Ferramenta de remoção e detecção da carga de Download.Ject

• Monitora o acesso à Internet. Quando o usuário visita o site de uma instituição financeira, por exemplo, o cavalo de tróia captura as informações mais importantes, como logins, senhas e outras informações. Em seguida ele envia essas informações para um servidor da Web por meio do qual o autor do cavalo de tróia as recebe. Instala um servidor proxy que configura o computador do usuário para ser usado como retransmissor para ações como o envio de spam.
• Abre caixas de diálogo falsas que solicitam que o usuário insira informações confidenciais, como códigos de cartão eletrônico ou números de cartão de crédito. Essas informações são enviadas para o autor do cavalo de tróia por meio de um servidor da Web.

• 8 de fevereiro de 2005: A Microsoft substituiu essa ferramenta pela ferramenta de remoção de software mal-intencionado do Microsoft Windows. Para obter informações adicionais sobre a ferramenta de remoção de software mal-intencionado, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft:
  890830  (http://support.microsoft.com/kb/890830/ ) A ferramenta de remoção de software mal-intencionado do Microsoft Windows ajuda a remover softwares mal-intencionados específicos e predominantes dos computadores que executam Windows Server 2003, Windows XP ou Windows 2000
• 14 de julho de 2004: As seções "Resumo", "Resolução" e "Informação de uso" foram atualizadas.
• 13 de julho de 2004: A Microsoft disponibilizou a versão 1.0 da ferramenta de remoção e detecção da carga de Download.Ject no Centro de Download da Microsoft. A versão 1.0 detecta e remove todas as variantes atualmente conhecidas (de A a H) do cavalo de tróia Backdoor:W32/Berbew.

Voltar para o início

• O desempenho do seu computador diminui ou a conexão de rede fica lenta.
• Mensagens ou caixas de diálogo solicitando números de cartões e informações sobre o cartão de crédito são exibidas ao visitar determinados sites ISP e financeiros.

Voltar para o início

Voltar para o início

Informações sobre o download e a instalação

Pré-requisitos

• Seu computador deve estar executando o Microsoft Windows 2000 SP2 ou mais recente, ou uma versão de 32 bits do Microsoft Windows XP.
• É necessário fazer o logon como um administrador de computador ou membro do grupo Administradores.

Requisitos de reinicialização

Voltar para o início

Informações de uso

1. Examinará as seguintes subchaves do Registro em busca de entradas adicionadas pelo cavalo de tróia.
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
   • HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32
2. Pesquisará, na memória, evidências do componente principal do cavalo de tróia Backdoor:Win32/Berbew. Se a ferramenta de remoção encontrar algo, o processo será encerrado.
3. Pesquisará os seguintes arquivos de dados criados pelo cavalo de tróia. Esses arquivos podem conter dados pessoais importantes. A ferramenta os exclui.
   Neh2x32.vxd
   Neh2x32.dat
   Glumx32.vxd
   Glumx32.dat
   Tt32.vxd
   Tt32.dat
   Gart32.vxd
   Gart32.dat
   Jcole32.vxd
   Jcole32.dat
   Kk32.dll
   Kk32.dll
   Dnkk.dll
   Surf.dat
   Kkq32.dll
   Kkq32.vxd
   Dnkkq.dll
   Kar32.dll
   Kar32.vxd
   Dkk32.dll
   Zurfs.dat
4. A ferramenta exclui todos os arquivos associados ao cavalo de tróia Backdoor:W32/Berbew. Esses arquivos foram identificados nas etapas 1 e 2.
5. A ferramenta remove as entradas do Registro identificadas na etapa 1. Se um valor do Registro do Berbew não apontar mais para um arquivo no disco rígido, a ferramenta de remoção não irá remover o valor do Registro "orfão", porque esse valor não causará danos se o arquivo associado não existir no disco rígido.
6. Como parte de seu método de operação, o cavalo de tróia executa duas instâncias do Microsoft Internet Explorer em janelas ocultas. Essas janelas tentam se conectar a sites mal-intencionados. Uma instância tenta carregar dados pessoais roubados, enquanto a outra procura atualizações de software para o cavalo de tróia. Se a ferramenta detectar o cavalo de tróia Backdoor:W32/ Berbew no computador, ela fechará todas as instâncias atualmente em execução do Internet Explorer.
7. Ela irá exibir uma mensagem que descreve o resultado do processo de detecção e remoção. A seguinte lista contém as mensagens que podem ser exibidas e explica o significado de cada mensagem:
   Recolher esta tabelaExpandir esta tabela

   Mensagem	Significado
   Nenhuma infecção encontrada	O cavalo de tróia Backdoor:Win32/Berbew não foi detectado neste computador.
   O cavalo de tróia Backdoor:Win32/Berbew.gen foi removido com êxito. Para impedir a comunicação mal-intencionada, todas as instâncias do Internet Explorer foram encerradas.	O cavalo de tróia Backdoor:Win32/Berbew foi removido. Nenhuma ação adicional é necessária.
   Esta ferramenta deve ser executada por um administrador.	É necessário se desconectar e fazer o logon novamente como administrador.
   Erro fatal, revise o arquivo de log.	Verifique o diretório %Windir%\Debug\Berbcln.log para obter informações adicionais.
   O cavalo de tróia Backdoor:/W32/Berbew.gen foi detectado, mas não pôde ser removido.	Tente executar a ferramenta novamente e examine o arquivo de log em busca de erros.
   Esta ferramenta requer Windows 2000 ou Windows XP.	Esta ferramenta é suportada apenas pelas versões 2000 e XP do Windows.
   Versão do Windows incorreta (Win32s)	Esta ferramenta não é suportada pelo Windows 3.1 com Win32s.

   Ao fechar a caixa de mensagem, a ferramenta de remoção fecha e o arquivo Berbcln.exe é excluído da pasta temporária. Agora é possível excluir o arquivo Windows-KB873018-ENU-V1.exe manualmente.
8. A ferramenta de remoção cria um arquivo de log chamado Berbcln.log na pasta %Windir%\Debug. É possível consultar esse arquivo de log para determinar se as infecções de Backdoor:W32/Berbew.gen foram detectadas e removidas.

Opções de linha de comando

• /Q - Especifica o modo silencioso ou suprime as mensagens quando os arquivos estiverem sendo extraídos.
• /Q:U - Usa o modo silencioso do usuário. O modo silencioso do usuário apresenta algumas caixas de diálogo ao usuário.
• /Q:A - Usa o modo silencioso do administrador. O modo silencioso do administrador não apresenta caixas de diálogo ao usuário.
• /T: caminho - Especifica o local da pasta temporária usado pelo programa de instalação da ferramenta de remoção e detecção da carga de Download.Ject ou a pasta de destino para extrair os arquivos (quando usado com a opção /C).
• /C - Extrai os arquivos sem instalá-los. Se /T: caminho não for especificado, você será solicitado a especificar uma pasta de destino.
• /C: cmd - Especifica o caminho e o nome de um outro arquivo Setup.inf ou um arquivo .exe a ser usado para a instalação da ferramenta.
• /R:N - Nunca reinicia o computador após a instalação.
• /R:I - Solicita que o usuário reinicie o computador caso isso seja necessário, exceto quando usada com a opção /Q:A.
• /R:A - Sempre reinicia o computador após a instalação.
• /R:S - Reinicia o computador após a instalação sem avisar o usuário.

• /S - Ativa o modo silencioso para a ferramenta. Essa opção suprime a caixa de diálogo de status da infecção recebida após a ferramenta ser executada.

Informações sobre a remoção

Voltar para o início