Trojan Win32/Ponmocup.AA

[gragis]

Witajcie,

 

Temat już znany, ale, że zdaje się każdy przypadek jest szczególny to i ja pozwalam sobie przesłać swe logi z prośbą o pomoc w pozbyciu się "łobuza".

Dla pewności dodam, że mam w pamięci operacyjnej (rundll32.exe(4540)) wykryte przez program ESET NOD32 Antivirus zagrożenie, którym prawdopodobnie jest WIN32/Ponmocup.AA koń trojański z którym antywirus nie może sobie poradzić. Wy jak czytam umiecie sobie z tym poradzić, więc może i mi pomożecie, please!

 

OTL.txt

Extras.txt

 

Pozdrawiam

gragis

[picasso]

1. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej:

 

:OTL
O4 - HKU\S-1-5-21-2179982452-917587533-1581969829-1000..\Run: [RAAFF] C:\Users\Grzegorz\AppData\Roaming\msjint405.dll ()
O4 - HKLM..\Run: []  File not found
 
:Commands
[emptytemp]

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Klik w Wykonaj skrypt. System zostanie zrestartowany.

 

2. Przez Panel sterowania odinstaluj zbędny Akamai NetSession Interface.

 

3. Zrób nowy log OTL z opcji Skanuj (już bez Extras) + Farbar Service Scanner.

 

 

.

[gragis]

dzięki, picasso, za szybką reakcję

 

po prawdzie skrypt musiałem uruchomić dwa razy doprowadzając sumarycznie do sytuacji:

 

All processes killed

========== OTL ==========

Registry value HKEY_USERS\S-1-5-21-2179982452-917587533-1581969829-1000\Software\Microsoft\Windows\CurrentVersion\Run\\RAAFF deleted successfully.

C:\Users\Grzegorz\AppData\Roaming\msjint405.dll moved successfully.

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.

(...)

 

a "dwa razy", po pozwoliłem sobie zataić pełną nazwę użytkownika (nieco dłuższą od "Grzegorz") i zapomniałem w pośpiechu skorygować nazwę użytkownika w Twoim skrypcie przy pierwszym podejściu.

 

Poniżej wgląd w obecną sytuację.

 

Pozdrawiam

gragis

OTL.Txt

FSS.txt

[picasso]

Infekcja pomyślnie usunięta.

 

1. Mała poprawka na szczątek po deinstalacji Akamai. Uruchom OTL i w sekcji Własne opcje skanowania / skrypt wklej (z poprawką na nazwę konta):

 

:OTL
O4 - HKU\S-1-5-21-2179982452-917587533-1581969829-1000..\Run: [Akamai NetSession Interface] "C:\Users\Grzegorz\AppData\Local\Akamai\netsession_win.exe" File not found

 

Klik w Wykonaj skrypt. Tym razem nie będzie restartu.

 

2. W OTL uruchom Sprzątanie, które usunie z dysku OTL wraz z kwarantanną.

 

3. Wyczyść foldery Przywracania systemu: KLIK.

 

4. Programy widzę aktualne. Jeszcze Service Pack dla Microsoft SQL Server 2005 (KB913089).

 

 

 

.

[gragis]

jeszcze raz dziekuję,

miło trafić na takiego fachowca ("fachowczynia" brzmiało mi jakoś mniej poważnie)

To co, wszystko gra, więc zamykamy?

Pozdrawiam

gragis

[picasso]

To co, wszystko gra, więc zamykamy?

 

Tak, ukończyliśmy temat. Zamykam.

 

 

 

.