win32/wigon + smtpdrv.sys

[Garfeild]

На компьютере судя по всему водятся звери из сабжа.
Антивирус NOD32 + Spybot S&D.
После загрузки NOD32 начинает ругаться на измененные файлы: C:\Windows\temp\BN20.tmp (меняются номера) и C:\Windows\system32\smtpdrv.sys
После это в процессах сразу же появляется несколько "левых" IEXPLORE.EXE процессов.
Так же в директории C:\Windows\temp валяется файл bzu.exe, который появляется при каждой загрузке.

Update:
проблема решилась проверкой с помощью cureit. извините за не соблюдение правил при создании темы. прошу все же ознакомиться с аттачами и указать на возможные проблемы, которые мне не были заметны.

[Bratez]

Вместо virusinfo_cure.zip должен быть virusinfo_syscure.zip

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DelBHO('53707962-6F74-2D53-2644-206D7942484F');
 QuarantineFile('C:\WINDOWS\system32\drivers\win32.exe','');
 QuarantineFile('C:\WINDOWS\system32\config\systemprofile\ntuser.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Iot27.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Wdi41.sys','');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Iot27.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Wdi41.sys');
 DeleteFile('C:\WINDOWS\system32\config\systemprofile\ntuser.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\win32.exe');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[Bratez]

Опоздал маленько...

Добавьте в карантин еще
C:\WINDOWS\system32\drivers\nkv2.sys

[wise-wistful]

А с файлом HOSTS Вы сами так поработали ?

[Макcим]

Spybot постарался.

[Garfeild]

Необходимые аттачи

[Bratez]

nkv2.sys - чистый.
Лог старый выложили? Надо новые сделать. Можно начиная с п.10 правил.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 38
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\config\\systemprofile\\ntus er.exe - Trojan-Downloader.Win32.Small.hpb (DrWEB: Trojan.DownLoader.39287)
  2. c:\\windows\\system32\\drivers\\nkv2.sys - Rootkit.Win32.Agent.tj (DrWEB: Trojan.NtRootKit.561)
  3. c:\\windows\\system32\\drivers\\win32.exe - Trojan-Downloader.Win32.Small.hpb (DrWEB: Trojan.DownLoader.39287)