Win32/Wigon.CK

При подключении компьютера к Интернету Nod32 обнаруживает вирус Win32/Wigon.CK в файлах вида С:\WINDOWS\System32\drivers\Winnu53.sys. Обнаруженные файлы всегда разные. Антивирус их удалить не может и помещает в карантин. Система начинает тормозить. Провайдер сообщил о рассылке spam с нашего адреса.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('notifyf2.dll','');
DeleteService('Winxd83');
DeleteService('Winot37');
DeleteService('Winot04');
DeleteService('Winmr61');
DeleteService('Winmq27');
DeleteService('Winho06');
DeleteService('Winbi41');
DeleteService('wscsvcProtectedStorage');
DeleteService('TrkWksXPadminServer');
DeleteService('TPHDEXLGSVCTlntSvr');
DeleteService('Spooler Agent Service (default)');
DeleteService('ScheduleXPadminServer');
DeleteService('RpcSsERSvc');
DeleteService('lanmanworkstationPACSPTISVR');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\D8021Xps.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbi41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winho06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmq27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmr61.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winot04.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winot37.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxd83.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('notifyf2.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Готово!

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Winnu52');
BC_DeleteSvc('Winmt28');
BC_DeleteSvc('wscsvcProtectedStorage');
BC_DeleteSvc('TrkWksXPadminServer');
BC_DeleteSvc('TPHDEXLGSVCTlntSvr');
BC_DeleteSvc('Spooler Agent Service (default)');
BC_DeleteSvc('ScheduleXPadminServer');
BC_DeleteSvc('RpcSsERSvc');
BC_DeleteSvc('lanmanworkstationPACSPTISVR');
BC_DeleteSvc('CiSvcWmdmPmSN');
BC_DeleteSvc('AtiCOMSysApp');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmt28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnu52.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....

Выслал новые логи.

пофиксите ...
[code]
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/code]
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]сделайте лог кернел моде и запущенных процессов ....

Логи готовы.

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\wbem\wscntfy.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин соглпсно приложения 3 правил ...

Карантин выслан

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\wbem\wscntfy.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
virusinfo_syscheck.zip - повторите

Отправил.

1 доудалите касперского
2 деисталируйте виндовз дефендер
3 отключите нод
4 сделайте последний лог

Лог выслал.

Выгрузите все резидентные программы (антивирус, файрволл и т.д.). Можете сделать остановку автозапуска программ и не-виндовсовских служб в msconfig.
Включите AVZPM и повторите последний лог.
Какой-то процесс маскируется.

Что смог убрал. Лог выслал.

Вот этот процесс судя по всему маскировался
[CODE]c:\program files\xpoint\pe\pcrecsa.exe - Командная строка: - noshow [/CODE]
Если Вы эту прогу знаете ,то больше ничего подозрительного.
Установите Сервис Пак 3 и обновите Джаву - очень уж она у Вас допотопная. :>

Да, программа знакома - это часть пакета FileRestore который был изначально установлен на ноутбук. Рекомендации выполню. Большое спасибо Вам за решение проблемы.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.axh[/B] (DrWEB: Trojan.DownLoad.3503)[/LIST][/LIST]