Processo "msdoc.exe" ?

worms_coalchamber · 30 de novembro de 2004

Olá...

Toda vez que inicio meu micro esse processo esta aberto msdoc.exe, e só quando finalizo ele minha internet funciona... alguem sabe o que seria isso???

valeu...

OFAJ · 30 de novembro de 2004

Worms_coalchamber,

Os sintomas descritos no post inicial indicam que alguma "Praga Digital" infectou seu computador. Para termos informações mais precisas é válido utilizar uma Ferramenta de Diagnóstico e Reparação, hábil no apontamento de entradas de programas maliciosos no computador.

O Hijack This! permite o usuário diagnosticar e reparar diferentes problemas no computador, entretanto, é necessário saber o que deve ser mantido e o que deve ser eliminado, pois ações incorretas com este programa podem afetar o Sistema Operacional. Nesse sentido o Fórum do Clube do Hardware pode te auxilar no que deve ser corrigido. O importante é você baixar o Hijack This! através dos links presentes AQUI. Após baixar e abrir o Hijack This! clique apenas em 'Scan' e após receber o resultado clique apenas em 'Save Log'. Assim que o arquivo for salvo em alguma pasta da sua escolha, cópie o relatório e cole neste tópico para avaliação.

Aproveito o momento para para lhe perguntar quais são os programas de proteção existentes no seu micro, sito, nome do Anti-Vírus, Anti-Spywares e Firewall, pois esse trio também pode auxiliar na remoção de "Praga Digitais" , portanto, caso não conheça algum destes itens, mantenha-nos informado.

ABS.,

ATT.,

OFAJ.

worms_coalchamber · 30 de novembro de 2004

Oie...

atualmente eu tenho usado o norton 2004, e spybot... meu windows esta com o sp2 instalado...

o log criado foi este...

Logfile of HijackThis v1.98.2

Scan saved at 18:25:28, on 30/11/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\wrauclt.exe

C:\WINDOWS\system32\svxhost.exe

C:\WINDOWS\system32\syswin32.exe

C:\Arquivos de programas\Winamp\winampa.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exe

C:\Arquivos de programas\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

C:\Arquivos de programas\Norton SystemWorks\Password Manager\AcctMgr.exe

C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe

C:\Arquivos de programas\Norton SystemWorks\Norton CleanSweep\CsinsmNT.exe

C:\WINDOWS\system32\devldr32.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccSetMgr.exe

C:\ARQUIV~1\NORTON~1\NORTON~4\GHOSTS~2.EXE

C:\Arquivos de programas\Norton SystemWorks\Norton Antivirus\navapsvc.exe

C:\ARQUIV~1\NORTON~1\NORTON~2\NPROTECT.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\ARQUIV~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\system32\MsPMSPSv.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccEvtMgr.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\Security Center\SymWSC.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Arquivos de programas\Norton SystemWorks\Norton Antivirus\SAVScan.exe

C:\Arquivos de programas\Winamp\winamp.exe

C:\Arquivos de programas\Internet Explorer\iexplore.exe

C:\Arquivos de programas\Messenger\msmsgs.exe

C:\Arquivos de programas\FlashGet\flashget.exe

C:\DOCUME~1\Worms\CONFIG~1\Temp\Diretório temporário 1 para hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.terra.com.br/

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.brasiltelecom.com.br/

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Arquivos de programas\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\ARQUIV~1\FlashGet\jccatch.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Arquivos de programas\Norton SystemWorks\Norton Antivirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Arquivos de programas\Norton SystemWorks\Norton Antivirus\NavShExt.dll

O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\ARQUIV~1\FlashGet\fgiebar.dll

O4 - HKLM\..\Run: [Microsoft Office] svxhost.exe

O4 - HKLM\..\Run: [Microsoft Documents] Msdoc.exe

O4 - HKLM\..\Run: [Microsoft WinUpdate] syswin32.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Arquivos de programas\Winamp\winampa.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [ccApp] "C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Arquivos de programas\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

O4 - HKLM\..\Run: [AcctMgr] C:\Arquivos de programas\Norton SystemWorks\Password Manager\AcctMgr.exe /startup

O4 - HKLM\..\Run: [*windows update] wrauclt.exe

O4 - HKLM\..\Run: [quando FastAndSafe] C:\Arquivos de programas\Norton SystemWorks\Norton CleanSweep\QDCSFS.exe /startup

