Trojan Agent e Zbot

[polly76]

Aggiungo che Windows firewall segnale di aver bloccato questo C:\users\mionome\appdata\roaming\ykedf\jeucy.exe
Io non ho aperto alcun sito "strano". Ho la posta di Yahoo, questo forum e Google news. Che succede??

[polly76]

L'ho eliminato con Combofix, quindi il Firewall non l'aveva bloccato.
http://wikisend.com/download/374436/ComboFix.txt
Perché episodi del genere non mi erano mai capitati, ed ora accadono ogni fiorno da una settimana? Cosa posos fare? Grazie.

[shel]

ciao potrebbe anche essere un servizio, ho controllato gli al tri report ma non ho trovato niente

rieseguimi una scansione con otl, scaricalo da qui e segui le modalita' nel post precedente e allega il risultato, non copiarlo

[polly76]

Ok, ho flaggato le opzioni che mi avevi elencato ieri. Intanto ho fatto una scansione online della vulnerabilità delle porte e risultano tutte nascoste.

[polly76]

Log di OTl, questa volta sono due , come auspicavi ieri
http://wikisend.com/download/974268/OTL.Txt
http://wikisend.com/download/173792/Extras.Txt

Intanto, durante la scansione di OTL, Antivir ha rilevato Virus or unwanted program 'BDS/ZeroAccess.Gen [backdoor]'
detected in file 'C:\$RECYCLE.BIN\S-1-5-18\$1443764bc70b5f492f35fbb9d3bda81a\n.
Action performed: Deny access
Non c'è in quarantena. Ed è la seconda volta che lo rileva oggi. Mai successi questi fenomeni. Grazie.

[shel]

sei stato infettato dal rootkit zero access segui queste operazioni

disattiva il ripristino e per ora non riattivarlo

apri otl e copia questo codice nel box bianco

:OTL
O4 - HKU\S-1-5-21-4244627079-3165104877-2872186058-1000..\Run: [{0AFE08E6-3F77-AD40-D938-1192F7E3328F}] C:\Users\Giovi\AppData\Roaming\Ykedf\jeucy.exe File not found
[2013/02/20 15:55:54 | 005,034,457 | R--- | C] (Swearware) -- C:\Users\Giovi\Desktop\ComboFix.exe
[2013/02/20 15:55:54 | 005,034,457 | R--- | C] (Swearware) -- C:\Users\Giovi\Desktop\ComboFix.exe
[2012/08/28 15:51:17 | 000,000,222 | ---- | C] () -- C:\Users\Giovi\AppData\Roaming\wklnhst.dat
[2009/07/14 05:55:00 | 000,000,227 | RHS- | M] () -- C:\Windows\assembly\Desktop.ini


:Files
C:\$RECYCLE.BIN\S-1-5-18\$1443764bc70b5f492f35fbb9d3bda81a\@
C:\$RECYCLE.BIN\S-1-5-18\$1443764bc70b5f492f35fbb9d3bda81a\n
C:\$RECYCLE.BIN\S-1-5-18\$1443764bc70b5f492f35fbb9d3bda81a\L
C:\$RECYCLE.BIN\S-1-5-18\$1443764bc70b5f492f35fbb9d3bda81a\U
ipconfig /flushdns /c

:commands
[purity]
[emptytemp]
[RESETHOSTS]
[start explorer]
[CLEARALLRESTOREPOINTS]

clicca su RUN SCAN e allega il rapporto

aggiorna malwarebytes e fai una scansione completa del sistema, ci sono delle chiavi sporcate dall'infezione, allega anche questo log


appena finito fai una scansione con combofix
(non installare la recovery console)
Lascia lavorare il programma senza interferire
Allega il rapporto C:\ComboFix.txt nella tua risposta.

[polly76]

http://wikisend.com/download/182968/OTL.Txt
http://wikisend.com/download/215044/mbam-log-2013-02-20%20(23-59-21).txt
http://wikisend.com/download/332302/ComboFix.txt
Con windows 7 Combofix non ha la recovery console, inoltre hoh disattaivato il ripristino, sono preoccupata, adesso cosa ne pensi? Grazie.

