aaaamon.dll Trojan Horse Patched_c.YL

[Darko87]

Ciao a tutti, piacere di conoscervi.

Spero di non aver sbagliato sezione, purtroppo ho un problema e vorrei discuterne con voi che siete sicuramente più esperti del sottoscritto.

Come da titolo, il file dll aaaamon, secondo AVG, è infetto.

Oggi aprendo il pc, per l'appunto, AVG mi ha rilevato questo dll infetto ed io ho scelto "Heal", poi ho trovato questo su AVG Vault:



Purtroppo non me lo fa "disinfettare", le uniche optioni sono "Display Out Object", "Delete File", "Restore file", "Restore file as", "Refresh", "What is it?".

Prima di rimuoverlo ho voluto dare un'occhiata sul web e, ad essere onesto, non ho capito bene a cosa servi, ma sembra proprio qualcosa di importante. ^^;
Ho scaricato un altro aaaamon.dll dal web, l'ho messo su system32 ma me l'ha rilevato infetto dopo pochi secondi. Fatto heal e trovato su virus vault, ma questo l'ho deletato.

Vi posto un log di hijackthis, sperando che possa essere d'aiuto:

Logfile of HijackThis v1.99.1
Scan saved at 10.46.47, on 20/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\Dark Schneider\Desktop\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programmi\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Programmi\Creative\Shared Files\CAMTRAY.EXE
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
O4 - HKCU\..\RunOnce: [NeroHomeFirstStart] C:\Programmi\File comuni\Ahead\Lib\NeroScoutOptions.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\npjpi160_07.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\npjpi160_07.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programmi\bonjour\mdnsnsp.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {A364AF35-0CDF-41E8-8F3B-E0E55E15EBA1} (Zenturi Active Programs Control) - http://www.programchecker.com/dll/nixon.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{5B40E934-6F00-4019-A63E-99C7D2A9E932}: NameServer = 212.216.112.112,212.216.172.62
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Unknown owner - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: LogEvp - Unknown owner - C:\Programmi\File comuni\System\pua.exe (file missing)

Le mie domande sono: a cosa serve esattametne aaaamon.dll? E come posso liberarmi di questo trojan?
Chiedo venia nuovamente se ho sbagliato sezione e vi ringrazio per la disponibilita, spero che possiate aiutarmi, sarebbe molto apprezato. m(_ _)m

[Chill-Out]

Ciao e benvenuto sul Forum, la rilevazione di AVG ha tutta l'aria di essere un Falso Positivo controlla su http://www.virustotal.com/it/ e http://virscan.org/ i seguenti files:

C:\WINDOWS\system32\dllcache\aaaamon.dll
C:\WINDOWS\system32\aaaamon.dll

copia ed incolla nel prossimo post l'url dell'analisi

[Nuz]

aaaamon.dll sembra essere una libreria legittima di windows. Fai analizzare il file su www.virustotal.com e posta qui il link ai risultati. Così possiamo vedere subito se è un falso positivo di AVG o è il caso che tu esegua la Guida Alla Disinfezione.

[vampyr8]

segnalo che ci sono altre persone a cui stamattina AVG ha rivelato questa cosa (anche a me)
come dobbiamo comportarci?

[Dom77]

segnalo questo mio post di stanotte ...forse il primo di questo problema ora comune ad altri...:

http://www.hwupgrade.it/forum/showpo...&postcount=510

[vampyr8]

Originariamente inviato da Dom77

segnalo questo mio post di stanotte ...forse il primo di questo problema ora comune ad altri...:

http://www.hwupgrade.it/forum/showpo...&postcount=510

pure io ho firefox e downloadhelper (ma già lo avevo prima di oggi mmm)

[tripwood76]

anche io sono uno dei "fortunati" a cui AVG segnala questo virus..
a me sembra tanto un falso positivo...
ma ecco il report di virustotal, che ne pensate?