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe

O4 - HKLM\..\Run: [DevconDefaultDB] C:\WINDOWS\READREG /PSCONV={NO} /NO_DEFPS

O4 - HKLM\..\RunServices: [Microsoft Office] svxhost.exe

O4 - HKLM\..\RunServices: [blah service] msnmsgrr.exe

O4 - HKLM\..\RunServices: [Microsoft Documents] Msdoc.exe

O4 - HKLM\..\RunServices: [Microsoft WinUpdate] syswin32.exe

O4 - HKLM\..\RunServices: [*windows update] wrauclt.exe

O4 - HKCU\..\Run: [Microsoft Office] svxhost.exe

O4 - HKCU\..\Run: [Microsoft WinUpdate] syswin32.exe

O4 - HKCU\..\Run: [Windows Update] vgcntfy.exe

O4 - HKCU\..\Run: [Microsoft SCVHOST32 Protocol] scvhost32.exe

O4 - HKCU\..\Run: [*windows update] wrauclt.exe

O4 - HKCU\..\Run: [RemoteCenter] C:\Arquivos de programas\Creative\MediaSource\RemoteControl\RcMan.exe

O4 - Global Startup: Smart Sweep-Internet Sweep do CleanSweep.lnk = C:\Arquivos de programas\Norton SystemWorks\Norton CleanSweep\CsinsmNT.exe

O8 - Extra context menu item: Download All by FlashGet - C:\Arquivos de programas\FlashGet\jc_all.htm

O8 - Extra context menu item: Download using FlashGet - C:\Arquivos de programas\FlashGet\jc_link.htm

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARQUIV~1\FlashGet\flashget.exe

O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\ARQUIV~1\FlashGet\flashget.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Arquivos de programas\Messenger\msmsgs.exe

O14 - IERESET.INF: SEARCH_PAGE_URL=&http://home.microsoft.com/intl/br/access/allinone.asp

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php...7ec58ff8178110e

O17 - HKLM\System\CCS\Services\Tcpip\..\{498C9F22-FBEB-41DC-BC11-7DB046CFE92A}: Domain = @

O17 - HKLM\System\CCS\Services\Tcpip\..\{8F47241A-D4CA-48AD-90D3-5F5F45D9495C}: NameServer = 201.10.120.2 201.10.128.3

O17 - HKLM\System\CS1\Services\Tcpip\..\{498C9F22-FBEB-41DC-BC11-7DB046CFE92A}: Domain = @

lembrando que o msdoc.exe eu tiver que finalizar para usar a internet...

valeu... te+++

OFAJ · 30 de novembro de 2004

Postado Originalmente por worms_coalchamber@30 nov 2004, 18:32
Oie...

atualmente eu tenho usado o norton 2004, e spybot... meu windows esta com o sp2 instalado... [...]

Worms_coalchamber, diante das informações presentes no útimo relatório, recomendo que algumas ações sejam tomadas, quais sejam:

As 12 entradas discriminadas abaixo devem ser suprimidas, mediante os seguintes passos: O programa HijackThis, deve ser aberto no "Modo Seguro". Neste sentido basta reiniciar o micro teclando F-8 constantemente, optando posteriormente por iniciar o micro no "Modo Seguro". Com o programa aberto nestas condições clique em 'Configuration' e vá na Paleta 'Main' verificando e habilitando o boxe com a opção 'Make Backups before fixing items'. Provavelmete ele já estará habilitado, junto com outros, mas convêm verificar para evitar ações sem saída. Feito isso clique primeiro em 'Back' e depois em 'Scan'. Após obter os resultados, desabilite todas entradas que estão com boxes habilitados. Após isso selecione, com atenção, apenas as 12 entradas destacadas abaixo, clicando posteriormente em "Fix Checked".

============================================================

O4 - HKLM\..\Run: [Microsoft Documents] Msdoc.exe

O4 - HKLM\..\Run: [Microsoft WinUpdate] syswin32.exe

O4 - HKLM\..\Run: [*windows update] wrauclt.exe

O4 - HKLM\..\RunServices: [blah service] msnmsgrr.exe

O4 - HKLM\..\RunServices: [Microsoft Documents] Msdoc.exe

O4 - HKLM\..\RunServices: [Microsoft WinUpdate] syswin32.exe

O4 - HKLM\..\RunServices: [*windows update] wrauclt.exe

O4 - HKCU\..\Run: [Microsoft WinUpdate] syswin32.exe

O4 - HKCU\..\Run: [Windows Update] vgcntfy.exe

O4 - HKCU\..\Run: [Microsoft SCVHOST32 Protocol] scvhost32.exe

O4 - HKCU\..\Run: [*windows update] wrauclt.exe

O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://public.windupdates.com/get_file.php...7ec58ff8178110e

============================================================

Após este passo vá na pasta C:\WINDOWS\SYSTEM32, e tente 'localizar' os arquivos svxhost.exe e syswin32.exe. Se você não encontrá-los entre os arquivos melhor, todavia, se encontrá-los e for possível deletá-las direto o faça, e se no caso da exclusão apareçer uma mensagem do tipo "Este arquivo esta sendo utilizado pelo Windows", faça o seguinte: Aperte Crtl+Alt+Del e ao abrir o 'Gerenciador de Tarefas do Windows', vá na aba 'Processos', onde você poderá localizar os "Processos" em questão. Após selecioná-los, individualmente, clique em "Finalizar Processo". Volte na pasta C:\WINDOWS\SYSTEM32 e delete aquelas Pragas Digitais, limpando sua lixeira posteriormente.

