Win32/Wigon троян

[Ramelow]

Здравствуйте, при каждом запуске компа выскакивает предупреждение нод32 о найденном вирусе в e:\windows\temp\BN24(до проверки компа AVZ и hijackthis вместо 24 было 4).tmp. Пишет: вероятно модифицированный Win32/Wigon троян
Событие произошло в файле модифицированном приложением \\??\E:\Windows\system32\winlogon.exe Файл был перемещен в карантин.
При подключении в интернету комп может в любом момент ребутнуться, идет большой траффик входящий и исходящий. Помогите плиз.

[V_Bond]

пришлите логи по правилам, и html файлы тоже ...

[Ramelow]

пришлите логи по правилам, и html файлы тоже ...

done

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('WLCtrl32.dll','');
  BC_DeleteSvc('Muy64');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Muy64.sys','');
  BC_DeleteSvc('Din83');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Din83.sys','');
 DeleteFile('E:\WINDOWS\System32\Drivers\Din83.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Muy64.sys');
 DeleteFile('WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[Ramelow]

Вроде бы сделал.

[V_Bond]

пофиксите ...

O20 - Winlogon Notify: WinNt32 - WinNt32.dll (file missing)
O20 - Winlogon Notify: WLCtrl32 - E:\WINDOWS\

выполните скрипт ...

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\Documents and Settings\Фанис.85F9A32458A94C1\Рабочий стол\.//..//win.exe','');
 QuarantineFile('E:\WINDOWS\system32\csdlocalmon.dll','');
 QuarantineFile('WinNt32.dll','');
 DeleteFile('WinNt32.dll');
 DeleteFile('E:\Documents and Settings\Фанис.85F9A32458A94C1\Рабочий стол\.//..//win.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите крантин согласно приложения 3 правил ..
повторите логи ..

[Ramelow]

up

[V_Bond]

up

вы цыркач ?
в логах ничего зловредного ...

[Ramelow]

А должно было быть?

[wise-wistful]

Нет не должно было.

Нам интересно Ваше мнение о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

[Ramelow]

хм, а если во время сканирования в AVZ пишет
E:\WINDOWS\Installer\31a156.msi/{MS-OLE}/\44 >>> подозрение на AdvWare.Win32.Vapsup.bsz ( 0054695C 08CD5FC5 001E0EE1 001DE996 81920)
это незловредно?

[wise-wistful]

Нет это АВЗ подозревает, но там AdvWare нет.

[V_Bond]

это нормальная реакция авз на msi...
дело в том что WINDOWS делает копию инсталяции вместе с автостартом ... который эвристик авз расценивает как проявление зловредства ...

[Ramelow]

Хорошо, огромное спасибо за помощь, не думал что так быстро все придет в норму

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. e:\\windows\\system32\\wlctrl32.dll - Trojan-Downloader.Win32.Mutant.og (DrWEB: Trojan.DownLoader.59094)