Dialers malditos no XP

CMAYER · 6 de fevereiro de 2006

Tenho um Bina conectado ao meu telefone (computador), ao verificar os números discados me deparei com um número de discagem internacional.

Resolvi passar um anti vírus na máquina e o Panda relatou os seguintes problemas:

Dialer - dialer.baj

Dialer - dialer.ABR

Dialer - dialer.XD

A questão é que na versão gratuita e online o anti vírus não corrige estes problemas.

Aqui o LOG do Hijak This

Logfile of HijackThis v1.99.1

Scan saved at 03:09:48, on 6/2/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\pctspk.exe

C:\WINDOWS\System32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Arquivos de programas\Click21\DialUP.exe

C:\Arquivos de programas\Internet Explorer\iexplore.exe

C:\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.click21.com.br/?UID=cmayer&DOMI...br&VERSAO=2.0.0

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.click21.com.br/?UID=cmayer&DOMI...br&VERSAO=2.0.0

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARQUIVOS DE PROGRAMAS\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O2 - BHO: PBlockHelper Class - {4115122B-85FF-4DD3-9515-F075BEDE5EB5} - C:\ARQUIVOS DE PROGRAMAS\ACELERADOR CLICK21\PBHELPER.DLL

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\arquivos de programas\google\googletoolbar2.dll

O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\arquivos de programas\google\googletoolbar2.dll

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [Google Desktop Search] "C:\Arquivos de programas\Google\Google Desktop Search\GoogleDesktop.exe" /startup

O4 - Startup: Acelerador Click21.lnk = C:\Arquivos de programas\Acelerador Click21\click21gui.exe

O4 - Startup: Microsoft Office.lnk = C:\Arquivos de programas\Microsoft Office\Office\OSA9.EXE

O4 - Startup: PowerReg SchedulerV2.exe

O8 - Extra context menu item: &Pesquisa do Google - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: &Traduzir palavra em inglês - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Instantâneo da página em cache - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Links para esta página - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Páginas semelhantes - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmsimilar.html

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: {072D3F2E-5FB6-11D3-B461-00C04FA35A21} (CFForm Runtime) - http://bestlife.click21.com.br/CFIDE/classes/CFJava.cab

O16 - DPF: {24311111-1111-1121-1111-111191113457} -

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwa...ash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{B3721521-7EC3-404B-918F-191BDB31EE08}: NameServer = 200.227.128.21 200.227.128.20

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: W2K PCtel speaker phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\System32\pctspk.exe

O23 - Service: Remote Procedure Call (RPC) Monitoring (Rpcmon) - Unknown owner - C:\WINDOWS\System32\Rpcmon.exe (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\System32\ZoneLabs\vsmon.exe

Espero que alguém possa me ajudar a me livrar destes dialers, e também me dizer como evitá-los no futuro.

Forte abraço

JoseMelo · 6 de fevereiro de 2006

- Faça o download do Killbox e execute-o.

Marque a opção Delete on Reboot. Em Full Path of File to Delete, coloque:

C:\WINDOWS\System32\Rpcmon.exe

Clique no X e em Não

.- Reinicie o computador em modo seguro (pressione F8 durante a inicialização);

- Digite no Executar services.msc, localize o serviço Remote Procedure Call, dê um duplo clique e escolha Desativado. Clique também em Parar;

- Abra o HijackThis, clique em Open the Misc Tools Section e em Delete an NT Services..., coloque o serviço Remote Procedure Call e clique em Ok. Quando perguntado se deseja reiniciar agora, clique em Não;

- Reinicie em modo normal, gere novo log e cole na sua resposta.

CMAYER · 7 de fevereiro de 2006

Fala amigo

Antes de qualquer coisa obrigado pela ajuda.

Segue o que se passou:

Na etapa do FULL PATH TO DELETE digitei como foi dito

C:\WINDOWS\SYSTEM32\RCPMON.EXE

Cliquei na Opção DELETE ON REBOOT no X e no NÃO, a janela se fechou e nada foi feito.

Reiniciei o computador em modo seguro executei o SERVICES achei REMOTE PROCEDURE CALL conseguí DESATIVÁ-LO porém a opção PARAR estava desabilitada!!

Já no HijackThis fiz o processo indicado passo a passo e ao digitar no prompt REMOTE PROCEDURE CALL e clicar em OK apareceu a seguinte mensagem:

Service "REMOTE PROCEDURE CALL" was not found in the registry.

Make sure you entered the short name of the service,vb Exclamation.

Percebi que algo deu errado e acredito que o infame do RCPMON.EXE ainda está lá. Mesmo assim envio o log para sua apreciação.

Logfile of HijackThis v1.99.1

Scan saved at 17:41:51, on 7/2/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\pctspk.exe

C:\WINDOWS\System32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.click21.com.br/?UID=cmayer&DOMI...br&VERSAO=2.0.0

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.click21.com.br/?UID=cmayer&DOMI...br&VERSAO=2.0.0

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\ARQUIVOS DE PROGRAMAS\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\arquivos de programas\google\googletoolbar2.dll

O3 - Toolbar: &Rádio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\arquivos de programas\google\googletoolbar2.dll

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [CountrySelection] pctptt.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Arquivos de programas\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - Startup: Microsoft Office.lnk = C:\Arquivos de programas\Microsoft Office\Office\OSA9.EXE

O4 - Startup: PowerReg SchedulerV2.exe

O8 - Extra context menu item: &Pesquisa do Google - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: &Traduzir palavra em inglês - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Instantâneo da página em cache - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmcache.html

O8 - Extra context menu item: Links para esta página - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Páginas semelhantes - res://c:\arquivos de programas\google\GoogleToolbar2.dll/cmsimilar.html

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: {072D3F2E-5FB6-11D3-B461-00C04FA35A21} (CFForm Runtime) - http://bestlife.click21.com.br/CFIDE/classes/CFJava.cab

O16 - DPF: {24311111-1111-1121-1111-111191113457} -

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwa...ash/swflash.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARQUIV~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: W2K PCtel speaker phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\System32\pctspk.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\System32\ZoneLabs\vsmon.exe

P.S. Uma curiosidade é que o meu firewall Zone Alarm assim que a máquina é ligada solicita autorização 2 vezes para SVCHOST e no gerenciador de tarefas ele aparece 4 vezes e "comendo" processador de forma violenta.

JoseMelo · 7 de fevereiro de 2006

- É normal que o svchost crie várias instâncias;

- O RCPMON.EXE saiu;

- Desative e ative novamente a Restauração do Sistema. Abra o Painel de Controle > Sistema > Restauração do Sistema. Marque: Desativar a restauração do sistema, clique em Aplicar e Ok. Em seguida desmarque novamente a opção e clique em Aplicar e Ok;

- Leia o artigo Proteja seu PC para mais informações sobre como evitar infecções.