Antivirus	Versione	Ultimo aggiornamento	Risultato
AhnLab-V3	2008.8.19.0	2008.08.20	-
AntiVir	7.8.1.23	2008.08.20	-
Authentium	5.1.0.4	2008.08.20	-
Avast	4.8.1195.0	2008.08.19	-
AVG	8.0.0.161	2008.08.20	Patched_c.YL
BitDefender	7.2	2008.08.20	-
CAT-QuickHeal	9.50	2008.08.19	-
ClamAV	0.93.1	2008.08.19	-
DrWeb	4.44.0.09170	2008.08.20	-
eSafe	7.0.17.0	2008.08.19	-
eTrust-Vet	31.6.6035	2008.08.15	-
Ewido	4.0	2008.08.19	-
F-Prot	4.4.4.56	2008.08.19	-
F-Secure	7.60.13501.0	2008.08.20	-
Fortinet	3.14.0.0	2008.08.20	-
GData	2.0.7306.1023	2008.08.20	-
Ikarus	T3.1.1.34.0	2008.08.20	-
K7AntiVirus	7.10.421	2008.08.19	-
Kaspersky	7.0.0.125	2008.08.20	-
McAfee	5364	2008.08.19	-
Microsoft	1.3807	2008.08.20	-
NOD32v2	3370	2008.08.20	-
Norman	5.80.02	2008.08.20	-
Panda	9.0.0.4	2008.08.19	-
PCTools	4.4.2.0	2008.08.19	-
Prevx1	V2	2008.08.20	-
Rising	20.58.22.00	2008.08.20	-
Sophos	4.32.0	2008.08.20	-
Sunbelt	3.1.1546.1	2008.08.15	-
Symantec	10	2008.08.20	-
TheHacker	6.3.0.5.054	2008.08.19	-
TrendMicro	8.700.0.1004	2008.08.20	-
VBA32	3.12.8.3	2008.08.19	-
ViRobot	2008.8.19.1341	2008.08.20	-
VirusBuster	4.5.11.0	2008.08.19	-
Webwasher-Gateway	6.6.2	2008.08.20	-

Informazioni addizionali
File size: 26624 bytes
MD5...: 20e8fbf0fc7a95438bcee02febd60f86
SHA1..: b6aa4b0181cacaea1b52d312fea7291af270a9ec
SHA256: e84bafe68aa7e880d1a2fe25500e8ff704fc86413f53e89ccdc4d1f8521b4f76
SHA512: 031bf7b8f97c1db34f13975029d6567a8bbdfe666cc31d6250a68e6e8ea37246<br>38dc957976c2db5d4aba95fe56e49022ed53b65855b4c204b4cde178df094d8e
PEiD..: -
PEInfo: PE Structure information<br><br>( base data )<br>entrypointaddress.: 0x71811b17<br>timedatestamp.....: 0x3b8eb897 (Thu Aug 30 22:05:11 2001)<br>machinetype.......: 0x14c (I386)<br><br>( 4 sections )<br>name        viradd    virsiz   rawdsiz  ntrpy  md5<br>.text       0x1000    0x331c    0x3400   6.24  96fb7d1696c97b693170ca8ab884e3f5<br>.data       0x5000     0x124     0x200   2.19  ca1cc5ed4d7ee0a5840002817f0bf95a<br>.rsrc       0x6000    0x2894    0x2a00   3.05  ad1c9941416a0541ca640bd03fe2c25b<br>.reloc      0x9000     0x3a6     0x400   5.08  99b70488dc913c64a61bc140f1ff18b1<br><br>( 10 imports )  <br>&gt; msvcrt.dll: free, wcscat, wcsncpy, calloc, wcscpy, __CxxFrameHandler, wcsstr, wcstok, _snwprintf, wcslen, _itow, wcsncat<br>&gt; MSVCP60.dll: __C@_1___Nullstr@_$basic_string@GU_$char_traits@G@std@@V_$allocator@G@2@@std@@CAPBGXZ@4GB, __Y_$basic_string@GU_$char_traits@G@std@@V_$allocator@G@2@@std@@QAEAAV01@PBG@Z, __0_$basic_string@GU_$char_traits@G@std@@V_$allocator@G@2@@std@@QAE@PBGABV_$allocator@G@1@@Z, __0_$basic_string@GU_$char_traits@G@std@@V_$allocator@G@2@@std@@QAE@ABV_$allocator@G@1@@Z, __1_$basic_string@GU_$char_traits@G@std@@V_$allocator@G@2@@std@@QAE@XZ, __4_$basic_string@GU_$char_traits@G@std@@V_$allocator@G@2@@std@@QAEAAV01@PBG@Z<br>&gt; ntdll.dll: RtlCompressBuffer, RtlAllocateHeap, RtlGetCompressionWorkSpaceSize, RtlDecompressBuffer, RtlFreeHeap<br>&gt; ADVAPI32.dll: RegCloseKey, RegOpenKeyW, RegDeleteValueW, RegCreateKeyExW, RegCreateKeyW, RegSetValueExW, OpenProcessToken, LookupPrivilegeValueW, AdjustTokenPrivileges, QueryServiceStatus, CloseServiceHandle, OpenServiceW, OpenSCManagerW, ControlService<br>&gt; KERNEL32.dll: InterlockedIncrement, InterlockedDecrement, CloseHandle, GetCurrentProcess, DeleteFileW, UnmapViewOfFile, HeapFree, MapViewOfFile, CreateFileMappingW, GetFileSize, CreateFileW, WriteFile, VirtualFree, DisableThreadLibraryCalls, VirtualAlloc, ReadFile, HeapAlloc, GetProcessHeap<br>&gt; NETSH.EXE: PrintMessageFromModule, RegisterHelper, PrintMessage, PrintError, MatchToken, MatchEnumTag, RegisterContext<br>&gt; ole32.dll: CoTaskMemAlloc, CoCreateInstance, CoInitializeEx, CoUninitialize, CoTaskMemFree<br>&gt; OLEAUT32.dll: -, -, -, -, -<br>&gt; SHLWAPI.dll: SHGetValueW<br>&gt; USERENV.dll: ExpandEnvironmentStringsForUserW<br><br>( 1 exports )  <br>InitHelperDll<br>

