Printable View
Сего дня крайне модной стала тема W32Ctrl.dll и wowfx.dll, а так же аддитивы к ним как то BN2,3... .tmp Началось с того, что свойства mp3 файлов перестали показыватся. А портом уже все описанные гражданими симптомы. Чистил пол дня вчерашнего и сегодняшний (6.04), но в силу явного недостатка мозгов, суток с небольшим оказалось мало. Буду очень рад принять помощь интеллектуально развитых камрадов.
virusinfo_cure.zip - это карантин. его отправляют по ссылке вверху страницы, уберите из темы. нам нужен virusinfo_syscure.zip в теме.
virusinfo_syscure.zip создан не был, сейчас прогоню еще раз но помоему возникает bsod на конечном этапе
Выполните в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Bfi36', 4);
StopService('Bfi36');
QuarantineFile('C:\WINDOWS\system32\taskmon.sys','');
QuarantineFile('C:\WINDOWS\system32\hdport.sys','');
QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
QuarantineFile('C:\WINDOWS\system32\qtprot.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Nru03.sys','');
QuarantineFile('C:\DOCUME~1\Lena\LOCALS~1\Temp\DMSKSSRh.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Bfi36.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('C:\Documents and Settings\Alex\ie_updates3r.exe','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\Documents and Settings\Alex\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Bfi36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Nru03.sys');
DeleteFile('C:\WINDOWS\system32\qtprot.sys');
DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('wowfx.dll');
DeleteFile('C:\WINDOWS\system32\hdport.sys');
DeleteFile('C:\WINDOWS\system32\taskmon.sys');
BC_ImportAll;
BC_DeleteSvc('Google Online Services');
BC_DeleteSvc('Schedule');
BC_DeleteSvc('hdport');
BC_DeleteSvc('Bfi36');
BC_DeleteSvc('Nru03');
BC_DeleteSvc('qtprot');
BC_DeleteSvc('taskmon.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Загрузите карантин согласно приложения 3 правил...
Повторите логи...
сейчас попробую. Кстати файл virusinfo_cure.zip не удаляется, пишет нет прав
Таки значит скрипт выполнил, BNB.tmp в процессах есть, и такая особенность - не знаю связанно ли - сразу после загрузки в диспетчере не показываются имена учеток, от которых процесс запущен. Проявляются много позже.
ЗЫ загрузил карантин как требуется
Скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\system32\Drivers\Bfi36.sys и если есть - удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Alex\Application Data\ezpinst.exe','');
QuarantineFile('C:\Program Files\Trident Software\Pragma\ptbar.dll','');
QuarantineFile('xlibgfl254.dll','');
QuarantineFile('C:\WINDOWS\system32\xlibgfl254.dll','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\spoolvs.exe','');
QuarantineFile('C:\WINDOWS\Installer\{aa4470d1-f302-40f7-befe-1177d84e8120}\CDRam.dll','');
QuarantineFile('C:\WINDOWS\Installer\{a65c86bc-ae70-4519-b745-74ae33207984}\PrxComponent.dll','');
QuarantineFile('C:\DOCUME~1\Lena\LOCALS~1\Temp\DMSKSSRh.sys','');
QuarantineFile('Cjun72.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Cjun72.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Bfi36.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Bfi36.sys');
DeleteFile('C:\WINDOWS\system32\xlibgfl254.dll');
DeleteFile('C:\DOCUME~1\Lena\LOCALS~1\Temp\DMSKSSRh.sys');
DeleteFile('C:\WINDOWS\system32\spoolvs.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('xlibgfl254.dll');
DelBHO('{47833539-D0C5-4125-9FA8-0819E2EAAC93}');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('Cjun72');
BC_DeleteSvc('Bfi36');
BC_DeleteSvc('DMSKSSRh');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21113[/url] ).
[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll
O4 - Global Startup: .protected
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1[/code]
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".
Сделайте новые логи.
Всё сделал. Карантин только надо заслать, но больше раза вроде как этого делать не рекомендуется, согласно правилам )
Карантин просто один и тот же не рекомендуют загружать дважды, а если это разные карантины, то конечно же загружайте.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[b]ezpinst.exe[/b] поищите при помощи АВЗ -сервис--поиск файлов на диске и пришлите согласно приложению 2 правил.
выслал
ezpinst.exe
Вредоносный код в файлах не обнаружен.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Drivers\Cjun72.sys');
DeleteFile('Cjun72.sys');
DeleteFile('C:\WINDOWS\Installer\{aa4470d1-f302-40f7-befe-1177d84e8120}\CDRam.dll');
DeleteFile('C:\WINDOWS\Installer\{a65c86bc-ae70-4519-b745-74ae33207984}\PrxComponent.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Cjun72');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Записи в файл Hosts Вы вносили? Если нет и они Вам не нужны, то выполните такой [url=http://virusinfo.info/showthread.php?t=7239]скрипт в AVZ[/url]:
[code]begin
ClearHostsFile;
end.[/code]
Сделайте новые логи.
Много раз при проверке\лекчении и анализа (2 и 3 стандартные скрипты) выскакивал bsod, причем при послдеующей загрузке никакой мессаги не выказал, ну да ладно. ezpinst.exe я удалил айссвордом. После перезагрузки залез в службы, система оповещения оказалась выключена, а служба брандмауэра отсутствует как таковая. После некскольких бсодов логи таки создал.
ЗЫ Ксатати, как тут респекты высказывать хэлперам? А то я бы уже без поддежки копировал бы через линух файлы, и форматил хард.
Логи почти чистые. Почти - потому что у Вас есть C:\Program Files\Bonjour\ Почитайте по этому поводу: [url]http://forum.rudtp.ru/showthread.php?t=29833[/url]
Выполните на всякий случай пункт 2 правил.
Зайдите в AVZ - Сервис - Системные утилиты - SFC проверка системных файлов.
Понадобится установочный диск Windows.
Спасибо )) Всё супер
Нам интересно [URL="http://virusinfo.info/showthread.php?t=19883"]Ваше мнение[/URL] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]154[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.dm[/B] (DrWEB: Trojan.DownLoader.54123)[*] c:\\windows\\temp\\bnb.tmp - [B]Trojan-Downloader.Win32.Agent.mkb[/B] (DrWEB: Trojan.DownLoader.56617)[/LIST][/LIST]