Virus autorun.inf Worm/AutoRun

Boas...

Bem eu hoje trago um virus hein...LOL mas tenho q resolver este problema e o q mais me chateia é q o AVG detecta mas nao faz nada, o ficheiro é o autorun.inf mas o avg detecta-o com o outro nome Worm/AutoRun...ja passei o scan do AVG já passei o Spybot actualizadissimo e nada...ngm o agarra!!o avg diz q este virus está na pasta C: e quando eu entro no disco nada....nao tá lá ficheiro nenhum com esse nome nem nenhum ficheiro estranho!!!já rodei o HIjackThis vou deixar aqui o log...

obrigado pela ajuda pessoal

CumpZ!

Logfile of HijackThis v1.99.1
Scan saved at 11:15:40, on 07-12-2007
Platform: Unknown Windows (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16546)

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Program Files\HP\QuickPlay\QPService.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\ehome\ehmsas.exe
C:\Users\Djony\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Grisoft\AVG7\avgw.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\Djony\Setups\HijackThis\HijackThis.exe
C:\Windows\system32\SearchFilterHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.pt/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Facilitador de Leitor de Link Adobe PDF - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~3\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SMSERIAL] C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"
O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [HP Health Check Scheduler] C:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [WAWifiMessage] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [SynTPStart] C:\Program Files\Synaptics\SynTP\SynTPStart.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xportar para o Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll
O11 - Options group: [INTERNATIONAL] International*
O13 - Gopher Prefix:
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab2.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://driveragent.com/files/driveragent.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AF6001A7-CD72-43EE-85A3-1AE1B7D4AB51}: NameServer = 192.168.1.1
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~3\Office12\GR99D3~1.DLL
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Program Files\JiWire\BOT Mapping\Skype4COM.dll (file missing)
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: avgwlntf - C:\Windows\SYSTEM32\avgwlntf.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgrssvc.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLSched.exe
O23 - Service: Com4Qlb - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4Qlb.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\Windows\system32\CTsvcCDA.exe
O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: HP Health Check Service - Hewlett-Packard - C:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)

está limpo no arranque

edita o autorun e coloca aqui o que está lá escrito

Tenho visto uns worms em pens até com o autorun.inf e com o processo ctfmon, e se o avg não conseguir retirar sei que o antivir o faz.

Pessoalmente não gosto do AVG..não sei o que é que eles fizeram nestas últimas versões.
Eu usava sempre o AVG nestes últimos anos mas ele tem ficado um bocado estúpido.
Eu sacava programas da net e o AVG detectava que ele tinha um trojan e não me deixava fazer mais nada com ele, nem excluíndo o ficheiro de quarentena ele me deixava usar o ficheiro, e o pior é que o ficheiro estava limpo..já me tinha acontecido isto pela terceira vez. Fartei-me e instalei as outras soluções mais óbvias.
Agora uso o BitDefender Internet Security que é o melhor na minha opinião. Experimenta este ou então se não gostares do BitDefender experimenta o Kaspersky para testares.
Vais ver que preferes estes do que o AVG. É pena porque eu sempre usei o AVG mas ultimamente só me decepcionou

esses virus do autorun apagam-se... apagando os ficheiros do autorun.
se não os vês é porque tens os ficheiros de sistema escondidos nas opções de visualização de pastas.

mas como é q eu faço o edit autorun...sorry! lol eu uso o avg pq é free e ja usei o kaspersky q é mil vezes superior mas nao arranjei mais serials para aquilo olha...tenho q ver um bom antivirus....entao o q me recomendam fazer?

cumpz!

botao do lado direito - open - notepad

mas onde?eu nao sei mesmo fazer isso...obrigado

...

Estou com o mesmo problema, o AVG anda-me a detectar esse ficheiro mas ele nao está lá nem em oculto, é bastante estranho.

Alguem sabe como me livrar deste virus? É que o avg quando vai fazer o heal diz que nao consegue.

Ja experimentei entrar em modo segurabça e tentar limpar mas nao dá na mesma.

Usa um linux livecd e apaga esse ficheiro em todas as drives que tenhas, incluindo pens e afins...

