WLCtrl32.dll

[azz]

nod видит только производимые tmp' шки, касперский только дллку указанную в названии.

[akok]

virusinfo_cure.zip - это карантин удалите и пришлите по ссылке

Добавлено через 5 минут

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('Rlt22', 4);
 QuarantineFile('C:\WINDOWS\system32\Drivers\Rlt22.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('c:\windows\temp\bn2.tmp','');
 DeleteFile('c:\windows\temp\bn2.tmp');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Rlt22.sys');
 BC_ImportALL;
 BC_DeleteSvc('Rlt22');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=20030

Повторите логи

[azz]

сделал

[Bratez]

Выполните такой скрипт:

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Rlt22\0000', 'CSConfigFlags', '1');
 BC_QrFile('C:\WINDOWS\System32\drivers\Rlt22.sys');
 BC_DeleteSvc('Rlt22');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Rlt22.sys');
 BC_DeleteFile('C:\WINDOWS\System32\WLCtrl32.dll');
 BC_Activate;
 RebootWindows(true);
end.

Сделайте новые логи, начиная с п.10 правил.

[azz]

done

[Bratez]

Нда, без самурайского меча не обойтись
Качайте: http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip
Распаковать, запустить, слева внизу File, и для следующих файлов сделать Force Delete:
C:\WINDOWS\System32\drivers\Ycb66.sys
C:\WINDOWS\system32\WLCtrl32.dll

Далее выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\drivers\Ycb66.sys');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\TEMP\BN4.tmp');
BC_ImportDeletedList;
BC_DeleteSvc('Ycb66');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки очистите полностью папку
C:\WINDOWS\TEMP
и сделайте новые логи.

[azz]

Все, походу сдох, спасибо.
Один вопрос - чем Вам Ycb66.sys не понравился? Или остальные модули стандартно известны?

[akok]

Этот файлик прикрывал WLCtrl32.dll

Добавлено через 5 минут

Осталось немного
Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

	O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('WLCtrl32.dll');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.


Повторите логи с п.10 Правил

[azz]

Этот файлик прикрывал WLCtrl32.dll

Это я понял, только не нашел в логах явного указания на него.

[kps]

В логе из вашего поста N 5 он есть под графой "Модули пространсва ядра" внизу. Это драйвер руткита.

Ваши новые логи чистые.
Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

[PavelA]

В логе Хиджака WLCtrl32.dll тоже виден и очень подозрительно место, где он записан.

[azz]

В логе Хиджака WLCtrl32.dll тоже виден и очень подозрительно место, где он записан.

Я имел в виду Ycb66.sys, с WLCtrl32.dll все понятно)
Если это модуль руткита, то опознали его по одному из возможных имен или по каким-то другим признакам?

[kps]

Ycb66.sys - драйвер Булкнета. Частично имя (3 случайных буквы и 2 цифры) и некоторые другие признаки (например несистемный драйвер и др.) указывают на это. WLCtrl32.dll тоже с ним в комплекте идет.

[azz]

Ясно, спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\wlctrl32.dll - Trojan-Downloader.Win32.Agent.kif (DrWEB: Trojan.DownLoader.49451)
  2. c:\\windows\\temp\\bn2.tmp - Trojan-Downloader.Win32.Agent.leu (DrWEB: Trojan.DownLoader.50217)