Trojan-Downloader.Win32.Mutant.acm

[q75]

Постоянно рождается эта зараза в файле WinNT32.dll Каспер 7 бессилен...

[Bratez]

Отключив интернет и антивирус -

Пофиксите в HijackThis:

O2 - BHO: Std plugin - {FFFFFFFF-08DF-483c-BD3A-99CBCF44E4DC} - knmld.dll (file missing)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Windows\system32\WinNt32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsw36.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\nmeuqm.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 QuarantineFile('C:\Documents and Settings\Пользователь\ie_updates3r.exe','');
 QuarantineFile('C:\WINDOWS\System32\CcEvtSvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Rux14.sys','');
 QuarantineFile('C:\WINDOWS\system32\knmld.dll','');
 DeleteFile('C:\WINDOWS\system32\knmld.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Rux14.sys');
 DeleteFile('C:\WINDOWS\System32\CcEvtSvc.exe');
 DeleteFile('C:\Documents and Settings\Пользователь\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\nmeuqm.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsw36.sys');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\DLTXHT3Y\s234[1].exe');
 DeleteFile('C:\Windows\system32\WinNt32.dll');
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
 DelBHO('{FFFFFFFF-08DF-483c-BD3A-99CBCF44E4DC}');
BC_ImportALL;
 BC_DeleteSvc('Winsw36');
 BC_DeleteSvc('aic32p');
 BC_DeleteSvc('Rux14');
 BC_DeleteSvc('Schedule');
 BC_DeleteSvc('Google Online Services');
 BC_DeleteSvc('CcEvtSvc');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.


Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=24767).
Сделайте новые логи, начиная с п.10 правил.

[q75]

Ок. Карантин выслал.

[Bratez]

Осталось немного
Скачайте Ice Sword: http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip,
распакуйте, запустите, слева внизу нажмите File, найдите файл
C:\WINDOWS\system32\Drivers\Rux14.sys
нажмите его правой кнопкой и выберите Force Delete.
Затем выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\Drivers\Rux14.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Rux14');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте еще раз новые логи, начиная с п.10 правил.

[q75]

Ок. К сожалению, все по-прежнему.

[Bratez]

Выполните такой скрипт:

begin
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.

Повторите лог HijackThis.

Какие проблемы остались? Вроде всех прибили.

[q75]

Этот файл в архиве, если что...

http://www.sendspace.com/file/v5egc8

Резюме.
Каждый раз после ребута при проверке компа, Каспер находит см. скрин.

Спасибо.

[PavelA]

Посмотри нет ли такого C:\Windows\system32\WinNt32.dl_. Если есть, то его надо удалить.
Полную проверку антивирусом давно делали?

[q75]

Завтра с утра посмотрю.
Полную проверку делал раз 5 наверное... Постоянно рождается этот зловред. Сценарий: полная проверка компа, обнаружение, удаление, ручная перезагрузка, полная проверка компа, и опять обнаружение...
Поскольку файл в одной папке, последний раз проверял именно ее, чтобы не тратить время зря.

[q75]

C:\Windows\system32\WinNt32.dl_ не существует.
Что же делать?

[Гриша]

Выполните тогда пункт 2 правил

[q75]

Большое спасибо. Помогло. Моя ошибка в том, что я запускал Касп. на проверку не с максимальными настройками защиты, вот он и не видел зловредов. CUREIT опознал некоторых, т.к. как я понимаю, по умолчанию стоит на проверке ВСЕХ файлов. На всякий случай выкладываю, что он нашел.
Проблема решена. Еще раз благодарю за помощь.
DrWeb.csv
http://www.sendspace.com/file/2no1oz

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\winsw36.sys - Trojan-Downloader.Win32.Mutant.aim
  2. c:\\windows\\system32\\knmld.dll - Trojan-Spy.Win32.Agent.cxm (DrWEB: BackDoor.Banker.1)
  3. c:\\windows\\system32\\winnt32.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)