модифицированный Win32/Wigon троян

[DIMITRIY]

Здравствуйте!
При подключении к интернету идет повышенный входящий и исходящий трафик. В течении нескольких секунд NOD32 обнаруживает модифицированный Win32/Wigon троян, вроде изолирует и удаляет, полная проверка NODом ничего больше не находит. Но после перезагрузки всё повторятся.
Зараженный файл обнаруживается в папке D:\WINDOWS\System32\drivers\ каждый раз под новым именем. Сначала Hmr50.sys, Los72.sys, Afk83.sys; потом стал появляться с приставкой Win: Windx26.sys, Winvc04.sys и т.д. и т.п.
Полная проверка CureIt и AVZ ничего не дала.

[Гриша]

Отключите антивирус и интернет!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\WINDOWS\system32\rpcc.dll','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('WLCtrl32.dll','');
 DeleteService('Winvc04');
 DeleteService('Winqx26');
 DeleteService('Winlr73');
 DeleteService('Winek04');
 DeleteService('Winbh50');
 QuarantineFile('D:\WINDOWS\SYSTEM32\WLCtrl32.dll ',' ');     
 QuarantineFile('D:\WINDOWS\System32\Drivers\Winvc04.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Winqx26.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Winek04.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Winbh50.sys','');
 DeleteService('tcpsr');
 QuarantineFile('D:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteService('Lqu83');
 DeleteService('msupdate');
 QuarantineFile('d:\windows\system32\msvcrtd.exe','');
 DeleteFile('d:\windows\system32\msvcrtd.exe');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Lqu83.sys','');
 DeleteService('Inr15');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Inr15.sys','');
 DeleteService('Hnr15');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Hnr15.sys','');
 DeleteService('Winua50');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Winua50.sys','');
 QuarantineFile('D:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteFile('D:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winua50.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Hnr15.sys');
 DeleteFile('D:\WINDOWS\SYSTEM32\WLCtrl32.dll ');     
 DeleteFile('D:\WINDOWS\System32\Drivers\Inr15.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Lqu83.sys');
 DeleteFile('D:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winbh50.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winek04.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winlr73.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winqx26.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winvc04.sys');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('D:\WINDOWS\system32\rpcc.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи.

[DIMITRIY]

Отсылаю:

[Гриша]

Почти все

Пофиксить

O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O20 - Winlogon Notify: rpcc - D:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - D:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - D:\WINDOWS\

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winnt04');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winnt04.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winnt04 ');
BC_Activate;
RebootWindows(true);
end.

Повторите логи с п.10 правил

[DIMITRIY]

Теперь всё?

[PavelA]

WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.ado по Касперскому, (удален).

[DIMITRIY]

Спасибо огромное! С меня чашка коньяка!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 35
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.ado (DrWEB: Trojan.MulDrop.16399)