File uvcrjmd.r segnalato da Avira e Prevx3

[Gregor]

Salve,
da diversi giorni, Avira Free e Prevx3 mi segnalano il file C:\Windows\System32\uvcrjmd.r come pericoloso!
Avira lo mette in quarantena, ma riappare diverse volte al gg!
Windows 7 32 bit aggiornato, HitmanPro all'avvio, e passate di Malwarebytes non hanno risolto!
Ho fixato anche con Hijackthis le voce segnalate...rippare sempre

[Gregor]

Originariamente inviato da [Claudio]

Allega i relativi report, per favore (carica i report salvati su Wikisend e pubblica il forumlink che verrà proposto per ognuno).

Non ho accesso al Wikisend da questo Pc , mi appoggio al mio dropbox:

[url]EDIT (Log HitManPro)
[url]EDIT (Log Malwarebytes)

Avira mi segnala trattasi del cavallo di troia "TR/Dropper.Gen"

[Gregor]

Originariamente inviato da [Claudio]

1) attiva la licenza di HitmanPro (Impostazioni - scheda "Licenza") ed esegui la scansione.
2) al termine elimina tutto ciò che verrà rilevato.
Salva il report che verrà prodotto ed allegalo.

Scusa, ma ho la versione free...

[Gregor]

Originariamente inviato da [Claudio]

Come quasi tutti ..... attiva la licenza come spiegato ( è valida per 30 giorni ) ed esegui la scansione richiesta.

Fatto! Mi trova il file citato, l'ho rimosso...così come lo rimuove Avira, ma poi torna....

[Gregor]

Originariamente inviato da [Claudio]

Dove è il report?.

Allora, ho fatto un pò di caos, scusate...
Ho disinstallato la versione che avevo di HitManPro e ho scaricato l'ultima.
Non posso attivare la licenza per 30 gg, perchè sono in un dominio e la licenza non lo permette.
HitManPro scansiona e mi ha trovato il file indicato prima, che Avira opportunamente mette in quarantena! Così come lo rileva Prevx 3.
Solo che ogni ora la segnalazione si ripete...

[Gregor]

Originariamente inviato da [Claudio]

Ovviamente .... ma questi particolari li fornite sempre dopo ...... e non era necessario riscaricarlo.

Non sapevo che la licenza fosse differente per i pc sotto dominio, sorry.
L'ho reinstallato perchè avevo una versione più vecchia!

1) allega il report più recente rilasciato da Avira;

Ok, faccio una scansione completa!

2) scarica Malwarebytes: da questa pagina.
1) imposta la “Scansione completa” ed esegui la scansione.
2) al termine elimina tutto ciò che verrà rilevato.
Salva il report che verrà prodotto ed allegalo.

Il link non va!
Ho la v. 1.75.0.1300 e ho già scansionato e allegato il log, non andava bene?

Se è possibile, questa volta per allegare i report utilizza wikisend.

Impossibile, sorry (il proxy non me lo permette).

[Gregor]

Originariamente inviato da [Claudio]

Visto ora, me lo ero perso.
Vediamo il report di Avira, quando sarà disponibile.
E visto che dici che HitmanPro lo rileva, allega il report che ti avevo (già) chiesto, per cortesia.

HitManPro non sempre rileva il file...forse lo rileva se scansiono prima che lo elimini Avira...il log di HitManPro lo avevo già allegato, ma posso sempre rifarlo se serve.
Avira sta ancora scansionando.

[Gregor]

Originariamente inviato da [Claudio]

In quello che avevi allegato non c'è traccia del presunto malware, recupera il report relativo alla scansione in cui lo aveva individuato (lancia HitmanPro - clica su Impostazioni - scegli Cronologia ---> Tab Log e cerca quel report).

[url]Edit (HitManPro che rileva il file...)

[url]Edit (Log di Avira Free)

Ho trovato e rimosso un pò di porcheria e il Trojan non si è più visto, ma aspetto a cantar vittoria...

Avevo un sacco di Task pianificati e a me sconoscuti

[Gregor]

Eccolo! Rispuntato!
Ho visto che è riapparsa una pianificazione (Task) chiamata AT1:
Utilità di pianificazione: l'istanza "rundll32.exe" dell'attività "\At1" è stata avviata con ID processo 5660.
Azione: avvia programma rundll32.exe uvcrjmd.r,jooyc

[Gregor]

Originariamente inviato da [Claudio]

Incrocia le dita.

Rieccolo!

[url]Edit (Log HitManPro)

Il problema è questo:

Forensic Cluster
0.0s C:\Windows\System32\uvcrjmd.r
0.0s C:\Windows\Tasks\At1.job
0.2s C:\Windows\System32\Tasks\At1

Questi Task che si ripresentano!

[Gregor]

Originariamente inviato da [Claudio]

C:\Windows\System32\uvcrjmd.r
C:\Windows\Tasks\At1.job
C:\Windows\System32\Tasks\At1

Fai analizzare i tre file su Virustotal e pubblica il corrispondente link al risultato che verrà rilasciato per ogni singolo file.

http://goo.gl/N02Aqj (At1)

http://goo.gl/nl2Zc9 (At1.job)

http://goo.gl/m4Wgib (uvcrjmd.r)

[Gregor]

Originariamente inviato da [Claudio]

Ora la cosa è più chiara.