[Dom77]

Originariamente inviato da tripwood76

anche io sono uno dei "fortunati" a cui AVG segnala questo virus..
a me sembra tanto un falso positivo...
ma ecco il report di virustotal, che ne pensate?

boh, io di questi log non ci capisco una mazza......però c'è di mezzo quel Patched_c.YL, che in rete non esiste ....

spero che qualcun esperto ci dia una risposta in merito.....il mio file aaaamon.dll al momento è in quarantena e stamattina non ho più avuto segnali strani da avg....
ho anche cancellato tutte le cronologie di ie e di firefox, per sicurezza...

però poi come devo fare per ripristinarlo il .dll se è solo un falso positivo e quindi innocuo?

[Chill-Out]

Come indicato qui http://www.hwupgrade.it/forum/showpo...29&postcount=2 e qui http://www.hwupgrade.it/forum/showpo...41&postcount=3 trattasi probabilmente di un Falso Positivo, come da report di VT allegato da tripwood76, per scrupolo controllatelo anche su http://virscan.org/

Dopodichè segnalate il Falso Positivo ad AVG, mettetelo nelle esclusioni e ripristinate il file/s dalla quarantena Restore file

[tripwood76]

Originariamente inviato da Dom77

boh, io di questi log non ci capisco una mazza......però c'è di mezzo quel Patched_c.YL, che in rete non esiste ....

spero che qualcun esperto ci dia una risposta in merito.....il mio file aaaamon.dll al momento è in quarantena e stamattina non ho più avuto segnali strani da avg....
ho anche cancellato tutte le cronologie di ie e di firefox, per sicurezza...

però poi come devo fare per ripristinarlo il .dll se è solo un falso positivo e quindi innocuo?

Per ripristinare un file di sistema dal CD di windows basta che da esegui fai partire msconfig e poi da Generale clicchi su "riprisitna file" o qualcosa del genere (ora non posso essere più preciso perche sto usando Linux ).

[Nuz]

Originariamente inviato da tripwood76

ma ecco il report di virustotal, che ne pensate?

Solo AVG vede un trojan in quel file. E' palese che si tratti di un Falso Positivo. Consiglio di lasciare il file al suo posto. Chi lo ha messo in quarantena dovrebbe ripristinarlo.

[Dom77]

Originariamente inviato da Nuz

Solo AVG vede un trojan in quel file. E' palese che si tratti di un Falso Positivo. Consiglio di lasciare il file al suo posto. Chi lo ha messo in quarantena dovrebbe ripristinarlo.

ok capito e mi hai tranquilizzato , meglio così, stanotte però non ho praticamente dormito per sto file....

però non so come fare a ripristinarlo dalla quarantena ....

[Grem]

Originariamente inviato da Dom77

però non so come fare a ripristinarlo dalla quarantena ....

Da VIRUS VAULT selezioni il file e clicchi su RESTORE.

