Обнаружил Trojan.Rntm.10

[Игорь М]

Симптомы: Загружается из интернета, как только устанавливается подключение. В то же мгновение он появляется в Списке процессов Диспетчера задач. И буквально сразу же исчезает.
В это же время создается файл в c:\windows\system32\drivers\
с абсолютно произвольными именами с расширением sys. Например winah53.sys или Winuc75.sys. После этого начинается рассылка спама с моего компа.
При проверке утилитой от ДР.Веба находит троян и удаляет его, после перезагрузки он вновь появляется.

[V_Bond]

віполните http://virusinfo.info/showthread.php?t=10025
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{FFFFFFFF-B432-46fc-9143-B82B832B1B14}');
 QuarantineFile('interns32.dll','');
 DeleteService('Winco54');
 DeleteService('Windq61');
 DeleteService('Windq63');
 DeleteService('Winjv72');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winaf83.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winco54.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windj15.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windq61.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windq63.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winjv72.sys');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('interns32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Игорь М]

Почистил, карантин отправил, логи в атаче

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\system32\Drivers\Windi68.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Windi68');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Windi68.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Windi68.sys');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Windi68');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Игорь М]

Карантин отправил новые логи прикрепил...

[Rene-gad]

IceSword , поищите и скопируйте файлы:

C:\WINDOWS\System32\Drivers\Winbc48.sys
C:\WINDOWS\System32\Drivers\Winbc81.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winbc81');
 DeleteService('Winbc48');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winbc48.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Winbc81.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Winbc81.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winbc48.sys');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winbc81');
 BC_DeleteSvc('Winbc48');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Игорь М]

обнаружил C:\WINDOWS\System32\Drivers\Winbc81.sys скопировал, в карантин он не добавляется пишет "Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\System32\Drivers\Winbc81.sys)
Карантин с использованием прямого чтения - ошибка". Вообщем выслал все что есть в карантине и свежие логи прикрепил.

[V_Bond]

удалите временные интернет файлы ...
выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...

[Игорь М]

Удалил...новые логи

[V_Bond]

не удалил ... удалите через свойства обозревателя ...
отключите антивирус ...!!!
в IceSword удалите C:\WINDOWS\system32\Drivers\Winqp65.sys
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winkx61');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Winqp65.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winkx61.sys');
 DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...

[Игорь М]

Удалял через св-ва обозревателя и программой в прошлый раз...
Сейчас удалил через св-ва обозревателя...
в IceSword удалил...скрипт выполнил...антивурус отключил
логи повторил по правилам

[Rene-gad]

Смотри-ка - когда правил придерживаешься, так и лечение помогает.
-Пофиксите

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

Больше не видно плохого.
Сервис Пак 3 поставьте.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 19
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winctrl32.dl_ - Trojan-Downloader.Win32.Mutant.ayn (DrWEB: Trojan.Packed.573)
  2. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.ayn (DrWEB: Trojan.Packed.573)