Procura executar estas ferramentas, que te eliminarão o problema. Reinicia depois o PC:

1. http://www.dicasweb.com.br/forum/in...ads&req=download&code=confirm_download&id=147

2. http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

mais facil é pores a mostrar os ficheiros ocultos e ficheiros protegidos pelo sistema.. e assim ja consegues ver o autorun na raiz do c:. nao o conseguias ver pork como é normal eles fikam sempre ocultos para nao se poder ver.. se nao souberes por a ver os ficheiros ocultos faz assim.. abre uma pasta qualquer e em cima tem um separador k se chama ferramentas... depois escolhe opçoes de pastas.. depois la procura o k diz "MOSTRAR FICHEIROS OCULTOS", mete isso activo. depois a outro k é +/- assim "MOSTRAR FICHEIROS PROTEGIDOS PELO SISTEMA", faz ixo e depois vai ao c: e procura agora o autorun.inf de certeza k aparece.. se ele existir mesmo.. espero k te ajude..

Não percebo o que estão aqui a dizer. Estão a chamar vírus a um ficheiro AUTORUN.INF?
Esse ficheiro é apenas texto e serve para fazer o arranque automático de um CD/DVD.
Como é que pode ser vírus???

Esses ficheiros costumam ser assim:

[AUTORUN]
open=C:\lile.exe
icon=c:\file.exe

Clicar para expandir...

Agora se o conteúdo for MUITO diferente disto então ai sim, já se pode desconfiar.

jnightz disse:

Como é que pode ser vírus???

Clicar para expandir...

Há coisas estranhas, não é? Mas que as há - há...
Esse ficheiro pode ter sido adicionado para o vírus se executar. Não é nada do outro mundo. Grande parte dos vírus que afectam as pen drives tem esse tipo de actuação. Ver aqui p.e..

Recomendo e reforço a utilidade da execução das ferramentas que indiquei no meu post anterior.

Ele tem razão e tu próprio explicas porquê. Pelo menos pelo que eu me lembro do autorun.inf, já é ocasionalmente dificil fazer com que ele cumpra a tarefa limitada que lhe foi dada, quanto mais coisas complexas como ser um vírus. Claro que, como batch file simultaneamente limitado e glorificado nada o impede de correr o vírus propriamente dito.

Quanto à questão de autorun.inf's infectados, bom, pelo menos que eu me lembre o Shift ainda funciona. No Vista não sei, mas no XP funciona de certeza... Desactivar o Autorun tambem costuma funcionar. Mas a preguiça vence 95% das vezes...

Pelo que vi naquele link que o Kissol deu, o AUTORUN.INF não é o virus, mas é o responsável porque abre o virus na instrução "open=...", o virus ou seja lá o que for já existe no PC e é chamado ao abrir a drive que tenha o AUTORUN.INF lá dentro.

ShadeX disse:

...Mas a preguiça vence 95% das vezes...

Clicar para expandir...

ha ha, está boa. Tem piada porque 95% das vezes é verdade lol

Sim carregar no shift faz com que o autorun não arranque.
Se for em XP convém antes carregar um bocado no shift porque vai arrancar o shortcut das SitckyKeys (accessibility Options)...
E claro meter visível os ficheiros ocultos de sistema...
Atenção que anda ai um vírus que já vi num computador (nenhum dos meus ) que quando se colocava para ver os ficheiros ocultos automaticamente voltavam a ocultos (a opção não funcionava).
E isto foi com um computador com o AVG Free (fiquei mal impressionado com esse antivírus) mas também não sei de quem foi a culpa pois quem usou o computador.... ....

Pretender disse:

Sim carregar no shift faz com que o autorun não arranque.
Se for em XP convém antes carregar um bocado no shift porque vai arrancar o shortcut das SitckyKeys (accessibility Options)...
E claro meter visível os ficheiros ocultos de sistema...
Atenção que anda ai um vírus que já vi num computador (nenhum dos meus ) que quando se colocava para ver os ficheiros ocultos automaticamente voltavam a ocultos (a opção não funcionava).
E isto foi com um computador com o AVG Free (fiquei mal impressionado com esse antivírus) mas também não sei de quem foi a culpa pois quem usou o computador.... ....

Clicar para expandir...

acontece-me isso...

alguem sabe como resolver o problema?

@ bobdealer, seria conveniente expurgar o pc de eventuais vírus que tenham causado isso. De modo que podes curar uma consequência mas deixas a causa a hibernar. Que tal checares o teu pc através dum registo do HijackThis?

De qq forma vai a dica: p/ a questão dos fich. ocultos poderás corrigir a situação c/ esta ferramenta (não necessita de instalação): RRT

P.S.: Procura eliminar a causa...