Wigon.CK + Wigon.FJ + Nuwar.CX

Доброе време суток, заболел знакомый, пытаюсь ему помочь. Как поймал - не знаю. Антивируса не стояло. Поставил НОД32 3.х, он ловит и "удаляет" следующее:
Win32/Nuwar.CX worm
Win32/Wigon.CK trojan
Win32/Wigon.FJ trojan
После перезагрузки всё повторяется.

Симптомы:
1. Обои на рабочем столе сменились на что-то типа: "Ваш компьютер в опасносте, заражён и т.д."
2. Пропала закладка смены обоев с свойствах дисплея
3. Переодически происходит эмуляция синего окна смерти и перезагрузки ПК, то-ли полноэкранный флешь, то ли ещё что, но при нажатии esc - "перезагрузка" пропадает :-)

Логи сделал по инструкции.
Пожалуйста помогите.

П.С. Не смог зарегистрироваться, заполняю все формы (модуля и никаких окон "NoSPAM!" не видно ни в IE 6.x ни в Firefox 2.x. А после акцепта регистрации вылазит сообщение о неправильном вводе. Сообщение так же советует обратиться к Администрации, ок сделал...
Через форму обратной связи, заполнил всё, описал проблему и снова "NoSPAM!" - невидимко.

Благо практически на всех форумах есть логин\пасс: 12345\12345 и ему подобные связки, спасибо.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('F:\autorun.inf','');
DeleteService('Winvb83');
DeleteService('Winnr83');
DeleteService('Winfk26');
DeleteService('WZCSVCsrservice');
DeleteService('wscsvcPlugPlay');
DeleteService('upnphostWmdmPmSN');
DeleteService('SwPrvWZCSVCsrserviceSSDPSRV');
DeleteService('SwPrvWZCSVCsrservice');
DeleteService('SCardSvrWZCSVCsrservice');
DeleteService('RpcLocatorClipSrv');
DeleteService('helpsvcCiSvc');
DeleteService('ERSvcWebClient');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\algx.dll','');
DeleteFile('C:\WINDOWS\system32\algx.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winfk26.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnr83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winvb83.sys');
DeleteFile('C:\WINDOWS\system32\blphcp1nj0e553.scr');
DeleteFile('WinCtrl32.dll');
DeleteFile('F:\autorun.inf');
BC_ImportALL;
BC_DeleteSvc('ERSvcWebClient');
BC_DeleteSvc('helpsvcCiSvc');
BC_DeleteSvc('RpcLocatorClipSrv');
BC_DeleteSvc('SCardSvrWZCSVCsrservice');
BC_DeleteSvc('SwPrvWZCSVCsrservice');
BC_DeleteSvc('SwPrvWZCSVCsrserviceSSDPSRV');
BC_DeleteSvc('upnphostWmdmPmSN');
BC_DeleteSvc('wscsvcPlugPlay');
BC_DeleteSvc('WZCSVCsrservice');
ExecuteRepair(6);
ExecuteRepair(5);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить в HijackThis следующие строчки[/URL]
[CODE] O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll[/CODE]

Повторите логи.

Огромное спасибо, вроде вылечился...

virus.zip из темы убрать это карантин...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winhm48');
DeleteService('Windi26');
DeleteService('Winaf61');
DeleteService('sysrest.sys');
DeleteService('TermServiceNla');
DeleteService('SamSsNetDDEdsdm');
DeleteFile('srv.exe');
DeleteFile('C:\WINDOWS\system32\sysrest.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winaf61.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Windi26.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhm48.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winhm48');
BC_DeleteSvc('Windi26');
BC_DeleteSvc('Winaf61');
BC_DeleteSvc('sysrest.sys');
BC_DeleteSvc('TermServiceNla');
BC_DeleteSvc('SamSsNetDDEdsdm');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...

Спасибо.

Какие проблемы еще наблюдаются?

Никаких не наблюдалось уже после выполнения первых скриптов, "флешь" анимация пропала, попытки закачать экзешники из тырнета тоже изчезли, загладки смены обой и скринсэйвера в свойствах дисплея - появились. Ещё раз спасибо.

П.С. прикрутите возможность благодарности через Paypal.

[QUOTE=12345;291063]прикрутите возможность благодарности через Paypal.[/QUOTE]
К сожалению такой возможности нет.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\algx.dll - [B]Trojan.Win32.Agent.afkk[/B] (DrWEB: Trojan.EmailSpy.124)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.bog[/B] (DrWEB: BackDoor.Bulknet.225)[/LIST][/LIST]