Avast wykrył AgAppLaunch.db - FP czy nie?

[AITD]

Witam,

 

Podczas ostatniego skanowania pełnego Avastem wykrył on wirusa w AgAppLaunch.db w katalogu Windows/Prefetch. "Wysoce ryzykowny", opisany jak rootkit. Przeskanowałem na Virustotal - plik czysty, żaden skaner nie wykrył zagrożenia (nawet Avast!). Po wpisaniu w Google zauważyłem, że inni też mieli coś podobnego. Dodatkowo zauważyłem, że skanowanie Avastem pojedynczego pliku (poprzez Menu kontekstowe) dało wynik "brak zagrożeń".

 

Czy jest to False Positive Avasta, czy może faktycznie infekcja? Przy okazji proszę o sprawdzenie logów i informacją, czy wykonać również skanowanie GMER? (lub jakiś inny program - mam Windows 7, być może ma to znaczenie)

 

Zamieszczam na początek logi z OTL.

 

Edit: Dodam, że postanowiłem usunąć owy plik Avastem. Ponowne pełne skanowanie daje wynik "nie znaleziono zagrożeń". MBAM również nic nie znalazło.

 

I takie pytanie jeszcze jedno - ze względu współpracę z Ask.com odinstalowałem Avirę i zainstalowałem Avasta - czy to była dobra decyzja?

 

Właśnie skończyło się skanowanie GMER, a więc je dokładam. Emulujące, SPTD, osłony Avast i firewall wyłączone, choć w logu się coś pojawiło z Avastem, ale ja się tam nie znam

OTL.Txt

Extras.Txt

gmer.txt

[picasso]

Tylko drobne uwagi:

 

1. Nie widzę nic od Pandy, ale jej sterownik pozostał:

 

DRV - [2009-06-30 11:37:16 | 000,028,552 | ---- | M] (Panda Security, S.L.) [File_System | Boot | Running] -- C:\Windows\system32\drivers\pavboot.sys -- (pavboot)

• Start > w polu szukania wpisz devmgmt.msc> z prawokliku Uruchom jako Administrator. W menu Widok włącz pokazywanie ukrytych. W gałązce Sterowniki niezgodne z Plug and Play szukaj tego sterownika do deinstalacji.
  
• Start > w polu szukania wpisz cmd > z prawokliku Uruchom jako Administrator i wpisz komendy sc stop pavboot i sc delete pavboot
  

2. Możesz odinstalować Akamai NetSession Interface, które wystąpiło w takim kontekście na forum: KLIK.

 

3. Skasuj te dwa pliki z dysku (to resztki po cracku Office):

 

[2011-07-20 18:45:07 | 000,000,202 | ---- | M] () -- C:\Windows\Tasks\AutoKMS.job
[2011-07-20 17:24:01 | 000,000,202 | ---- | M] () -- C:\Windows\Tasks\AutoKMSDaily.job

 

W raportach nie widzę nic podejrzanego, żadnych śladów infekcji. Nie sądzę, że mamy tu do czynienia z faktycznym zagrożeniem:

 

 

Podczas ostatniego skanowania pełnego Avastem wykrył on wirusa w AgAppLaunch.db w katalogu Windows/Prefetch. "Wysoce ryzykowny", opisany jak rootkit. Przeskanowałem na Virustotal - plik czysty, żaden skaner nie wykrył zagrożenia (nawet Avast!). Po wpisaniu w Google zauważyłem, że inni też mieli coś podobnego. Dodatkowo zauważyłem, że skanowanie Avastem pojedynczego pliku (poprzez Menu kontekstowe) dało wynik "brak zagrożeń".

 

Jestem przekonana, że to fałszywy alarm. Na forum Avasta podobne zgłoszenia: KLIK / KLIK.

 

 

Edit: Dodam, że postanowiłem usunąć owy plik Avastem.

 

Ten plik należy przywrócić, to naturalny składnik folderu Prefetch na Vista/Windows 7. Z mojego systemu:

 

 

 

I takie pytanie jeszcze jedno - ze względu współpracę z Ask.com odinstalowałem Avirę i zainstalowałem Avasta - czy to była dobra decyzja?

 

Popieram. Avast w wersji darmowej ma więcej funkcji niż Avira w wersji darmowej i nie brata się ze skompromitowanym Ask.

 

 

Emulujące, SPTD, osłony Avast i firewall wyłączone, choć w logu się coś pojawiło z Avastem, ale ja się tam nie znam

 

Wyłączenie osłon Avast nie jest równoznaczne z ubiciem wszystkich jego aktywności. Całkowicie goły GMER uzyskasz ... po deinstalacji programu, bo tylko to jest gwarancją zatrzymania wszystkich aktywności.

 

 

 

.

[AITD]

A więc tak - w sterownikach niczego związanego z Pandą nie było. sc stop pavboot - wyskoczyła jakaś informacja, potem sc delete pavboot i usunięto.

 

Akamai odinstalowane. Sam nie wiem, skąd to się wzięło, bo nie przypominam sobie, żebym samodzielnie coś takiego instalował.

 

Wszelkie "resztki" usunięte ;>

 

A jeśli chodzi o AgAppLaunch.db to po restarcie sam się przywrócił. Jeśli Avast będzie się go dalej czepiał to po prostu dodam go do ignorowanych.

 

Dzięki wielkie za pomoc, pozdrawiam.

Edytowane 21 Lipca 2011 przez picasso
Temat zdaje się być ukończony. Zamykam. //picasso