Olá, pessoal, tudo bem?
Em mais um artigo sobre segurança, vamos explicar passo a passo como excluir um tipo de vírus bastante interessante, o fake MS Tool Removal que, para enganar os usuários se passa como a Ferramenta de Remoção de Software Mal-Intencionado (KB890830) Microsoft® Windows®, que é uma ferramenta autêntica para remoção de malwares (Programas mal intencionados) da Microsoft.
Essa peste é tão inteligente que tem até um site oficial http://www.virusremovalguru.com/
Entenda como ele age:
Se trata de um executável, que ao ser instalado cria um atalho para todos os usuários em C:DOCUMENTS AND SETTINGSALL USERSDADOS DE APLICATIVOS, que é carregado com o sistema;
Tudo que você tentar abrir/executar (taskmgr/CTRL+ALT+DEL) ele notifica como infectado, aparecendo uma mensagem similar a abaixo:
Ele fecha qualquer programa que tenha privilégio no sistema, desde um simples notepad, paintbrush até antivírus…
Como Excluir
É muito simples, basta seguir os passos abaixo:
1) Se você consegue usar um Live CD do Linux, basta iniciar o Linux via CD, acessar a pasta C:DOCUMENTS AND SETTINGSALL USERSDADOS DE APLICATIVOS e excluir qualquer executável que esteja alojado nela, reinicie o PC e depois use o Trojan Remover e apague os rastros dele, se não, siga nossa dica.
Primeira coisa à fazer, já que ele engana a gente, vamos engana-lo também, vamos registrá-lo com um serial válido que se encontra em qualquer site de pirataria…
Clique em Remove que ele solicitará o registro para usá-lo,
Use uma das chaves abaixo:
WNDS-TGN15-RFF29-AASDJ-ASD65
WNDS-U94KO-LF4G4-1V8S1-2CRFE
WNDS-6W954-FX65B-41VDF-8G4JI
WNDS-G84H6-S854F-79ZA8-W4ERS
WNDS-TTUYJ-7UO54-G561H-J1D6F
WNDS-A1SDF-6AS4D-RF5RE-79G84
WNDS-A1SDF-RY4E8-7U98D-F1GB2
WNDS-5SRTS-AEHUF-YA54S-D6F35
WNDS-P9685-4H41A-DSW3A-2R64T
Feito isso, agora é possível abrir o Gerenciador de Tarefas, pressione CTRL+ALT+DEL e verifique
Clique com o botão direito sobre ele e escolha IR PARA O PROCESSO
Observe o nome que ele está usando… Anote o nome dele (isso é importante!!), depois clique nele e clique no botão FINALIZAR TAREFA, isso deve fecha-lo como qualquer programa no Windows.
Agora abra o Editor de Registros (REGEDIT), clicando em INICIAR/EXECUTAR, digite REGEDIT e clique em OK
No Editor de Registro, pressoione a tecla de função F3 e digite o nome do vírus e clique em PESQUISAR
Apague todas as entradas que encontrar
Observe que ele está na pasta C:DOCUMENTS AND SETTINGSALL USERSDADOS DE APLICATIVOSoEi31001kFgMg31001
Agora que ele está fechado, via comando vamos apaga-lo…
Clique em INICIAR/EXECUTAR, digite CMD e clique em OK, na tela de comando digite CD e enter;
Depois digite CD DOCUM e pressione a tecla TAB para completar o nome da pasta
Entre na pasta ALL USERS pelo mesmo método
E por último na pasta DADOS DE APLICATIVOS
Agora vamos alterar os atributos da pasta que contém o vírus para apaga-la, para isso use o comando ATTRIB -H -A -R -S /D /S NOMEDAPASTA
E por último, vamos apagá-la, para isso use o comando RD /Q /S NOMEDAPASTA (Veja na imagem acima)
Pronto!
Basta usar o programa para limpar o registro, do tipo MV Reg Clean ou CCleaner, reiniciar o computador e pronto!
Gostou? Siga-me no Twitter | Visite meu blog | Comente! Espalhe!
Netto
24 Comentários
Olá
Meu namorado abriu esse vírus no meu computador..
A princípio consegui parar ele seguindo os primeiros passos
mas quando chegou nas telas pretas, me perdi e nao consegui seguir o processo.
O virus travou meu AVG, adianta se eu baixá-lo de novo e tentar rodar?
