Не могу справится с вирусом

[Powl]

Помогите.
Лечил Drweb-ом, spybot, avz.
Идет поток smtp от svchost.exe
Логи прилагаю.
Да, hosts я уже поправил.
Оставил только запись
127.0.0.1 localhost

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\System32\Drivers\Winvy58.sys
C:\WINDOWS\System32\Drivers\Winux36.sys
C:\WINDOWS\System32\Drivers\Winsv81.sys
C:\WINDOWS\System32\Drivers\Winnq60.sys
C:\WINDOWS\System32\Drivers\Winkn58.sys
C:\WINDOWS\System32\Drivers\Wineh82.sys
C:\WINDOWS\system32\WinCtrl32.dll

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winvy58');
 DeleteService('Winux36');
 DeleteService('Winsv81');
 DeleteService('Winnq60');
 DeleteService('Winkn58');
 DeleteService('Wineh82');
 DeleteService('NetlogonMSIServer');
 DeleteService('CiSvcProtectedStoragelanmanworkstation');
 DeleteService('BITSseclogon');
 DeleteService('RSVPNtmsSvc');
 DeleteService('ProtectedStoragelanmanworkstation');
 DeleteService('PlugPlayupnphost');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wineh82.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winkn58.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winnq60.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsv81.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winux36.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvy58.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvy58.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winux36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsv81.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winnq60.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winkn58.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wineh82.sys');
 DeleteFile('srv.exe');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winvy58');
 BC_DeleteSvc('Winux36');
 BC_DeleteSvc('Winsv81');
 BC_DeleteSvc('Winnq60');
 BC_DeleteSvc('Winkn58');
 BC_DeleteSvc('Wineh82');
 BC_DeleteSvc('NetlogonMSIServer');
 BC_DeleteSvc('CiSvcProtectedStoragelanmanworkstation');
 BC_DeleteSvc('BITSseclogon');
 BC_DeleteSvc('RSVPNtmsSvc');
 BC_DeleteSvc('ProtectedStoragelanmanworkstation');
 BC_DeleteSvc('PlugPlayupnphost');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Powl]

Спасибо. Вроде прекратилось.
Был только последний файл WinCtrl32.dll и еще WinCtrl32.dl_
Логи прилагаю.
Есть еще что-то?

[Rene-gad]

IceSword , поищите и скопируйте файлы:

[B]C:\WINDOWS\System32\Drivers\Winns58.sys
C:\WINDOWS\System32\Drivers\Winsw25.sys
C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.dl_

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

-Пофиксите

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winsw25');
 DeleteService('Winns58');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dl_','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsw25.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winns58.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winns58.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsw25.sys');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winsw25');
BC_DeleteSvc('Winns58');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Powl]

Спасибо, все сделал.
Но файлы WinCtrl32.dll и WinCtrl32.dl_
я нашел, прислал, удалил IseSword-ом еще в прошлом сообщении.
Теперь их нет.
Файлов Winns58.sys и Winsw25.sys тоже не было.
Новые логи

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('qandr');
 QuarantineFile('C:\WINDOWS\system32\drivers\qandr.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\qandr.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[Powl]

Скрипт выполнил.
Карантин выслал. Он вроде появился не после вашего скрипта, а после лечения/скрипта авз. Ааа, он туда вроде файл Winrara BAK скопировал.
Значит ничего нет, все чисто?
Выкладываю новые логи.

[Rene-gad]

В логах ничего подозрительного.
Поставьте Сервис Пак 3.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\winctrl32 - Trojan-Downloader.Win32.Mutant.axq (DrWEB: Trojan.DownLoad.3503)
  2. \\winctrl32_ - Trojan-Downloader.Win32.Mutant.axq (DrWEB: Trojan.DownLoad.3503)