[Chill-Out]

Originariamente inviato da Dom77

ok capito e mi hai tranquilizzato , meglio così, stanotte però non ho praticamente dormito per sto file....

però non so come fare a ripristinarlo dalla quarantena ....

Si vede che non hai dormito http://www.hwupgrade.it/forum/showpo...60&postcount=1

http://www.hwupgrade.it/forum/showpo...07&postcount=9

[Dom77]

Originariamente inviato da tripwood76

Per ripristinare un file di sistema dal CD di windows basta che da esegui fai partire msconfig e poi da Generale clicchi su "riprisitna file" o qualcosa del genere (ora non posso essere più preciso perche sto usando Linux ).

ma io lo voglio ripristinare dalla quarantena di avg, visto che si tratta di un falso positivo.....

però la cosa strana: anche se aaaamon.dll l'ho in quarantena, firefox si avvia, e non ho nessun apparente inconveniente....

[Darko87]

Io non riesco nemmeno a fare lo scan con http://www.virustotal.com/it/ e http://virscan.org/ - è come se i file non esistessero. VirScan mi dice can't find the file e virustotal "0 bytes size received / Se ha recibido un archivo vacio".

Facendo "restore file", i files sono di nuovo nelle loro cartelle, ma anche in virus vault e AVG continua a spammarmi il messaggio di trojan trovato.

Mi è spuntata una maschera che chiede il CD di windows per ripristinare i files, ma mettendolo mi parte semplicemente l'autorun. In caso volessi ripristinarli, potreste spiegarmi il procedimento esatto?

[Dom77]

Originariamente inviato da Grem

Da VIRUS VAULT selezioni il file e clicchi su RESTORE.

grassie!!! ,

è che sai...son arrivato da jesolo alle 1:20....ho acceso il pc e mi son ritrovato sto fastidio del probabile file infetto, ho tirato le 5.20 per fare scansioni e ricerche nel web.....e non c'ho più la lucidità per capire e tradurre i tasti di avg....

[Dom77]

Originariamente inviato da Chill-Out

Si vede che non hai dormito http://www.hwupgrade.it/forum/showpo...60&postcount=1

http://www.hwupgrade.it/forum/showpo...07&postcount=9

infatti il primo messaggio di questo problema l'ho postato io in altra discussione stanotte fra le 3 e le 4 mi pare.... (più su qui dovrebbe esserci il link...)

[Dom77]

Originariamente inviato da Darko87

Io non riesco nemmeno a fare lo scan con http://www.virustotal.com/it/ e http://virscan.org/ - è come se i file non esistessero. VirScan mi dice can't find the file e virustotal "0 bytes size received / Se ha recibido un archivo vacio".

Facendo "restore file", i files sono di nuovo nelle loro cartelle, ma anche in virus vault e AVG continua a spammarmi il messaggio di trojan trovato.

Mi è spuntata una maschera che chiede il CD di windows per ripristinare i files, ma mettendolo mi parte semplicemente l'autorun. In caso volessi ripristinarli, potreste spiegarmi il procedimento esatto?

anche a me stanotte cliccando su "heal" mi è comparsa la finestra che chiedeva il cd di win, ma io ho annullato.

cmq visto che già in tanti ci hanno detto che è un falso positivo, ripristinalo solo dalla quarantena e lascia perdere, probabilmente fra qualche giorno avg rimedierà e ci farà sparire il messaggio...

buon pranzo a tutti e grazie per l'attenzione, mi avete levato un peso!

[Darko87]

Originariamente inviato da Dom77

anche a me stanotte cliccando su "heal" mi è comparsa la finestra che chiedeva il cd di win, ma io ho annullato.

cmq visto che già in tanti ci hanno detto che è un falso positivo, ripristinalo solo dalla quarantena e lascia perdere, probabilmente fra qualche giorno avg rimedierà e ci farà sparire il messaggio...

buon pranzo a tutti e grazie per l'attenzione, mi avete levato un peso!

Non vorrei sembrare logorroico, ma se lo ripristino e poi apro una finestra di Firefox, mi chiede sempre di curare il file infetto. Pur ignorandolo, se ripeto l'operazione chiede nuovamente la disinfettazione del file, in più noto che i files pure essendo stati ripristinati sono comunque in virus vault.

Come dovrei fare per ripristinare definitivamente i files (se non lo sono già) e fare in modo che l'antivirus non mi rompa più le scatole? ^^;