NOD32 бессилен против троянов Win32/Wigon.Z, Wigon.X и Win32/Rootkit.Agent.DP

[Basile]

Здравствуйте, Хелперы! Пока не уверен, что с помощью Ваших советов смог победить Win32/Wigon.Z, Win32/Wigon.X, Win32/Rootkit.Agent.DP,
опишу по порядку.

У меня это домашний компьютер. NOD32 некоторое время назад определил вышеуказанные вирусы и сообщил, что удалил их.
- Win32/Wigon.Z (находил имя в папке c:\Document and Setting\...\Local Setting\Temp\418892.exe, либо 407405.exe, либо аналогичный файл.exe; писал, что создан приложением C:\Program Files\Internet Explorer\IExplore.exe).
- Win32/Wigon.X (находил имя в папке c:\Windows\System32\drivers\runtime.sys; писал, что создан приложением C:\Windows\Temp\startdrv.exe).
- Win32/Rootkit.Agent.DP (находил имя в папке c:\Windows\System32\drivers\ip6fw.sys; писал, что обнаружен при попытке доступа к файлу).

Но после перезагрузки сообщения о найденных вирусах повторялись. Их действие проявлялось в некорректной работе Internet Explorer и ошибках провайдера при входе в Интернет. Вчера я нашел Ваш сайт и проделал последовательность, описанную в общих правилах.

Так, DrWeb при сканировании в безопасном режиме нашел и удалил BackDoor.Bulknet из папки c:\Windows\Temp, а также Tojan.NTRootKit.268 из папки c:\Windows\System32.

Потом запустил AVZ, скрипт "Лечения/карантина..." не создал лог, второй скрипт "Сбора информации...", запущенный после перезагрузки, сформировал лог virusinfo_syscure.zip, который прилагаю.

Далее запустил HijackThis, его лог тоже прилагаю.

Резюме, на данный момент пока резидентный монитор NOD32 ничего не обнаружил. Прошу Вас посмотреть логи и написать свое мнение! Заранее весьма благодарен!!!

Василий.

[Kuzz]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\tmrsrv32.exe','');
 QuarantineFile('C:\WINDOWS\system32\msorcl32.exe','');
 QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
 QuarantineFile('C:\WINDOWS\system32\cflcfv5.dll','');
 DeleteFile('c:\Windows\System32\drivers\ip6fw.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\system32\cssrss.exe');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_ImportAll;
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('ip6fw');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

[Basile]

Огромное спасибо!!! За помощь! Отдельное спасибо хелперу Kuzz из Днепра. После этого пока NOD32 ничего подозрительного не находил. Скрипт выполнился корректно. Файлы из карантина AVZ заархивировал и отправил через "прислать файлы". Единственно, отправленный архив не содержит пароль. Напишите, если у Вас появятся дополнительные рекомендации. Благодарю! От души!

Василий.

[Kuzz]

Остался not-a-virus:AdWare.Win32.Delf.l
Будем удалять (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\cflcfv5.dll');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки сделайте логи снова.
Посмотрим, что осталось.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 25
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\cflcfv5.dll - not-a-virus:AdWare.Win32.Delf.l