Malware (bootkit, rootkit, trojan)

joaonetoo · 24 de julho

Boa tarde pessoal, preciso de uma ajudinha.

Estou usando win11, porém identifiquei processos estranhos, e resolvi fazer uma instalação limpa, porém, de limpa não tem nada, os problemas ficam retornando insistentemente, parece que inicia já junto com a instalação do win, ou algo assim, o registro tá todo zaralhado, e acho que quanto mais tentei consertar mais eu detonei tudo.

alguém pode me dar uma luz???

mick 07 · 24 de julho

1 hora atrás, joaonetoo disse:

porém identifiquei processos estranhos

1 hora atrás, joaonetoo disse:

resolvi fazer uma instalação limpa, porém, de limpa não tem nada, os problemas ficam retornando insistentemente, parece que inicia já junto com a instalação do win, ou algo assim, o registro tá todo zaralhado

Você falou, falou e não disse nada. Que processos? O que o leva a crer que são estranhos? Que problemas ficam retornando? O que o leva a crer que o registro está todo "zaralhado"?

Suas conclusões são baseadas em que?

joaonetoo · 24 de julho

@mick 07 Inicialmente, obrigado pela atenção.

Cara, basicamente sempre que faço uma instalação limpa o win volta com outro usuário aleatório que executa alguns scripts na máquina, aos poucos vai destruindo alguns executáveis, me impede de atualizar alguns drivers, e creio eu que tenha alterado algumas variáveis de ambiente, muitas DLLs estão com alguns números distintos apos seu nome em vários processos... sempre que executo algum software o mesmo também contém alguns 'extras' em seu caminho ex: /silent --onlogon --no-startup-window ; --win-session-start etc

ainda me impede de abrir funções como adicionar ou remover programas, entre outros.
quanto ao registro, eu não vou saber exatamente te falar o que está estranho, pois tem muita coisa, muito hive com chaves sem valor definido, uma infinidade de coisas repetidas nos classroots, etc.

Tem alguma maneira de escanear de forma mais objetiva para eu trazer algumas informações mais úteis?

Novamente, muitíssimo obrigado pela atenção, já estou perdendo o sono com isso...

mick 07 · 24 de julho

Qual passo a passo utilizado por você pra instalar o Windows 11? Baixou a imagem do site oficial da Microsoft? Criou pendrive bootável em outro PC, diferente do que pretende "formatar"?

joaonetoo · 24 de julho

@mick 07 sim, baixei do site oficial, em outro pc, em diversos pendrives diferentes, versões diferentes, etc.

eu nem quero fazer backup de nada que está no pc, só quero voltar as configurações de fábrica. já dei wipe no HD, clean pelo cmd, formatei de maneira lenta, e nada.

mick 07 · 24 de julho

Precisamos de imagens dos fatos que você alega, pra descartar possibilidade de equívoco seu na interpretação deles.

joaonetoo · 24 de julho

HiJackThis.log @mick 07 pode me orientar a como fazer essa imagem?

Vi em alguns fórums o pessoal enviando um log gerado por um aplicativo, não sei exatamente se hijackthis, malwarebytes, farbar ou algum outro.

mick 07 · 24 de julho

3 minutos atrás, joaonetoo disse:

pode me orientar a como fazer essa imagem?

Famoso "print screen" ou até mesmo foto de celular.

Você ainda não respondeu o passo a passo realizado, desde baixar a imagem até a instalação e verificação de scripts sendo executados no Windows recém instalado.

joaonetoo · 24 de julho

@mick 07 que passo a passo? já citei que baixei do site oficial, por outro computador, criei a midia em pen drives diferentes, a partir dai eu optei por formatar de maneira total, e é isso.

Print do que exatamente? Gerenciador de tarefas? Regedit? Pasta system32? Tem tanta possibilidade...

Anexei o log do hijackthis no post anterior, será que ajuda?

Essa imagem mostra alguns drivers da intel, segundo log do hijackthis, no entanto meu pc é amd, é normal isso?

mick 07 · 25 de julho

17 horas atrás, joaonetoo disse:

Print do que exatamente?

19 horas atrás, joaonetoo disse:

porém identifiquei processos estranhos

19 horas atrás, joaonetoo disse:

os problemas ficam retornando insistentemente

18 horas atrás, joaonetoo disse:

o win volta com outro usuário aleatório que executa alguns scripts na máquina, aos poucos vai destruindo alguns executáveis

etc. etc. etc.

