Printable View
Так получилось что комп заразился этим вирусом (Mutant кажется какой-то) главным проявлением которого является жалобы на эти три файла. Я прикрепляю три лога для анализа. Если вы поможете буду очень благодарен. Жаль что никто не может полностью описать этот вирус чтобы удалить его вручную самому.
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\KCOM.SYS','');
QuarantineFile('C:\WINDOWS\system32\Drivers\quX47.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Fmr50.sys','');
QuarantineFile('C:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\WLCtrl32.dll',' ');
DeleteFile('C:\WINDOWS\SYSTEM32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
Пофисите в Hijackthis:
[CODE]
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll
[/CODE]
Проклятье, живучий гад. Все сделал как вы сказали, но внешне изменений нуль. Загрузил карантинные файлы и снова собрал информацию в логи.
[COLOR="Magenta"]moderated:::карантинные файлы загружать по красной ссылке вверху темы[/COLOR]
Отключите ПК от сети.
Отключите Антивирус.
Отключите системное восстановление.
Пофиксите:
[CODE]O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll[/CODE]
Выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('quX47');
DeleteService('Fmr50');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Fmr50.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\quX47.sys','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\quX47.sys','');
QuarantineFile('c:\windows\system32\wlctrl32.dll','');
QuarantineFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000033.dll','');
QuarantineFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000104.dll','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('F:\autorun.inf','');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000104.dll');
DeleteFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000033.dll');
DeleteFile('c:\windows\system32\wlctrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\quX47.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('WLCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\quX47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fmr50.sys');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
1. Очистите темп-папки и кэш
2. Закачайте карантин по правилам
3. Обновите базы АВЗ. Скачайте последнюю версию Hijackthis. Необходимые ссылки приведены в правилах.Повторите логи.
Кое как избавился, но немного своим способом - удалил записи в HijackThis, и IceSword'ом силой грохнул помимо проблемных файлов и драйвера которые у вас в скрипте и еще парочку файлов о которых собрал информацию по и-нету как о проблемных в этом случае.
Так же снес гадость по адресу в реестре HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify. Там была запись с WinCtrl32.dll.
Скрипт же AVZ помогал не доконца. Но главное что указали вирус в драйверах. С гадостью которая лезет в драйвера сталкиваюсь в первый раз. В общем спасибо.
Насчет карантина, извиняюсь не до конца понял как AVZ создает архивы. А вообще я отправлял по ссылке вверху - непосредственно из папки Quarantine в AVZ. Щас отправлю еще раз на всякий случай и логи. Надеюсь на этот делаю правильно.
[QUOTE=ArtAnalyzer;240397]Щас отправлю еще раз на всякий случай и логи. Надеюсь на этот делаю правильно.[/QUOTE]Прочитайте еще раз Пункт 3 в конце моего сообщения 4.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]70[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\system volume information\\_restore{5e2467db-5186-4257-ad9e-6ed08116984a}\\rp1\\a0000033.dll - [B]Trojan-Downloader.Win32.Mutant.xc[/B] (DrWEB: Trojan.DownLoader.59701)[*] c:\\system volume information\\_restore{5e2467db-5186-4257-ad9e-6ed08116984a}\\rp1\\a0000104.dll - [B]Trojan-Downloader.Win32.Mutant.xc[/B] (DrWEB: Trojan.DownLoader.59701)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.afs[/B] (DrWEB: Trojan.DownLoader.63553)[*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.xc[/B] (DrWEB: Trojan.DownLoader.59701)[/LIST][/LIST]