Symantec не справляется с вирусом Trojan.Pandex

Symantec Antivirus постоянно открывает окно угроз в котором пишет что нашел вирус в папке c:\windows\system32\drivers\ в файле типа *****.sys под звездочками я понимаю имя файла из 3 букв и 2 цифр, после каждой перезагрузки имя этого файла меняется, Symantec пишет что удаляет этот файл, но при этом происходит постоянная рассылка почты, т.е. вся область рабочего стола заполняется сообщениями symantec о проверке исходящих сообщений.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Jis75.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ads43.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ffj61.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jfk02.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Kqu53.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Muc52.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tuk78.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Vbf30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Waf18.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wex25.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wmc36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xbk43.sys');
DeleteFile('WLCtrl32.dll');
BC_ImportAll;
BC_DeleteSvc('Waf18');
BC_DeleteSvc('Wex25');
BC_DeleteSvc('Wmc36');
BC_DeleteSvc('Xbk43');
BC_DeleteSvc('Tuk78');
BC_DeleteSvc('Vbf30');
BC_DeleteSvc('Muc52');
BC_DeleteSvc('Kqu53');
BC_DeleteSvc('Jfk02');
BC_DeleteSvc('Ffj61');
BC_DeleteSvc('Ads43');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=21380[/url]

Повторите логи.

Скачать [url]http://uploading.com/ru/files/VVKG3ZDO/1.zip.html[/url]
Запустить, найти C:\WINDOWS\system32\WLCtrl32.dll, нажать force delete, подвердить Ок
C:\WINDOWS\System32\drivers\Jis75.sys , нажать force delete, подвердить Ок

Все сделал вот логи

только вот еще один момент в папке C:\WINDOWS\system32\ помимо вот этого файла WLCtrl32.dll есть еще WLCtrl32.dl_ его тоже удалять?

Что-то снова все на месте.
Надо повторить то, что сказал PavelA и сразу после этого выполнить такой скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dl_');
DeleteFile('C:\WINDOWS\System32\Drivers\Jis75.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Jis75');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки повторите логи, начиная с п.10 правил.

[quote=Insanit;214308]только вот еще один момент в папке C:\WINDOWS\system32\ помимо вот этого файла WLCtrl32.dll есть еще WLCtrl32.dl_ его тоже удалять?[/quote]
Да, его тоже. Я добавил его в скрипт.

все сделал, вот логи

dll на месте, может снести ветку HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify\WLCtrl32, DLLName ?

Интересный у вас случай...
Давайте еще раз попробуем, аккуратно, ничего не пропуская.

1. Делаем Force Delete для этих файлов:
C:\WINDOWS\System32\Drivers\Avj08.sys
C:\WINDOWS\system32\WLCtrl32.dll

2. Пофиксим в HijackThis:
[code]O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll
[/code]
3. Выполним скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\Drivers\Avj08.sys');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteService('Avj08');
BC_ImportDeletedList;
BC_DeleteSvc('Avj08');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Все это без промежуточных перезагрузок, выключив интернет и антивирус.

Затем два последних лога повторите.

все сделал, вот логи

Вот теперь совсем другой коленкор :)
Враг повержен. Можно еще вот это пофиксить для порядка:
[code]R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)[/code]
А что такое 1.exe ?

пофиксил, все вроде норм работает, больше ничего не лезет. 1.exe это IceSword который я скачал по ссылке PavelA

Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Удачи и чистого Вам интернета ;)

У меня вот еще какой вопрос, чтобы лишний раз к вам не стучать по таким вот вопросам с вирусами )) есть ли какое нибудь руководство или какая нибудь дока по тому как с помощью AVZ находить где сидит вирус, я смотрел файлы отчетов, но чет там не совсем понятно как искать, раздел "подозрительные файлы" очевиден, а вот все остальное.. не совсем

Чтобы всему этому научиться, Вы можете подать заявку в группу "Студент".
Через Мой кабинет - Членство в группах.

[QUOTE=Insanit;214362]У меня вот еще какой вопрос, чтобы лишний раз к вам не стучать по таким вот вопросам с вирусами [/QUOTE]Для этого прочитайте еще раз сообщение #13 от wise-wistful и следуйте ссылкам из него :)
Гораздо легче, не получить вирус, чем от него избавляться.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.hx[/B] (DrWEB: Trojan.DownLoader.56882)[/LIST][/LIST]