Mutant.aim

Printable View

26.08.2008, 11:10
KirillP

Вложений: 3

Mutant.aim

Добрый день!

Сегодня при загрузке компьютер выдает ошибку от антивирусника F-Secure:
Malicious code found in C:\Windows\System32\Drivers\Winjl81.sys
Infection: Trojan.downloader.win32.mutant.aim
Action: The file was deleted.

И это происходит при каждой перезагрузке, только файлы разные.
Проверял CureIt, F-Secure - они находят несколько и удаляют. Кроме того, не могу загрузиться в Безопасном режиме.

Помогите, пожалуйста, избавиться от этого трояна.

Заранее спасибо.
26.08.2008, 11:36
Rene-gad

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\System32\drivers\Winst36.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол. F-Secure можно отключить отключением/остановкой служб. Это можно сделать через Диспетчер служб Виндовс или Диспетчер служб и процессов АВЗ.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\services.exe');
DeleteService('Winyn63');
DeleteService('Winwt66');
DeleteService('Wintg07');
DeleteService('Winsp47');
DeleteService('Winsi13');
DeleteService('Winsb17');
DeleteService('Winpv53');
DeleteService('Winor63');
DeleteService('Winni07');
DeleteService('Winjr01');
DeleteService('Winjl81');
DeleteService('Winhi85');
DeleteService('Winhe74');
DeleteService('Winbe85');
DeleteService('Qff24');
DeleteService('WZCSVCNetman');
DeleteService('wscsvchelpsvc');
DeleteService('WmdmPmSNSXService');
DeleteService('WmdmPmSNMSIServer');
DeleteService('TlntSvrSchedule');
DeleteService('SharedAccesswscsvcW32Time');
DeleteService('SharedAccesswscsvc');
DeleteService('seclogonDcomLaunch');
DeleteService('ScheduleImapiService');
DeleteService('SamSs Driver HPZ12');
DeleteService('PmlMSIServer');
DeleteService('mnmsrvclanmanworkstation');
DeleteService('helpsvcSpooler');
DeleteService('AlerterEventlog');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyn63.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winwt66.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Wintg07.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winsp47.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winsi13.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winsb17.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winpv53.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winor63.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winni07.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjr01.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjl81.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winhi85.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winhe74.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winbe85.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Qff24.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winst36.sys','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\System32\drivers\Winst36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Qff24.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winbe85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhe74.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhi85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjl81.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjr01.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winni07.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winor63.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winpv53.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winsb17.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winsi13.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winsp47.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Wintg07.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winwt66.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyn63.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winyn63');
BC_DeleteSvc('Winwt66');
BC_DeleteSvc('Wintg07');
BC_DeleteSvc('Winsp47');
BC_DeleteSvc('Winsi13');
BC_DeleteSvc('Winsb17');
BC_DeleteSvc('Winpv53');
BC_DeleteSvc('Winor63');
BC_DeleteSvc('Winni07');
BC_DeleteSvc('Winjr01');
BC_DeleteSvc('Winjl81');
BC_DeleteSvc('Winhi85');
BC_DeleteSvc('Winhe74');
BC_DeleteSvc('Winbe85');
BC_DeleteSvc('Qff24');
BC_DeleteSvc('WZCSVCNetman');
BC_DeleteSvc('wscsvchelpsvc');
BC_DeleteSvc('WmdmPmSNSXService');
BC_DeleteSvc('WmdmPmSNMSIServer');
BC_DeleteSvc('TlntSvrSchedule');
BC_DeleteSvc('SharedAccesswscsvcW32Time');
BC_DeleteSvc('SharedAccesswscsvc');
BC_DeleteSvc('seclogonDcomLaunch');
BC_DeleteSvc('ScheduleImapiService');
BC_DeleteSvc('SamSs Driver HPZ12');
BC_DeleteSvc('PmlMSIServer');
BC_DeleteSvc('mnmsrvclanmanworkstation');
BC_DeleteSvc('helpsvcSpooler');
BC_DeleteSvc('AlerterEventlog');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
26.08.2008, 12:32
KirillP

Вложений: 3

Я выполнил Ваши инструкции. Выслал карантин и прикрепляю логи к данному ответу.
26.08.2008, 12:43
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/CODE]

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] [B]если не знаете что это.[/B]
[CODE]O16 - DPF: {CAFECAFE-0013-0001-0018-ABCDEFABCDEF} (JInitiator 1.3.1.18) - http://svxpd-operadb/webhtml/opera_jinit_9041.exe
O16 - DPF: {CAFECAFE-0013-0001-0025-ABCDEFABCDEF} (JInitiator 1.3.1.25) -
O16 - DPF: {DAAC8ECF-DB09-4821-8126-E2C9499A20BA} (RegTerminalSrv Object) - http://10.103.29.2/installregterm.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = svx.rdsas.com
O17 - HKLM\Software\..\Telephony: DomainName = svx.rdsas.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{D18B5066-411F-40CE-918A-01DEB51A0B77}: NameServer = 10.103.29.3
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = svx.rdsas.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = svx.rdsas.com
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('wscsvcNetDDE');
DeleteService('ERSvcTermService');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('wscsvcNetDDE');
BC_DeleteSvc('ERSvcTermService');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
26.08.2008, 13:01
KirillP

Вложений: 2

Прикрепляю логи после Ваших указаний.
При перезагрузке выпало окошечко мастера нового оборудования, но маленького размера ( не видно чекбоксов и кнопок ОК, отмена и т.д.)
26.08.2008, 13:16
Rene-gad

Ничего зловредного не видно.
Нужно поставить сервис пак 3. Возможно потребуется активация системы.
Попробуйте запустить АВЗ/Файл/Мастер поиска и устранения проблем/Системные проблемы/Все отметить и запустить.
26.08.2008, 13:22
KirillP

Спасибо большое за быструю и грамотную помощь!
22.02.2009, 07:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\maleware\\malware - [B]Trojan-Downloader.Win32.Mutant.azc[/B] (DrWEB: Trojan.Packed.573)[*] c:\\maleware\\malware1 - [B]Trojan-Downloader.Win32.Mutant.azc[/B] (DrWEB: Trojan.Packed.573)[*] c:\\maleware\\malware2 - [B]Trojan-Downloader.Win32.Mutant.azc[/B] (DrWEB: Trojan.Packed.573)[/LIST][/LIST]