Wigon.CK_Trojan.Rntm.10_Trojan.Downloader.63553

Win XP sp2, IE6, unlim. 128 kbps, AV NOD32, Cure It
После чтения провокационного эл. письма о сообщении якобы с сайта
[URL="http://www.odnoklassniki.ru"]www.odnoklassniki.ru[/URL] (купился!) из Инета загружен вирус. NOD32 блокирует его активность как драйвера "Trojan.rntm.10" и садит в карантин. Проверка Cure It убивает файлы winctrl32.dll и WinCtrl32.dl_ (идентифицируя их как "Trojan. Downloader.63553") в Windows\system32\
и в system restore. Других вирусов или их компонентов она не находит.
При отключенном инете Cure It полностью вычищает комп, кроме повидимому, изменений регистра, сделанных вирусом. После перезапуска вируса нет. При подключении инета вирус возвращается. Проверка AVZ и HiJack проводилась при подключенном инете, выключенном восстановлении системы и выключенном резидентно NOD32.
При перезагрузке компа, NOD активируется и перехватывает вирусный драйвер, поэтому AVZ его не обнаружил. Однако библиотеки dll Вашим AVZ обнаружены, а также в директории Temp обнаружен ранее неизвестный файл WinI6tkF4cHng.exe, который возможно является самим телом вируса? Или это еще один вирус...Подскажите методу коррекции испорченного регистра!!! Или же - скрипт для тотального лечения, пож-ста.

В карантине
C:\Documents and Settings\Сергей\Local Settings\Temp\winI6tkF4cHng.exe - [b]Trojan-Downloader.Win32.Mutant.amd[/b]

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\windows\system32\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\sistray.EXE','');
QuarantineFile('C:\WINDOWS\system32\khooker.exe','');
QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');
DeleteFile('C:\DOCUME~1\F942~1\LOCALS~1\Temp\winI6tkF4cHng.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\Documents and Settings\Сергей\Local Settings\Temp\winI6tkF4cHng.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\WinCtrl32.dll');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить в HijackThis следующие строчки[/URL]
[CODE] O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O24 - Desktop Component 0: (no name) - http://www.injapan.ru/favicon.ico [/CODE]

Логи повторите.