троян Win32/Wigon.BA найден в оперативной памяти

Дело такое:
когда подключаюсь к интернету, начинает бешеными массами идти трафик, хотя ничего не качаю и не занимаюсь сёрфингом. ПРи открытии Outpost'a, там показывает до 4000 открытых портов! Поначалу, я пытался закрывать их вручную, сейчас их количество доходит примерно до ста, но всё равно, это много и трафик опять-таки, бежит немеренными темпами. При попытке проверить систему при помощи NOD32, программа пишет следующее:

троян Win32/Wigon.BA найден в оперативной памяти. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением. Никакое действие не может быть предпринято при проникновении в память. Нажмите Пропустить, чтобы продолжить и впоследствии запустить очистку всех локальных дисков. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\system32\WLCtrl32.dll.


Однако после дальнейшей проверки/лечения/перезагрузки проблема остаётся нерешённой. Восстановление ситемы отключено.

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачать [/URL] C:\WINDOWS\system32\WLCtrl32.dll,C:\WINDOWS\system32\Drivers\Lon38.sys -force delete ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Lon38.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Lon38.sys');
DeleteFile('WLCtrl32.dll');
DelCLSID('24E31EA9-FCE2-404F-BD80-20543565D946');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\~~install.dll');
BC_DeleteSvc('Lon38');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

скачать C:\WINDOWS\system32\WLCtrl32.dll,C:\WINDOWS\system 32\Drivers\Lon38.sys -force delete ...
выполните скрипт ...

^^^^^

Не понял, как это сделать. И для чего эта прграмма IceSword? Что с ней делать?

в программе IceSword найти файлы C:\WINDOWS\system32\WLCtrl32.dll,C:\WINDOWS\system 32\Drivers\Lon38.sys
и удалить (force delete) ...
затем выполнить скрипт в авз ...

Спасибо! Помогло. Проблема решилась. Карантин закачал соответственно правилам. Логи также обновил.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\TEMP\ieobj.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=19879[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O9 - Extra button: (no name) - DctMapping - (no file)
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\ [/CODE]

Вот новые логи. Карантин также отправлен.

p.s. Вчера после выполнения всех указаний выключил компьютер. Когда сегодня включил - не смог выйти в интернет, типа модем занят. Перезагружался несколько раз - толку ноль. Удалил модем из системы, начал устанавливать заново - никак. Драйвер устанавливался минут 20 и, так не установился. Хотя, потом, каким-то чудом под другой учётной записью установился. Нормально ли это? Сейчас все работает.

Каких именно манипуляций. Вообще то большое подозрение вызывает [b]SETUPAPI.dll[/b]. Поищите при помощи АВЗ сервис--поиск файлов на диске [b]ieobj.dll[/b] и пришлите его согласно приложению 2 правил.

Два файла надо: SETUPAPI.dll и ieobj.dll ?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

файл ieobj.dll не найден, а SETUPAPI.dll аж три штуки найдено

SETUPAPI.dll - давайте всех.

отослал согласно правилам...

SETUPAPI.dll - [b]Trojan-Downloader.Win32.Small.szi[/b]
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteFile('C:\WINDOWS\TEMP\ieobj.dll');
DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O2 - BHO: WindowsUpdate Class - {B3B010A1-A877-4CD7-BAB5-9EE8F9965E20} - C:\WINDOWS\TEMP\ieobj.dll (file missing)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\ [/CODE]

Повторите логи.

Отправил логи, соответственно правилам

Отключите восстановление системы. В логах сейчас врагов нет. Отключите восстановление - враги в запасниках то же умрут. Сделайте после этого контрольный пакет логов.

Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [url="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе безопасных файлов[/url]. Мы будем Вам очень благодарны!

Удачи!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan-Downloader.Win32.Small.szi[/B] (DrWEB: Trojan.Bsod)[/LIST][/LIST]