Wigon

[alyaxus]

Здравствуйте!
Хочу обратиться с проблемой - Нод 32 постоянно сигнализирует о вирусе wigon , периодически теряется траффик. Все сделал, как написано в правилах, высылаю логи.Единственное, что - при выполнении пункта 7 не сканировался диск Е ( в течение выполнения скрипта) - не знаю, должно так быть или нет( я новичок, использую программу AVL впервые)
Зараее, благодарен, Алексей.
В предыдущем сообщении имел в виду Пункта 8 ""Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info".
забыл добавить, что проверка AVZ и HiJack проводилась при подключенном инете, Включенном восстановлении системы и выключенном резидентно NOD32. Сейчас посмотрел статистику, трафик жрет не каждый раз но зато помногу)

[Rene-gad]

Диск Е не системный и не проверяется АВЗ. Если там установлена еще одна система - нужно с нее загрузиться и запустить АВЗ.
Лечение будет долгим и трудным
Перед продолжением лечения обновите базы АВЗ и скачайте новую версию Хайджека - информация и ссылки в правилах.


Скачайте IceSword , поищите и удалите через опцию force delete файлы:

C:\WINDOWS\system32\WinCtrl32.dll

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-Пофиксите

O4 - HKLM\..\Run: [D_V_T] C:\\dvt.exe /S \C:\\d_v_t.reg\
O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\updater\wcmdmgrl.exe -launch
O4 - HKLM\..\Run: [advap32] C:\DOCUME~1\0705~1\LOCALS~1\Temp\wreb.exe/r

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('wuauservSENS');
 DeleteService('wscsvcSENS');
 DeleteService('WmiCOMSysApp');
 DeleteService('ServiceLayerNOD32krn');
 DeleteService('ServiceLayerHTTPFilter');
 DeleteService('RpcSslanmanserver');
 DeleteService('ProtectedStorageFLEXnetPlugPlay');
 DeleteService('PolicyAgentFastUserSwitchingCompatibilitySysmonLog');
 DeleteService('PolicyAgentFastUserSwitchingCompatibility');
 DeleteService('NtmsSvcBITS');
 DeleteService('NOD32krn Licensing Service');
 DeleteService('HidServmnmsrvc');
 DeleteService('helpsvcSharedAccess');
 DeleteService('FLEXnetPlugPlay');
 DeleteService('AudioSrvNOD32krn Service');
 DeleteService('AudioSrvNOD32krn');
 DeleteService('AudioSrvNetlogon');
 DeleteService('AppMgmtRSVP');
 QuarantineFile('C:\WINDOWS\wt\updater\wtisa.dll','');
 QuarantineFile('C:\WINDOWS\wt\webdriver\webdriver.dll','');
 QuarantineFile('C:\WINDOWS\system32\wtcpl.cpl','');
 QuarantineFile('C:\\dvt.exe','');
 QuarantineFile('C:\DOCUME~1\0705~1\LOCALS~1\Temp\wreb.exe/r','');
 QuarantineFile('р%Ђ|x	 srv','');
 QuarantineFile('C:\WINDOWS\wt\updater\wcmdmgr.exe','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('c:\windows\wt\updater\wcmdmgr.exe','');
 DeleteFile('c:\windows\wt\updater\wcmdmgr.exe');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\wt\updater\wcmdmgr.exe');
 DeleteFile('р%Ђ|x	 srv');
 DeleteFile('C:\DOCUME~1\0705~1\LOCALS~1\Temp\wreb.exe/r');
 DeleteFile('C:\\dvt.exe');
 DeleteFile('C:\WINDOWS\system32\wtcpl.cpl');
 DeleteFile('C:\WINDOWS\wt\webdriver\webdriver.dll');
 DeleteFile('C:\WINDOWS\wt\updater\wtisa.dll');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('wuauservSENS');
 BC_DeleteSvc('wscsvcSENS');
 BC_DeleteSvc('WmiCOMSysApp');
 BC_DeleteSvc('ServiceLayerNOD32krn');
 BC_DeleteSvc('ServiceLayerHTTPFilter');
 BC_DeleteSvc('RpcSslanmanserver');
 BC_DeleteSvc('ProtectedStorageFLEXnetPlugPlay');
 BC_DeleteSvc('PolicyAgentFastUserSwitchingCompatibilitySysmonLog');
 BC_DeleteSvc('PolicyAgentFastUserSwitchingCompatibility');
 BC_DeleteSvc('NtmsSvcBITS');
 BC_DeleteSvc('NOD32krn Licensing Service');
 BC_DeleteSvc('HidServmnmsrvc');
 BC_DeleteSvc('helpsvcSharedAccess');
 BC_DeleteSvc('FLEXnetPlugPlay');
 BC_DeleteSvc('AudioSrvNOD32krn Service');
 BC_DeleteSvc('AudioSrvNOD32krn');
 BC_DeleteSvc('AudioSrvNetlogon');
 BC_DeleteSvc('AppMgmtRSVP');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по красной ссылке вверху темы.
- Прикрепите логи к новому сообщению.

[alyaxus]

Все сделал по Вашему совету. Присылаю логи.Буду следить за траффиком.Посоветуйте, пожалуйста,что делать дальше.
С уважением, Alyaxus.

[alyaxus]

П.с. траффик вроде бы кушать перестал
П.п.с. сегодня утром встал -ни фига, опять исправно кушает траффик. Еще когда выключаю комп часто пишет Connection Tray - невозможно завершить программу...

[Rene-gad]

Все сделал по Вашему совету.

Ничего не сделали: АВЗ базы не обновили, Хайджек новый не скачали. Будем стоять и ждать, пока научитесь читать сообщения хелперов и выполнять их указания.
Если Вам что-то не ясно - можете спросить, но просто не делать не получится.

Если Вы не понимаете, что Вас просят сделать, то в этом случае, Вам лучше обратиться к специалистам ближайшей компьютерной фирмы. Если Вы отказываетесь выполнять указания хелперов, или делаете всё по-своему, не удивляйтесь тому, что Ваша тема может быть закрыта.

[alyaxus]

теперь?

[Rene-gad]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-Пофиксите

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('ThemesPolicyAgent');
 // QuarantineFile('р%Ђ|x	 srv','');
 // DeleteFile('р%Ђ|x	 srv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('ThemesPolicyAgent');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по красной ссылке вверху темы.
- Прикрепите логи к новому сообщению.

[alyaxus]

Извините, что долго не писал - не было возможности. Ваш скрипт выполнить не удалось - пишет "j-ошибка в позиции 5:17"

[V_Bond]

выполняйте скрипт ...

[alyaxus]

выполнил.

[alyaxus]

Скажите, а что делать дальше?

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Games\Gtr22\empty.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

C:\Documents and Settings\алексей\Рабочий стол\Алексей\личное\было\NOD32\нод32\ESET_v30566 русификатор.rar - лучше удалить ...

[alyaxus]

все вышеуказанное сделал.логи прилагаю.

[V_Bond]

ничего подозрительного , какие-то проблемы остались ?

[alyaxus]

Потихоньку траффик жрет, в среднем мегабайтов 3-5 в час.Не смертельно, но обидно.

[Гриша]

Если что-то еще подозреваете провертесь куритом (пункт 2 правил)...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 69
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.asr (DrWEB: BackDoor.Bulknet.225)