Mutant.aim

[KirillP]

Добрый день!

Сегодня при загрузке компьютер выдает ошибку от антивирусника F-Secure:
Malicious code found in C:\Windows\System32\Drivers\Winjl81.sys
Infection: Trojan.downloader.win32.mutant.aim
Action: The file was deleted.

И это происходит при каждой перезагрузке, только файлы разные.
Проверял CureIt, F-Secure - они находят несколько и удаляют. Кроме того, не могу загрузиться в Безопасном режиме.

Помогите, пожалуйста, избавиться от этого трояна.

Заранее спасибо.

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\System32\drivers\Winst36.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол. F-Secure можно отключить отключением/остановкой служб. Это можно сделать через Диспетчер служб Виндовс или Диспетчер служб и процессов АВЗ.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\services.exe');
 DeleteService('Winyn63');
 DeleteService('Winwt66');
 DeleteService('Wintg07');
 DeleteService('Winsp47');
 DeleteService('Winsi13');
 DeleteService('Winsb17');
 DeleteService('Winpv53');
 DeleteService('Winor63');
 DeleteService('Winni07');
 DeleteService('Winjr01');
 DeleteService('Winjl81');
 DeleteService('Winhi85');
 DeleteService('Winhe74');
 DeleteService('Winbe85');
 DeleteService('Qff24');
 DeleteService('WZCSVCNetman');
 DeleteService('wscsvchelpsvc');
 DeleteService('WmdmPmSNSXService');
 DeleteService('WmdmPmSNMSIServer');
 DeleteService('TlntSvrSchedule');
 DeleteService('SharedAccesswscsvcW32Time');
 DeleteService('SharedAccesswscsvc');
 DeleteService('seclogonDcomLaunch');
 DeleteService('ScheduleImapiService');
 DeleteService('SamSs Driver HPZ12');
 DeleteService('PmlMSIServer');
 DeleteService('mnmsrvclanmanworkstation');
 DeleteService('helpsvcSpooler');
 DeleteService('AlerterEventlog');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winyn63.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winwt66.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Wintg07.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winsp47.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winsi13.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winsb17.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winpv53.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winor63.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winni07.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winjr01.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winjl81.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winhi85.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winhe74.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winbe85.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Qff24.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Winst36.sys','');
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\WINDOWS\System32\drivers\Winst36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Qff24.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winbe85.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winhe74.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winhi85.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winjl81.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winjr01.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winni07.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winor63.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winpv53.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winsb17.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winsi13.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winsp47.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Wintg07.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Winwt66.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winyn63.sys');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winyn63');
 BC_DeleteSvc('Winwt66');
 BC_DeleteSvc('Wintg07');
 BC_DeleteSvc('Winsp47');
 BC_DeleteSvc('Winsi13');
 BC_DeleteSvc('Winsb17');
 BC_DeleteSvc('Winpv53');
 BC_DeleteSvc('Winor63');
 BC_DeleteSvc('Winni07');
 BC_DeleteSvc('Winjr01');
 BC_DeleteSvc('Winjl81');
 BC_DeleteSvc('Winhi85');
 BC_DeleteSvc('Winhe74');
 BC_DeleteSvc('Winbe85');
 BC_DeleteSvc('Qff24');
 BC_DeleteSvc('WZCSVCNetman');
 BC_DeleteSvc('wscsvchelpsvc');
 BC_DeleteSvc('WmdmPmSNSXService');
 BC_DeleteSvc('WmdmPmSNMSIServer');
 BC_DeleteSvc('TlntSvrSchedule');
 BC_DeleteSvc('SharedAccesswscsvcW32Time');
 BC_DeleteSvc('SharedAccesswscsvc');
 BC_DeleteSvc('seclogonDcomLaunch');
 BC_DeleteSvc('ScheduleImapiService');
 BC_DeleteSvc('SamSs Driver HPZ12');
 BC_DeleteSvc('PmlMSIServer');
 BC_DeleteSvc('mnmsrvclanmanworkstation');
 BC_DeleteSvc('helpsvcSpooler');
 BC_DeleteSvc('AlerterEventlog');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[KirillP]

Я выполнил Ваши инструкции. Выслал карантин и прикрепляю логи к данному ответу.

[Rene-gad]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

-Пофиксите если не знаете что это.

O16 - DPF: {CAFECAFE-0013-0001-0018-ABCDEFABCDEF} (JInitiator 1.3.1.18) - http://svxpd-operadb/webhtml/opera_jinit_9041.exe
O16 - DPF: {CAFECAFE-0013-0001-0025-ABCDEFABCDEF} (JInitiator 1.3.1.25) - 
O16 - DPF: {DAAC8ECF-DB09-4821-8126-E2C9499A20BA} (RegTerminalSrv Object) - http://10.103.29.2/installregterm.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = svx.rdsas.com
O17 - HKLM\Software\..\Telephony: DomainName = svx.rdsas.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{D18B5066-411F-40CE-918A-01DEB51A0B77}: NameServer = 10.103.29.3
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = svx.rdsas.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = svx.rdsas.com

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('wscsvcNetDDE');
 DeleteService('ERSvcTermService');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('wscsvcNetDDE');
 BC_DeleteSvc('ERSvcTermService');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[KirillP]

Прикрепляю логи после Ваших указаний.
При перезагрузке выпало окошечко мастера нового оборудования, но маленького размера ( не видно чекбоксов и кнопок ОК, отмена и т.д.)

[Rene-gad]

Ничего зловредного не видно.
Нужно поставить сервис пак 3. Возможно потребуется активация системы.
Попробуйте запустить АВЗ/Файл/Мастер поиска и устранения проблем/Системные проблемы/Все отметить и запустить.

[KirillP]

Спасибо большое за быструю и грамотную помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\maleware\\malware - Trojan-Downloader.Win32.Mutant.azc (DrWEB: Trojan.Packed.573)
  2. c:\\maleware\\malware1 - Trojan-Downloader.Win32.Mutant.azc (DrWEB: Trojan.Packed.573)
  3. c:\\maleware\\malware2 - Trojan-Downloader.Win32.Mutant.azc (DrWEB: Trojan.Packed.573)