Obrigada
Olá, Michelle…
Não adianta instalar ou usar antivírus de sistema contaminado você só vai piorar as coisas.
Siga o manual passo a passo que dá certo, as telas “pretas” são as mais essenciais, não tem como errar e os passos descritos são suficientes para que o trojan seja eliminado.
Se precisar fale com a gente, é sempre um prazer ajudar.
As chaves não estao funcionando mais, tem outras?
Agradecido.
olá..esse virus não está aceitando nenhum dos códigos:WNDS-TGN15-RFF29-AASDJ-ASD65
WNDS-U94KO-LF4G4-1V8S1-2CRFE
WNDS-6W954-FX65B-41VDF-8G4JI
WNDS-G84H6-S854F-79ZA8-W4ERS
WNDS-TTUYJ-7UO54-G561H-J1D6F
WNDS-A1SDF-6AS4D-RF5RE-79G84
WNDS-A1SDF-RY4E8-7U98D-F1GB2
WNDS-5SRTS-AEHUF-YA54S-D6F35
WNDS-P9685-4H41A-DSW3A-2R64T………..o que faço????
As chaves não estao funcionando no meu pc, pode me enviar outras? Obrigada.
Reinicie o computador no modo seguro, pressionando a tecla F8 assim que a bios carregar, escolha modo seguro somente comando e siga os passos a partir do… Agora abra o Editor de Registros (REGEDIT), clicando… que dá certo. O serial é importante quando se deseja excluir o vírus com ele ativo, mas no modo seguro somente comando ele fica desativado. Siga os demais passos como no tutorial que dá certo.
Não se esqueça de comentar quando der certo, ok?!
Ótimas dicas essas, muito obrigado. Consegui excluí-lo através do ubuntu que eu tenho na máquina, foi mais fácil. Por essas que digo que nada como um linux, rsrs.
Passo a passo muito bom mais complicado eu usei o Antimalware (malwarebytes )no modo seguro com rede pq ele prescisa ser atualizado.Funfou zerado achou 29 malwares em pouco menos de 3 minutos eu mandei deletar ele padie pra reiniciar e pronto o pc ta zerado..ABS e parabens NETTO são iniciativas assim que fazem o mundo um pouco melhor . digo isso pq tudo hj e pago
Grato pelo tutorial, muito útil, mas eu usei um outro método, em partes.
eu baixei o “Process Killer” desse site aqui:”http://trojan-killer.net/ms-removal-tool-scam-how-to-remove-ms-removal-tool-fake-anti-virus/#more-2550″(ver o endereço no vídeo) que ele “matou” o proceso do virus e me mostrou aonde ele se esconde, e depois eu só segui as instruções do prompt.
mas sinceramente, que vírus mais “cara-de-pau”, temos que espalhar isso!
e obg mais uma vez e vc acabou de ganhar mais um seguidor.
Que bom que está sendo útil… isso me encoraja postar mais artigos nessa área, já que eu faço esse tipo de serviço há mais de 10 anos…
Gustavo, no seu caso também é uma excelente dica só tenho restrição com relação à instalar mais um programa… existem outras alternativas também. Eu uso um CD de boot c/ XP emulado e apago ou renomeio os arquivos suspeitos, mas isso é post para meu próximo artigo… hehehe!
Valeu pelos comentários.
Netto, vc esta online? Preciso urgentemente de ajuda, por favor! Caso esteja vc tem algum meio de comunicação sem ser o blog para eu te falar melhor o que esta acontecendo? Obrigado desde ja.
Boa Noite
Cheguei em casa e acabei de descobrir esse virus no meu computador, estou tentando seguir os passos mais as chaves estão dando inválidas. Por favor me ajude, tem outra chave que eu possa utilizar, pois esse problema conseguiu tirar minha calma, não consigo abrir nada.
Desde já agradeço.
Prezada Cida, infelizmente não tenho mais chaves para desbloquear o removal, mas já está em revisão um artigo que explica como remover esse vírus usando um LiveCD do Ubuntu. Depende do pessoal da redação para liberar, acredito que em dois dias estará liberado.
Prezado Netto, eu cehguei na parte das chaves, nenhuma das chaves deu certo, mas depois tentei acionar o finalizador de tarefas, ele abriu, porém quando abriu o falso anti-firus sumiu por completo do computador, consegui abrir meu AVAST e fiz o scanner, neu deu nenhuma ameça e não achei o local onde ele está armazenado, o computar voltou a funcionar normalmente sem nada que eu pudesse fazer, você poderia explicar isso? Ou ele somente está oculto e ainda fazendo os estragos?
