abaixo..

Peguei este virus, e tentei todas as formas encontrados na internet para remove-lo, por&eacute;m sem exito. Mas pela logica consegui resolver. Como o virus grava um arquivo oculto no seu pendriver ou cart&atilde;o de mem&oacute;ria quando voce conecta no PC, peguei um cart&atilde;o de memoria sem o virus travei a grava&ccedil;&atilde;o e conectei no PC infectado, aguardei alguns minutos e o .exe do virus reclamou que n&atilde;o era possivel gravar no Cart&atilde;o bloqueado foi assim que descobri o executavel do virus.

Ele tenta se passar pelo mesmo nome do update do java justched.exe se voce esta com o Virus e tem o Java instalado na maquina vai notar que no gerenciador de tarefa existe dois processo com o mesmo nome justched.exe.

Agora &eacute; simples &eacute; so ir em executar e digitar MSconfig e na aba inicializa&ccedil;&atilde;o de programas encontre Java update Manager e em comando vai estar  C:\Users\Public\HEX-5823-6893-6818\justched.exe  desmarque esta op&ccedil;&atilde;o, ainda n&atilde;o reinicie a maquina, formate os pendrivers e cart&otilde;es infectados e remova imediatamente apos o fim da formata&ccedil;&atilde;o, inicie o gerenciador de tarefa e finalize os processos justched.exe navegue ate a pasta C:\Users\Public\HEX-5823-6893-6818\justched.exe (ou algo parecido) delete a completamente, reinicie o PC.

Caso queira recuperar os arquivos antes de formatar o Pendriver ou Cart&atilde;o utilize o

Programa EASEUS Data Recovery Wizard Professional.

espero ter ajudado.

Answer

[quote=\&laquo;&ETH;&euml;h>_, post: 5104537]Eu conseguir usando o comando via msdos, dentro da unidade, so digitar 
attrib /s /d -s -h -r

E pronto, todas as pastas v&atilde;o aparecer, e foi s&oacute; deletar  todos os atalhos e a pasta com o virus. &Eacute; claro, como eu ja sabia qual era o nome do tal virus.

Bom, essa &eacute; uma outra maneira de retirar o virus... e realmente esse arquivo justched.exe foi removido junto com o msn.[/QUOTE]
Meu Her&oacute;i
Salvou um pendrive de 8Gb cheio de informa&ccedil;&otilde;es muito importantes...
Valeu VALEU

Answer

[quote=\&laquo;&ETH;&euml;h>_, post: 5098217]trouxe o pc do trabalho, estou com ele aqui. 
 
Tenho at&eacute; segunda feira.
 
Fica sem internet n&atilde;o &eacute; uma boa op&ccedil;&atilde;o. Preciso dela quase que o dia todo, fa&ccedil;o varias consultas a e-mail's, emito v&aacute;rios tipos de certid&otilde;es, etc.

Mas, pelo que estou usando aqui o HiJackThis, ele cria uma pasta de backup certo. ent&atilde;o posso fazer o teste, e qualquer coisa eu uso o backup.

Pessoal, achei isso aqui http://pt.kioskea.net/faq/5838-virus-que-transforma-documentos-em-atalhos-como-reparar
 
Fiz o ultimo procedimento e deu certo em meu pendriver, pois como falei ontem que havia conseguido tirar o virus usando linux, fiz o teste novamente no pc do meu trabalho e pegou tudo de novo. 
 
Fiz o ultimo procedimento do link, cujo isso ai eu ja sabia que existia por que foi recomendado por um amigo meu.
 
Mas agora eu preciso eliminar esse virus do Pc. Ser&aacute; que se eu fizer esse comando EX: F:\>attrib /S /D -s -h via DOS em todas as unidades, fazendo isso ser&aacute; que n&atilde;o vou apagar nada do windows? 
 
Alguem aqui poderia explicar melhor o que esse comando faz.[/quote]

Estava com o mesmo problema em um pen drive, todas as pastas viraram atalhos, e n&atilde;o sabia como resolver. Depois que digitei o comando acima, (F:\>attrib /S /D -s -h) consegui visualizar novamente as pastas, ent&atilde;o apaguei todos aqueles atalhos e pelo visto voltou ao normal. 
Obrigado:smile:

Ferramentas

Mover Tópico