[shel]

non devi postarmi quel report di otl ma quello delle eliminazioni, e' un file .txt con dei numeri

ripeti l'operazione con quel codice , copi il codice e premi RUN FIX poi vai nella cartella di otl e prelevi il log

il ripristino va disattivato , per ora lascialo cosi'

[polly76]

Scusa, hai ragione, ecco il log:
http://wikisend.com/download/557558/02212013_133021.log

[shel]

non ha trovato le cartelle.....strano

riesegui otl come prima e posta il nuovo log, fammi anche sapere se il pc adesso va meglio

[polly76]

Rifatto con OTL http://wikisend.com/download/189712/02212013_144016.log
Per ora non sono comparsi altri allert di AVg intorno a Trojan, ma mi avverte di aver bloccato il file host. Ora che si fa?

[shel]

devi fare una nuova scansione con otl e postare il log, quello che hai allegato e' la parte delle eliminazioni che hai postato prima

[polly76]

RUN SCAN OTL http://wikisend.com/download/303984/OTL.Txt

[shel]

l'infezione e' stata eliminata

apri otl e clicca su cleanup dopo il riavvio rimuoverai combofix e lo stesso otl

disattiva e riattiva il ripristino, da pannello di controllo rimuovi flash player adobe e java poi li reinstalli puliti

scarica e installa ccleaner
Importante:
In fase d’installazione togli la spunta altrimenti viene installata Yahoo Tollbar.
Avvialo e clicca su:
- Opzioni Avanzate
Togli la spunta da:
- Elimina file solo se più vecchi di 48 ore
Clicca i tasti:
- Pulizia (il primo in alto a Sinistra)
- Analizza ( Pulsante in basso Centrale)
- Avvia Pulizia (Pulsante in basso a Destra)

Correzione errori File di Registro
CCleaner
Clicca i tasti:
- Registro (Secondo tasto in alto a Sinistra)
- Trova Problemi (Pulsante in basso Centrale)
- Ripara selezionati Pulsante in basso a Destra
- alla domanda:
- Vuoi eseguire il Backup delle modifiche del Registro”
- clicca:
- SI


- ScaricaATF-Cleaner
(Non richiede installazione)
Spunta la voce:
- Select all
Premi il tasto:
- Empty Select

Per scrupolo esegui una scansione col tuo antivirus e controlla che sia tornato tutto alla normalita'

[polly76]

Sì, avevo pensato ad un'ulteriore scansione con l'antivirus; intanto, mentre aspettavo che mi rispondessi, ne ho fatta una con Malwarebytes e non ha rinvenuto nulla. Ora faccio le operazioni che mi hai elencato e ti aggiorno-
Un'ultima cosa, è rilevante l'allert del file host che antivir dice di aver bloccato? Ovviamente ancora grazie.

[shel]

per il file hosts

scaricaquesto file zip
disconnetti il pc, estrai sul desktop dal file zip solo il file Hosts, selezionalo, tasto destro del mouse, copia, poi apri la cartella C:\Windows\System32\drivers\etc\ in un punto libero fai incolla, accetta la sostituzione del file hosts esistente, potrebbe darti errori non preoccuparti, riavvia il pc.

[polly76]

Fatto tutto quello che mi hai elencato; antivir non ha rinvenuto nulla. Sei stato gentilissimo e competente, grazie! : )

[polly76]

Posso scrivere qui per segnalere che adobe flash player non funziona ora che l'ho disinstallato ed installato? Già sul sito adobe, dice installazione corretta, ma sopra c'è una parte con la scritta Impossiible visualizzare pagina wed. Ho windows 7 64bit, sulla pagina dice che è mi installera Flash player 64, ma in pannello di controlloo trovo 32 bit. Cosa posos fare? Molti siti non funzionano, compreso youtube in parte. Grazie.

[shel]

hai provato a fare pulizia con ccleaner prima di riprovare? vai col tasto destro su risorse del pc >>> proprieta' <<<< e dammi le info che rilevi

[polly76]

Sì fatto più volte. Windows 7 Home Premium 64 bit, SP1.