Linio Alan · 27 de julho

Em 24/07/2024 às 17:59, joaonetoo disse:

@mick 07 Inicialmente, obrigado pela atenção.

Cara, basicamente sempre que faço uma instalação limpa o win volta com outro usuário aleatório que executa alguns scripts na máquina, aos poucos vai destruindo alguns executáveis, me impede de atualizar alguns drivers, e creio eu que tenha alterado algumas variáveis de ambiente, muitas DLLs estão com alguns números distintos apos seu nome em vários processos... sempre que executo algum software o mesmo também contém alguns 'extras' em seu caminho ex: /silent --onlogon --no-startup-window ; --win-session-start etc

ainda me impede de abrir funções como adicionar ou remover programas, entre outros.
quanto ao registro, eu não vou saber exatamente te falar o que está estranho, pois tem muita coisa, muito hive com chaves sem valor definido, uma infinidade de coisas repetidas nos classroots, etc.

Tem alguma maneira de escanear de forma mais objetiva para eu trazer algumas informações mais úteis?

Novamente, muitíssimo obrigado pela atenção, já estou perdendo o sono com isso...

- De qual usuário se refere?

- Os caminhos parecem legítimos, já verificou qual(is) dos programas que você apontou estão na pasta "Inicializar"?

- De que forma te impede de abrir/executar programas? Acusa algum erro específico? Poste detalhes/imagem

- Rodou algum programa de sanitização de registro do Windows para confirmar quais chaves realmente são ou não utilizadas/vazias?

Em 24/07/2024 às 18:25, joaonetoo disse:

@mick 07 sim, baixei do site oficial, em outro pc, em diversos pendrives diferentes, versões diferentes, etc.

eu nem quero fazer backup de nada que está no pc, só quero voltar as configurações de fábrica. já dei wipe no HD, clean pelo cmd, formatei de maneira lenta, e nada.

- Esse "outro PC" por onde você baixou, após o término do download, consegue confirmar se não está havendo modificação ou houve mudança no digest/checksum da .ISO? Aliás esse "outro PC" é 100% confiável de estar livre de malware?

- E como foi que você fez para instalar esse Windows: gravou um DVD ou está usando um pendrive? Lembre-se que se o fizer em um PC inadvertidamente infectado existe possibilidade de infecção no pendrive de instalação.

Em 24/07/2024 às 18:56, joaonetoo disse:

HiJackThis.log @mick 07 pode me orientar a como fazer essa imagem?

Vi em alguns fórums o pessoal enviando um log gerado por um aplicativo, não sei exatamente se hijackthis, malwarebytes, farbar ou algum outro.

- O programa de Análise de Logs aqui do Fórum infelizmente foi descontinuado, mas acredito que se você conseguir detalhar melhor os possíveis problemas apontados por você, com capturas de tela do que você considera ser o problema, vai ter gente que saberá lhe dizer se se trata mesmo de algo à se preocupar ou não.

Em 24/07/2024 às 19:05, joaonetoo disse:

@mick 07 que passo a passo? já citei que baixei do site oficial, por outro computador, criei a midia em pen drives diferentes, a partir dai eu optei por formatar de maneira total, e é isso.

Print do que exatamente? Gerenciador de tarefas? Regedit? Pasta system32? Tem tanta possibilidade...

Anexei o log do hijackthis no post anterior, será que ajuda?

Essa imagem mostra alguns drivers da intel, segundo log do hijackthis, no entanto meu pc é amd, é normal isso?

- Suponhamos que o PC onde você criou os pendrives bootaveis de Windows esteja infectado de alguma forma, os sintomas se repetiriam incontáveis vezes. Eu te recomendaria reformatar esses pendrives e criar nova mídia de instalação de Windows por um outro computador.

- Isso print de tudo o que você falou que é suspeito, apenas menionar por alto sem fornecer alguma evidência ficará complicado os demais membros do fórum te ajudar.

- Log do [Hijackthis] é ok, mas tem gente que pode não querer baixar esse arquivo para analisar por questões óbvias, como disse a área do fórum de análise de logs bem como o cargo de Analista de Segurança não existem mais, então talvez seria mais interessante você bater os prints do que você mesmo mencionou de suspeito, já poderá dar algum norte para quem se dispuser à analisar o seu caso.

@joaonetoo existem alguns componentes em placas-mãe AMD que são Intel. Nem tudo em uma motherboard AMD é 100% AMD então se for olhar por esse prisma não tem erro.