Sarebbe? Cosa ne viene fuori da queste analisi?

Successivamente, scarica ed esegui Combofix: qui la guida
1) al messaggio relativo alla presenza dell'Antivirus: ignora il messaggio e prosegui;
2) alla richiesta di installare la console di ripristino: non la installare.
Salva il report che verrà prodotto ed allegalo.

Una volta un rootkit mi ha costretto a formattare (non si avviava più Windows dopo aver passato diversi tool) e ricordo di aver provato questo Combofix, ma non ricordo se fosse l'ultimo programma usato...in ogni caso mi spaventa un pò...

[Gregor]

Originariamente inviato da [Claudio]

Vorrai evitare di formattare nuovamente, spero (devi avere un abbonamento con i rootkit & compagnia bella; il computer è infettato da Conficker/Kido).

Bè certo, spero di non dover formattare...ma quella volta sono stato costretto da schermata blu a seguito di scansione...(Era Windows XP).

[Gregor]

[Gregor]

Originariamente inviato da [Claudio]

vedi qui.

Visto lo screen, fai girare Combofix.

Sì sì, ho editato il messaggio dopo aver visto bene le pagine di Virustotal...

Adesso lancio Combofix...se non mi vedete più chiamate i...carabinieri

[Gregor]

Lanciato ComboFix...dunque...dalla guida...non mi ha detto nulla circa la Console di Ripristino di Windows...poi è venuta fuori una maschera dove mi avvisa che c'è presenza di Rootkit (ben 14 exe!!!) e mi dice di riavviare (ho fatto screenshot).
Ho riavviato e non è successo nulla...mi aspettavo che Combofix ripartisse...che faccio adesso?

[Gregor]

Originariamente inviato da [Claudio]

Fai girare, prima TDSSKiller.

Poi, Combofix fallo girare in modalità provvisoria.

Porc! Ho letto e fatto quanto avevi scritto prima di editare...in ogni caso in modlità provvisoria Combofix ha portato a termine la scansione...

Adesso faccio girare ugualmente TDSSKiller.

In ogni caso il log di Combofix contiene molte info personali, cosa ti serve?

PEV.exe che mi ritrovo in c:\Windows ha a che fare con Combofix?

[Gregor]

Lanciato TDSSKiller, non ha trovato nulla!

[Gregor]

Originariamente inviato da [Claudio]

Visto che hai delle remore a pubblicare un report, almeno cerca di far capire se ha rimosso l'infezione (non è possibile tirare ad indovinare).

Nessuno pretende si facciano magie
Ho visto il combofix.txt, direi che la parte interessante dovrebbe essere questa:

ADS - Windows: deleted 192 bytes in 1 streams.
.
((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\xxx\AppData\Local\Microsoft\Windows\Temporary Internet Files\{01A1A12D...C20BDF3855D9}.xps
.
. una 80-ina di righe molto simili
.
c:\users\xxx\AppData\Local\Microsoft\Windows\Temporary Internet Files\{ED021428...5FD8C1E8C5BD}.xps

c:\users\xxx\AppData\Roaming\inst.exe
c:\windows\host32.exe
c:\windows\localsys64.exe
c:\windows\system32\64dlls.exe
c:\windows\system32\intel64.exe
c:\windows\system32\lsjdfh.exe
c:\windows\system32\muzapp.exe
c:\windows\system32\ntos.exe
c:\windows\system32\oembios.exe
c:\windows\system32\sdra64.exe
c:\windows\system32\sdra73.exe
c:\windows\system32\swin32.exe
c:\windows\system32\test
c:\windows\system32\twex.exe
c:\windows\system32\twext.exe
c:\windows\system32\win32avs.exe
c:\windows\system32\wsnpoema.exe
c:\windows\wininit.ini

Si; ora esegui una scansione con Avira e verifica se continua a rilevare malware.

P.S.: per rimuovere Combofix: Start e nella casella di dialogo digita
combofix /uninstall (e cestina anche quel PEV.exe).

Ok, al momento non è riapparso, ma mai dire mai...
Tnx! Farò sapere

[Gregor]

Originariamente inviato da [Claudio]

Direi che ha fatto il suo bel lavoro.
Dovresti (sempre nel report, mi sembra verso il fondo) avere anche delle info in relazione ad eventuali rootkit rilevati .... controlla.

Non ho visto nulla del genere...

La scansione con Avira dovrebbe chiarire la questione.

Non ho fatto in tempo a lancirla, che ieri alle 14 è riapparso di nuovo!
Stamattina all'avvio del Pc, nulla, nemmeno nel Task c'è il job...vedremo tra un'oretta...appariva ogni ora, come da pianificazione

Già che ci siamo, scarica Hijackthis: da questa pagina.
Una volta installato:
1) Computer / disco locale C: / Programmi (oppure Programmi x86);
2) apri la cartella Hijackthis contenuta nella cartella TrendMicro;
3) tasto destro del mouse sulla icona e scegli “Esegui come amministratore”;
4) clicca sul tasto “Do a system scan and save a logfile”;
Salva e allega il report che verrà prodotto.

L'ho fatto passare gg fa, fixando le anomalie, ma lo rifaccio e posto...