============================================================

Sem querer desprestigiar ou diminuir o valor do "Firewall do WinXP", entendo que o mais prudente é optar por um "Firewall" elaborado por alguma empresa que se aplica específicamente neste mercado, tais como os programas Zone Alarm, Sygate, Outpost, Kerio e Kaspersky. mais informações podem ser obtidas no Fórum sobre Segurança, na listagem dos "Tópicos Importantes." Existe também um "Tópico Importante" intitulado "Configurando Firewalls", acessível por AQUI, onde é possível visualizar "Tutoriais" de vários Firewalls, sito, Zone Alarm, Sygate, Outpost, Kerio e Kaspersky, portanto, um ótimo facilitador na ora de configurar sua defesa.

============================================================

Worms, recomendo você fazer o download e passsar o Anti-Spyware *Ad-Aware SE Personal Edition , bastando clicar AQUI , pois o Spybot - Search & Destroy você já alertou que tem na sua máquina. Com ambos devidamente atualizados, é válido você rodá-los no "Modo Seguro", inclusive o Anti-Vírus, pois o funcionamento do micro no 'Modo Seguro' impede que certas pragas influênciem ou se esquivem da ação do Anti-virus e Anti-Spywares, pelo fato dessas pragas terem eficácia mais comumente no 'Modo Normal'. Neste sentido basta reiniciar o micro teclando F-8 constantemente, optando posteriormente por iniciar o micro no "Modo Seguro".

*Com relação aos procedimentos via Ad-Aware SE Personal , acrescento somente uma dica; Após abrir o programa e dar 'Start' será aberta a tela que precede o início da varredura. Observe que existem 4 opções de seleção para o Scan. Dentre essas 4 opções habilite a 2 da lista denominada 'Perform Full System Scan', que percorre todas pastas existentes no micro.

No "Modo Normal" usado cotidianamente, recomendo você rastrear o micro através de um Scan Online, por exemplo, sito o Housecall da Trend Micro, totalmente desburocrático e de fácil operação. Certas pragas tem a habilidade de driblar os mecanismos de detecção instalados nos anti-virus que geralmente temos no micro, neste sentido, os' Scans Online' detectam pragas que muitas vezes estão invisíveis aos programas de segurança previamente instalados.

Após concluir o "Rapa" via HijackThis, faça um novo "Scan", salvando e substituindo o relatório e/ou log antigo, por fim, copiando o teor do mesmo e disponibilizando para análise do Fórum.

ABS.,

ATT.,

OFAJ.

worms_coalchamber · 13 de dezembro de 2004

aí...

muuito tempo depois consegui voltar aqui huauha... o que foi passado na ultima vez resolveu meu problema... mas ele voltou... e se for possivel me ajudar aí... ai esta o log que foi criado dessa vez..

valeuuu....

Logfile of HijackThis v1.98.2

Scan saved at 13:19:33, on 13/12/2004

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Arquivos de programas\Winamp\winampa.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccApp.exe

C:\Arquivos de programas\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

C:\Arquivos de programas\Norton SystemWorks\Password Manager\AcctMgr.exe

C:\WINDOWS\system32\CTHELPER.EXE

C:\Arquivos de programas\Creative\SBLive\Surround Mixer\CTSysVol.exe

C:\Arquivos de programas\Arquivos comuns\InstallShield\UpdateService\issch.exe

C:\Arquivos de programas\Norton SystemWorks\Norton CleanSweep\CsinsmNT.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccSetMgr.exe

C:\WINDOWS\system32\CTsvcCDA.exe

C:\ARQUIV~1\NORTON~1\NORTON~4\GHOSTS~2.EXE

C:\Arquivos de programas\Norton SystemWorks\Norton Antivirus\navapsvc.exe

C:\ARQUIV~1\NORTON~1\NORTON~2\NPROTECT.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\ARQUIV~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\MsPMSPSv.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\ccEvtMgr.exe

C:\Arquivos de programas\Arquivos comuns\Symantec Shared\Security Center\SymWSC.exe

C:\Arquivos de programas\Winamp\winamp.exe

C:\Arquivos de programas\Norton SystemWorks\Norton Antivirus\SAVScan.exe

C:\WINDOWS\System32\imapi.exe

C:\Arquivos de programas\Ahead\Nero\nero.exe

C:\Arquivos de programas\WinAce\WinAce.exe

C:\DOCUME~1\Worms\CONFIG~1\Temp\~AceTemp\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = &http://home.microsoft.com/intl/br/access/allinone.asp

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.brasiltelecom.com.br/

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Arquivos de programas\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx