Троян win32/Wigon.ck

Printable View

17.07.2008, 23:48
Миротворец

Вложений: 3

Троян win32/Wigon.ck

Ребят помогите 3-4 дня мучаюсь с этой заразой !!! Нод 32 её не видет , тело по крайней мере вирусы то он типа её вылавливает а уничтожить не может:( Адвайра тоже не помогла вся надежда на вас я видел что здесь такие проблемы уже решались но следуя вашим инструкциям не стал вставлять чужие скрипты и сделал всё как вы просите ... Заранее благодарен.
18.07.2008, 00:00
Гриша

Отключите антивирус и интернет!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winyg30');
DeleteService('Winyf17');
DeleteService('Winwd28');
DeleteService('Winta27');
DeleteService('Winsy74');
DeleteService('Winsy51');
DeleteService('Winsy28');
DeleteService('Winrx74');
DeleteService('Winrx38');
DeleteService('Winqw17');
DeleteService('Winou17');
DeleteService('Winnt52');
DeleteService('Winms27');
DeleteService('Winlr85');
DeleteService('Winkq63');
DeleteService('Winfl63');
DeleteService('Winbh30');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyg30.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyf17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winwd28.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winta27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsy74.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsy51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsy28.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winrx74.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winrx38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winqw17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winou17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winnt52.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winms27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr85.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winkq63.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winfl63.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winbh30.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbh30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winfl63.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkq63.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winlr85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winms27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnt52.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winou17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqw17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrx38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrx74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsy28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsy51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsy74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winta27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winwd28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyf17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyg30.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
18.07.2008, 00:47
Миротворец

Гриша не помогло тактрафик и качается :((((((((((((((((((((((((((( Просто пипец какой то :((((((((((((((
После скрипта произошла перезагрузка и нод 32 сразу опять в систем 32 в драверс обнаружил очередной вирус
18.07.2008, 00:49
akok

Пришлите карантин по правилам и повторите логи..
18.07.2008, 01:09
Миротворец

Вложений: 3

Я извиняюсь немного не дочитал про карантин .... Да и кстати эта штука напрочь отключает брандмаузер винды...
18.07.2008, 01:19
kps

Отключите антивирус.

Скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\System32\Drivers\Winci27.sys и если есть - сначала скопируйте его куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Потом [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Winci27.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
DeleteFile('C:\WINDOWS\System32\Drivers\Winci27.sys');
DelWinlogonNotifyByKeyName('WinCtrl32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Winci27');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] + скопированный Вами файл.
Очистите временные папки и кеш браузера.
Сделайте новые логи.
18.07.2008, 01:41
Миротворец

Вложений: 3

Сделал как вы сказали только файла там этого не было !!! Предварительно вроде бы всё ок.
Млин но что меня убивает служба брандмаузера запущена а в настройках соединения всё серым и типа она выключена ...
18.07.2008, 01:47
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Windj28');
DeleteFile('C:\WINDOWS\System32\Drivers\Windj28.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите virusinfo_syscheck.zip
18.07.2008, 01:58
Миротворец

Вложений: 1

Всё сделал !!!!:) Заранее благодарен !!!! За оперативность в такой поздний час!!!!!!! огромное спасибо!!!!!!!!!!!
18.07.2008, 08:11
Миротворец

Ребят ну помогите всё таки шлефануть :)))) Брандмаузер винды так и серый когда входишь в сетевые подключения изменить параметры брандмаузера - ноль имоций, там ничего нельзя изменить всё серое и точка типа стоит что она выключена !!! Хотя сама служба запущена !!! В чём прикол. Соединения для АДСЛ модема через Wan PPPoE ...
Заранее благодарен ...
18.07.2008, 09:06
V_Bond

выполните скрипт ....
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]
18.07.2008, 22:24
Миротворец

Ребят от чистого сердца !!!ОГРОМНОЕ СПАСИБО ЗА ВСЁ !!!!!!!!!!!!!
Я правда удивлен и поражен вашей оперативностью и компетентностью !!!!
22.02.2009, 06:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]79[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.aoc[/B] (DrWEB: Trojan.DownLoader.63553)[/LIST][/LIST]