Trojan.Win32.Genome.Abmko non riesco a rimuoverlo

[DarKilleR]

Ho un pc che fa da server contabilità/archiviazione per altri client.

Non so come e perchè il PC ha preso questa infezione...visto che il pc è sprovvisto di tastiera e monitor proprio per eliminare l'accesso agli utonti...ed è una nuova installazione di Windows pulita con semplicemente il ripristino dei backup degli archivi dal vecchio PC.

Kapersky Antivirus 2013 mi riconosce questo virus infetto dal:
Trojan.Win32.Genome.Abmko

E mi elimina il file:

C:\Windows\System32\zfyspqu.u

Ho provato a fare scansioni complete con Kapersky antivirus 2013 ma ma non mi trova niente dopo che mi ha eliminato il file...
Ho installato Spybot S&D 2.1 ma ugualmente nella scansione non mi trova alcuna minaccia.

Però poi a distanza di qualche ora o subito dopo il riavvio del sistema Kapersky mi da di nuovo errore, malware trovato e file eliminato.

Però non riesco a scovare chi crea questo maledetto file.

Come posso fare?

[DarKilleR]

Log degli eventi di Kapersky Antivirus 2013:

zfyspqu.u Eliminato: Trojan.Win32.Genome.abmko 31/05/2013 15:47:17 Sconosciuto C:\windows\system32\
zfyspqu.u Sottoposto a backup: Trojan.Win32.Genome.abmko 31/05/2013 15:47:17 Sistema C:\windows\system32\
zfyspqu.u,piqexcn Eliminato: Trojan.Win32.Genome.abmko 31/05/2013 15:47:11 Sconosciuto C:\Windows\system32\tasks\At4\
zfyspqu.u Rilevato: Trojan.Win32.Genome.abmko 31/05/2013 15:43:01 Sistema C:\windows\system32\
zfyspqu.u Eliminato: Trojan.Win32.Genome.abmko 31/05/2013 15:32:26 Sconosciuto C:\windows\system32\
zfyspqu.u Sottoposto a backup: Trojan.Win32.Genome.abmko 31/05/2013 15:32:26 Sistema C:\windows\system32\
zfyspqu.u,qiyxeaps Eliminato: Trojan.Win32.Genome.abmko 31/05/2013 15:32:21 Sconosciuto C:\Windows\system32\tasks\At2\
zfyspqu.u,akakacg Eliminato: Trojan.Win32.Genome.abmko 31/05/2013 15:32:21 Sconosciuto C:\Windows\system32\tasks\At3\
zfyspqu.u Rilevato: Trojan.Win32.Genome.abmko 31/05/2013 15:32:06 Sistema C:\windows\system32\

[DarKilleR]

anche malwarebytes non mi trova niente....

eppure Kapersky ogni 30min circa mi sputa fuori una notifica con un file eliminato in c:\windows\system32\zfyspqu.u ed in c:\windows\system32\tasks\at9.job

[DarKilleR]

Originariamente inviato da [Claudio]

scarica AdwCleaner: da questa pagina.
Avvia il programma, clicca sul tasto “Search”, attendi il termine della scansione e poi clicca sul tasto “Elimina”.
Salva il report che verrà prodotto dopo la eliminazione.

Successivamente scarica HitmanPro: vedi questa discussione.
Attiva la licenza (Impostazioni - scheda "Licenza"), esegui la scansione; al termine elimina tutto ciò che verrà rilevato e salva il report che verrà prodotto.

Carica i due report su Wikisend e pubblica il forumlink che verrà proposto per ognuno.

Fatto per filo e per segno quello che mi hai riferito

.txt]AdwCleaner[R1].txt

.txt]AdwCleaner[S1].txt

HitmanPro_20130531_2146.log

[DarKilleR]

Ciao.. Guarda sembra tutto risolto... Oggi non ho avuto nessun evento segnalato da Kapersky.

Quindi tutto era riferito a quelle 2 chiavi di registro eliminate da adware?

[DarKilleR]

oggi 2 nuove segnalazioni....

Dopo che il PC è stato 2 giorni e mezzo acceso senza il minimo problema.

[DarKilleR]

allora ecco cosa sono riuscito a trovare...
Dal registro di Kapersky si vede che questo virus crea delle attività pianificate. E l'antivirus elimina questi file da:

C:\Windows\System32\Tasks\AT[numero].job

Prima di fare l'eliminazione sono andato a vedere questa attività pianificata.
Ecco gli screen.




L'attività pianificata mi lancia un file Rundll32.exe non meglio precisato.

Ci tengo a precisare tecnici dei software che utiliziamo mi hanno disabilitato l'UAC e fatto creare tanti utenti administrator, quanti ce ne sono sugli altri PC di tutta la rete.

Se guardi l'autore di quella attività pianificata AT16..è l'utente SERVER\User (che su questa macchina non ha mai fatto un login diretto...) ma è l'utente di altri PC e che per far funzionare tutto mi hanno fatto replicare questo utente amministratore e con la stessa password.

Inoltre in rete ho la condivisione completa di C:\ verso tutti gli utenti amministratori.

Può essere che il PC sia effettivamente pulito ed il problema risale su un altro PC...e che tramite delle backdoor o i portoni spalancati delle autorizzazioni mi crea questi file? Ed in realtà la macchina nuova è effettivamente pulita come risulta da tutte le scansioni eseguite?

P.S. La rete è costituita da circa 16 PC, quelli che hanno nome utente User sono quelli dei quiz che vengono accesi solo quando c'è qualcuno che viene ad esercitarsi.
Questo spiegherebbe anche la mancanza di segnalazioni negli ultimi 2 giorni e mezzo, ossia quando questi PC erano effettivamente spenti perchè nel fine settimana non c'era nessuno ad esercitarsi.

[DarKilleR]

Originariamente inviato da [Claudio]

Fai girare nuovamente AdwCleaner e HitmanPro (allega i relativi report).

non so se hai visto ma abbiamo postato praticamente in contemporanea...

P.S. naturalmente prima di scrivere ho fatto girare di nuovo Adwcleaner ed il log è praticamente vuoto dice che tutto è pulito!


EDIT: ho visto la risposta...ora io qui sto facendo tutti i controlli da remoto con Teamviewer....mercoledì mattina ci posso mettere le mani fisicamente di persona e vedo se riesco a scoprire dove sta il problema
Quantomeno ora ho la sicurezza che il server è pulito ed il problema sta altrove...gli altri client li posso anche demolire con un rullo compressore, il server è fondamentale!

Grazie per la pazienza, appena ho novità le riporterò direttamente qui

Mercoledì vedo di eseguire il Kapersky Remove Tool aggiornato, Adwcleaner e HitmanPro su tutti i PC sperando di tagliare la testa al toro!

[DarKilleR]

passo x ringraziare [Claudio] per l'aiuto...

ho passato adwclean e hitman pro sui 3 pc a cui avevo ristretto l'infezione...
risolvendo il problema.
Adesso ho chiuso 2 giorni completi a regime senza alcun problema/segnalazione