win32/wigon.ck троян никак не могу удалить!

[chip08]

Помогите пожалуйста от него избавиться. Каждый раз при запуске системы вылетает алерт с сылкой на директорию C:\windows\system32\drivers\*.sys. Нод32 опредляет его как win32/wigon.ck троян.
Удаляет его и после перезагрузки определяет опять, причём имена sys файлов каждый раз новые. Все \temp и \temporary internet files папки почистил. System restore отключил.

[Rene-gad]

Базы АВЗ обновите.
И какой у Вас Антивирус работает: кряк для НОДа + Касперский допотопный болтается.


Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Wincg14');
 DeleteService('TrkWksBITS');
 DeleteService('TermServicePolicyAgent');
 DeleteService('TapiSrvClipSrv');
 DeleteService('SysmonLogDhcp');
 DeleteService('stisvcLmHosts');
 DeleteService('SharedAccessTrkWks');
 DeleteService('RemoteAccessBrowserMessenger');
 DeleteService('ProtectedStorageW32Time');
 DeleteService('NetmanAppMgmt');
 DeleteService('mnmsrvcShellHWDetection');
 DeleteService('lanmanworkstationdmserver');
 DeleteService('BrowserMessenger');
 DeleteService('AppMgmtRDSessMgr');
 DeleteService('Winxc17');
 DeleteService('Winot26');
 DeleteService('Winms27');
 DeleteService('Winmq14');
 DeleteService('Winkp84');
 DeleteService('Winim72');
 DeleteService('Wingk61');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wingk61.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winim72.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winkp84.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winmq14.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winms27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winot26.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxc17.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wincg14.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wincg14.sys');
 DeleteFile('C:\WINDOWS\System32\blphcawej0eakl.scr');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxc17.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winot26.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winms27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winmq14.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winkp84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winim72.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wingk61.sys');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Wincg14');
 BC_DeleteSvc('TrkWksBITS');
 BC_DeleteSvc('TermServicePolicyAgent');
 BC_DeleteSvc('TapiSrvClipSrv');
 BC_DeleteSvc('SysmonLogDhcp');
 BC_DeleteSvc('stisvcLmHosts');
 BC_DeleteSvc('SharedAccessTrkWks');
 BC_DeleteSvc('RemoteAccessBrowserMessenger');
 BC_DeleteSvc('ProtectedStorageW32Time');
 BC_DeleteSvc('NetmanAppMgmt');
 BC_DeleteSvc('mnmsrvcShellHWDetection');
 BC_DeleteSvc('lanmanworkstationdmserver');
 BC_DeleteSvc('BrowserMessenger');
 BC_DeleteSvc('AppMgmtRDSessMgr');
 BC_DeleteSvc('Winxc17');
 BC_DeleteSvc('Winot26');
 BC_DeleteSvc('Winms27');
 BC_DeleteSvc('Winmq14');
 BC_DeleteSvc('Winkp84');
 BC_DeleteSvc('Winim72');
 BC_DeleteSvc('Wingk61');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[chip08]

Антивирусом пользуюсь НОД32. ВЫполнил все ваши рекомендации .. единственное, что не нашёл c:\windows\system32\winctrl32.bak !

[Bratez]

1. Отключите интернет, антивирус и программу Ad-aware,
затем удалите с помощью Ice Sword файлы:
C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\System32\Drivers\Wincg14.sys

2. Сразу после этого выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wincg14.sys');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('klif');
 BC_DeleteSvc('klstm');
 BC_DeleteSvc('ids00026');
 BC_DeleteSvc('Wincg14');
 BC_DeleteSvc('LexBceSWZCSVC');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

3. Сделайте новые логи, начиная с п.10 правил.

[chip08]

Рекомендации выполнил ... единственное, что сервис nod32krn.exe не возможно закрыть

[Bratez]

Все нормально, осталось подчистить следы.

Пофиксите в HijackThis:

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

Выполните скрипт в AVZ:

begin
BC_DeleteSvc('SM_SUGE1_FUServiceMessenger');
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.

[chip08]

продолжение следует )

[Bratez]

продолжение следует )

В смысле - проблема все еще проявляется?
По идее не должно, т.к. в логах чисто.

[chip08]

а может быть ... просто последнее время после первых проделанных мною ваших рекомендаци вирусняк уже не находился в той директории где он обычно обитал при принудительном сканировании антивирусом ... но всё равно вылетвл алёрт (( ... так что бум надеятся что всё будет ОК!
Большое спаибо за помощь ))

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winctrl32.dl_ - Trojan-Downloader.Win32.Mutant.ayn (DrWEB: Trojan.Packed.573)
  2. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.ayn (DrWEB: Trojan.Packed.573)