Неудаляющийся вирус WLCtrl32.dll в папке Windows\system32

Printable View

15.06.2008, 19:53
mare3000

Вложений: 3

Неудаляющийся вирус WLCtrl32.dll в папке Windows\system32

Помогите пожалуйста, Symantec не может удалить вирус WLCtrl32.dll, вручную тоже не удаётся ничего сделать. Кроме того при каждом запуске системы Symantec вылавливает .tmp файлы, которые удаляет и снова находит при новом запуске.
Логи avz и HiJackThis в аттачменте.
Спасибо!
15.06.2008, 20:20
V_Bond

Spybot - деинсталировать ....
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL]C:\WINDOWS\system32\WLCtrl32.dll, C:\WINDOWS\System32\Drivers\Dhl25.sys - force delete
выполните скрит ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\BN36.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN34.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN33.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BNE.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN12.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BNF.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BNC.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BND.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BNA.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN9.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN8.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN7.tmp','');
QuarantineFile('c:\windows\system32\wlctrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
BC_DeleteSvc('Vcg04');
BC_DeleteSvc('Uyc05');
BC_DeleteSvc('Ucg15');
BC_DeleteSvc('Uae14');
BC_DeleteSvc('Uad61');
BC_DeleteSvc('Tae25');
BC_DeleteSvc('Sxc83');
BC_DeleteSvc('Rva82');
BC_DeleteSvc('Rva60');
BC_DeleteSvc('Pua04');
BC_DeleteSvc('Nrv16');
BC_DeleteSvc('Lru61');
BC_DeleteSvc('Lru60');
BC_DeleteSvc('Jnq60');
BC_DeleteSvc('Ins04');
BC_DeleteSvc('Hnr04');
BC_DeleteSvc('Hlo04');
BC_DeleteSvc('Chl03');
BC_DeleteSvc('Bgk47');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Dhl25');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Dhl25.sys','');
QuarantineFile('C:\WINDOWS\system32\oplpom32.dll','');
DeleteFile('C:\WINDOWS\system32\oplpom32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Dhl25.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Bgk47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Chl03.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hlo04.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hnr04.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ins04.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jnq60.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lru60.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lru61.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Nrv16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pua04.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rva60.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rva82.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Sxc83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tae25.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Uad61.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Uae14.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ucg15.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Uyc05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vcg04.sys');
DeleteFile('C:\WINDOWS\System32\ntos.exe');
DeleteFile('WLCtrl32.dll');
DeleteFile('c:\windows\system32\wlctrl32.dll');
DeleteFile('C:\WINDOWS\Temp\BN6.tmp');
DeleteFile('C:\WINDOWS\Temp\BN8.tmp');
DeleteFile('C:\WINDOWS\Temp\BN9.tmp');
DeleteFile('C:\WINDOWS\Temp\BNA.tmp');
DeleteFile('C:\WINDOWS\Temp\BND.tmp');
DeleteFile('C:\WINDOWS\Temp\BNC.tmp');
DeleteFile('C:\WINDOWS\Temp\BNF.tmp');
DeleteFile('C:\WINDOWS\Temp\BN12.tmp');
DeleteFile('C:\WINDOWS\Temp\BNE.tmp');
DeleteFile('C:\WINDOWS\Temp\BN33.tmp');
DeleteFile('C:\WINDOWS\Temp\BN34.tmp');
DeleteFile('C:\WINDOWS\Temp\BN36.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ....
15.06.2008, 20:27
Rene-gad

[QUOTE]Platform: Windows [B]XP[/B] (WinNT 5.01.2600)
MSIE: Internet Explorer [B]v6.00 [/B](6.00.2600.0000)[/QUOTE]
Понимаю: Последние 5 лет Вы провели на Марсе и о 3 Service Packs от Микрософта ничего не слышали 8)
15.06.2008, 21:15
mare3000

Карантин загрузила. Что значит повторить логи?:?
15.06.2008, 21:17
V_Bond

сделать заново три лога как в первом сообщении ...
15.06.2008, 21:39
mare3000

Вложений: 3

Sorry ;)
15.06.2008, 21:45
V_Bond

пофиксите ...
[code]
R3 - URLSearchHook: (no name) - {D73F49B6-B51B-4d32-A3B7-BD04B8342F53} - (no file)
O2 - BHO: (no name) - {3F3714A1-89A4-46be-8AF3-D0C9D1FB03F9} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {D73F49B1-B51B-4d32-A3B7-BD04B8342F53} - (no file)
O3 - Toolbar: (no name) - {3F3714A9-89A4-46be-8AF3-D0C9D1FB03F9} - (no file)
20 - Winlogon Notify: oplpom - oplpom32.dll (file missing)
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\BNB.tmp','');
QuarantineFile('C:\WINDOWS\Temp\BN7.tmp','');
DeleteFile('C:\WINDOWS\Temp\BN7.tmp');
DeleteFile('C:\WINDOWS\Temp\BNB.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи начиная с пункта 10 правил ...
15.06.2008, 22:04
mare3000

Вложений: 2

Готово.
15.06.2008, 22:08
V_Bond

в логах ничего зловредного ....
теперь , как только вернетесь с Марса , установите обновления ....
15.06.2008, 22:13
mare3000

:D огромное спасибо! :inlove:
22.02.2009, 05:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\oplpom32.dll - [B]Trojan.Win32.Pakes.czu[/B] (DrWEB: Trojan.Inject.3435)[*] c:\\windows\\system32\\wlctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.ok[/B] (DrWEB: Trojan.DownLoader.59094)[*] c:\\windows\\temp\\bna.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bnb.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bnc.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bnd.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bne.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bnf.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bn12.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bn33.tmp - [B]Trojan-Dropper.Win32.Agent.rup[/B] (DrWEB: Trojan.MulDrop.16007)[*] c:\\windows\\temp\\bn34.tmp - [B]Trojan-Dropper.Win32.Agent.rup[/B] (DrWEB: Trojan.MulDrop.16007)[*] c:\\windows\\temp\\bn36.tmp - [B]Trojan-Dropper.Win32.Agent.rup[/B] (DrWEB: Trojan.MulDrop.16007)[*] c:\\windows\\temp\\bn6.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bn7.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bn8.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[*] c:\\windows\\temp\\bn9.tmp - [B]Trojan-Downloader.Win32.Mutant.yi[/B] (DrWEB: BackDoor.Bulknet.188)[/LIST][/LIST]