Uso o AVAST atual e o Windows 7 Ultimate. Obrigado.
Oi Nett,me ajuda!!
Meu pc pegou este virus MS Removal Tool,mais o meu wind é xp,oq eu faço??
grata!!
Prezado Netto,
Ontém meu computador foi infectado com o MS removal tool. Fiquei deseperada, por que não conseguia abrir nenhum site, meu explorer travava, uma confusão só. Aí, com muito custo, consegui encontrar suas explicações, mas me perdi em alguns passos na execução. Entretanto, lendo os outros post do site, encontrei falando sobre a uttilização do Malwarebytes’ Anti-Malware executado em modo segurança. Aí fiz esse procedimento e deu certo. Re-instalei um antivírus, escaneie todo o computador e não apareceu mais nada. Entretanto, gostaria de saber se posso ficar segura de que não tem mais vírus no meu pc, visto que não fiz o procedimento que vc sugeriu ou se devo formatar para garantir. Queria ter seguraça pois quero adquirir um antívirus pago mas estou preocupada de ter minha senha bancária capturada enquanto faço este procedimento. Vc pode me ajudar?
Prezada Maria Emilia…
Que bom que conseguiu remover o trojan, não importa os meios e sim o fim…
Quanto à captura de senha bancária a segurança só depende de você… siga as regras:
– Não clique em qualquer link que recebe via MSN, Orkut, etc;
– Instale um bom antivírus (eu uso e recomendo o Avast);
– Bancos não mandam atualizações via internet (email, redes sociais), por isso fique esperta!
– Baixe aplicativos somente em sites confiáveis e se for para uso bancário então, somente no site do banco…
O risco sempre existe, mas mantendo-se alerta e um antivírus atualizado as chances são menores…
E uma dica simples que eu sempre passo pros meus clientes: Ao acessar sua conta bancária digite alguma informação errada para ver, se o site aceitar ou não exibir uma mensagem de erro é porque você está no site errado… pense nisso e boa sorte!
Obrigado pelo comentário!
otimo post, mais acredito que so removedo o exe ja basta
Ola Netto, por favor me ajude.
Quando eu clico para remover não aparece pedido de chave mas aparece pedido de compra do aplicativo.
Come devo fazer.
Infelizmente não tem como ser mais fácil que isso, pois esse tipo de infecção exige que o usuário siga fielmente aos passos citados.
Leiam esse outro post http://www.profissionaisti.com.br/2011/06/como-remover-o-fake-ms-tool-removal-parte-2-usando-um-livecd-do-ubuntu/ que também explico outra forma de excluir o trojan.
Netto , não consiguo achar o programa , pois quando estou no modo seguro o virus n abre e n consiguo ver seus processos …e quando n estou no modo seguro o virus n me permite abrir…
tem algum jeito de localizar o virus ?
O SISTEMA QUE USO É WIN-XP, É O MESMO PROCEDIMENTO?
Prezados Juan e Jorge…
O procedimento para a exclusão desse trojan com sucesso, além desse citado, leiam esse outro post http://www.profissionaisti.com.br/2011/06/como-remover-o-fake-ms-tool-removal-parte-2-usando-um-livecd-do-ubuntu/
Esses procedimentos servem para qualquer sistema operacional da família Windows (foco da infecção).
O modo seguro DEVE permitir a exclusão, exceto se seu usuário não tiver permissão para usa-lo, daí é outra situação… o vírus NÃO abre no modo seguro porque se abrisse não seria possível removê-lo, o modo seguro carrega apenas o necessário para que o sistema funcione para reparos… o importante é identificar o local e o arquivo que infecta e esse procedimento é simples e claro no tutorial, basta seguir o passo a passo de ambos os tutoriais, não tem segredo…
Sigam o tutorial a partir da parte:
Agora que ele está fechado, via comando vamos apaga-lo…
O meu WinXP pegou esse virus e toda vez reinicia o pc e não consegue dar o boot, nem no modo de segurança e fica o tempo todo reiniciando depois de aparecer uma mensagem na tela azul do Win XP, com a logo do WIndows XP, dizendo que está executando a ferramenta de remoção da Microsoft de malware. Gostaria de saber se pra resolver isto teria q reinstalar o WinXP;
Grato