Wigon.BK Улетают деньги во внешку

Посоветуйте, пожалуйста, как избавиться от следующего:
Nod 32 находит Wigon.BK. Удаляет его, через неск. минут это вирус обнаруживается снова, файлы инфицированные им с разными названиями, в разных местах (в temp, driver).
Подключен к интернету через ADSL, с лицевого счёта исчезают деньги, даже при отключенной внешке, и когда компьютер отключен - ночью! Исходящий трафик больше входящего. Сам ничего не передаю.
Очень надеюсь на решение проблемы до опустошения лицевого счёта во 2-ой раз.:) Скорость улетучивания денег разная, доходит ~ до 60 руб/час.

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL]C:\WINDOWS\system32\WLCtrl32.dll, C:\WINDOWS\system32\Drivers\Rwa03.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\Documents and Settings\Сергей\Рабочий стол\.//..//win.exe','');
QuarantineFile('msime80.exe','');
QuarantineFile('msfir80.exe','');
BC_DeleteSvc('Xat11PCI');
BC_DeleteSvc('Vbe82');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vbe82.sys','');
BC_DeleteSvc('Tyc25');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tyc25.sys','');
BC_DeleteSvc('Qyl71');
QuarantineFile('C:\WINDOWS\System32\Drivers\Qyl71.sys','');
BC_DeleteSvc('Pvy36');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pvy36.sys','');
BC_DeleteSvc('Pux60');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pux60.sys','');
BC_DeleteSvc('Osv58');
QuarantineFile('C:\WINDOWS\System32\Drivers\Osv58.sys','');
BC_DeleteSvc('Jnq03');
QuarantineFile('C:\WINDOWS\System32\Drivers\Jnq03.sys','');
BC_DeleteSvc('Inq14');
QuarantineFile('C:\WINDOWS\System32\Drivers\Inq14.sys','');
BC_DeleteSvc('Hqc70');
QuarantineFile('C:\WINDOWS\System32\Drivers\Hqc70.sys','');
BC_DeleteSvc('Gkn47');
BC_DeleteSvc('Fkn25');
QuarantineFile('C:\WINDOWS\System32\Drivers\Fkn25.sys','');
BC_DeleteSvc('Eil14');
QuarantineFile('C:\WINDOWS\System32\Drivers\Eil14.sys','');
BC_DeleteSvc('Chk47');
QuarantineFile('C:\WINDOWS\System32\Drivers\Chk47.sys','');
BC_DeleteSvc('Bgj36');
QuarantineFile('C:\WINDOWS\System32\Drivers\Bgj36.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Afi36.sys','');
BC_DeleteSvc('Afi36');
BC_DeleteSvc('Rwa03');
QuarantineFile('C:\WINDOWS\system32\Drivers\Rwa03.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Rwa03.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Afi36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Bgj36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Chk47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Eil14.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fkn25.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gkn47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Hqc70.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Inq14.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jnq03.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Osv58.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pux60.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pvy36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Qyl71.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tyc25.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vbe82.sys');
DeleteFile('WLCtrl32.dll');
DeleteFile('msfir80.exe');
DeleteFile('msime80.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Карантин выслал, шлю логи.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Сергей\Рабочий стол\.//..//win.exe');
DeleteFile('C:\sal.xls.exe');
DeleteFile('D:\sal.xls.exe');
DeleteFile('E:\sal.xls.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи начиная с пункта 10 правил ...

Сделал.

в логах чисто какие -то проблемы остались ?

Н-да? Спасибо! Пока затрудняюсь ответить, нужно понаблюдать как статистика потреблённого трафика за ночь изменится, когда комп. будет отключен. Пока за вечер, решая с Вами проблему остаток на счёте на 70 руб. уменьшился.
Как думаете, откуда такая напасть могла свалиться, с флэшки занёс, с инета или при установке программы? Дабы обезопаситься. NOD стоит, с флэшки не должен был занести...
Вот тут [URL]http://tomsknet.ru/security/nodht[/URL] похоже на мой случай, не совсем понятно. Я пользуюсь p2p (такого же рода программа?), не нашёл в настройках отключения DHT. Мог через неё попасть...
Кроме NOD-а, до сего дня больше ничем не пользовался. Если вкл. станд. брандмауер винды, то для использования p2p всё равно нужно делать исключения, выходит никакого толка от брандмауера нет?
Посоветуйте, пожалуйста, как быть в моём случае, какие ещё программы защиты поставить (эффективный min)? Может быть мой IP засвечен, атаки будут повторяться?
Ещё раз примите мои благодарности! :)
Вдогонку... не включается отображение скрытых файлов и папок. Здесь описана та же проблема [url]http://virusinfo.info/showthread.php?t=21056[/url] мне этот скрипт не подходит?

у вас есть звери которые подхватили на зараженном сайте , а так же авторан с флешек ...

Для скрытых файлов:

[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.
[/CODE]

:) папки проявились
>:( а как авторан мог проскочить, NOD не всесилен? обновляется автоматически каждые неск. часов, иногда срабатывал когда флэшку втыкаешь.

Нет абсолютной защиты;)

:O Здравствуйте!
Проверил вчера ночью NOD-ом :С - опять вигон (виндовс - гон?)...
Поскольку нужно было перед работой немного поспать, ушёл мучиться беспокойным сном...
Продолжаю. NOD запускал на проверку после очистки - по завершении рекомендаций согласно переписки, т.е. после этого в инете не лазил, флэшки не вставлял, программы не устанавливал. За ночь счёт в принципе не изменился (в пределах паразитного). Сейчас при выполнении 10 п. правил: скрипт сбор информации, обратил внимание - в 6 п. указано, что поиск открытых портов TCP/UDP, используемых программами отключен пользователем, так и должно быть?
Шлю логи.:help:

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
QuarantineFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp37.tmp',' ');
QuarantineFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp9E.tmp',' ');
QuarantineFile(' C:\WINDOWS\Temp\INF5C.tmp',' ');
end.[/CODE]

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=21608[/url]

Карантин послал.
Однако при выполнении скрипта, было красное предупреждение о том, что карантин с использованием прямого чтения ошибка; ошибка карантина файла.

Анализирую: с Nero не может быть связано? После её установки начались проблемы или совпадение...

Где именно NOD нашел вирус?Случайно не в карантине AVZ?

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp37.tmp');
DeleteFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp9E.tmp');
DeleteFile('C:\WINDOWS\Temp\INF5C.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите лог virusinfo_syscheck.

Не помню, но не должен. Карантин AVZ где располагается - только в той папке, где AVZ? AVZ у меня на диске F, а сканировал я С. Сейчас проверить NOD-ом?

Очистите карантин AVZ,временные папки,кеш браузера и провертесь Антивирусом,результат сообщите.

Карантин очистил через AVZ; кэш, временные папки и, что было можно очистить CCleaner-ом, очистил им.
Статистика личного счёта за прошедшее время вроде в норме.
Проверил NOD-ом - вирусов ноль. Неужели победа?
Я понаблюдаю неск. дней и отпишусь.
Удачи!

Победа,так как в логах чисто

[QUOTE=Spiritus_;217351]Анализирую: с Nero не может быть связано? После её установки начались проблемы или совпадение...[/QUOTE]

С Неро м.б. связано косвенно: файлы попали в кеш Неро, куда они копируются перед записью на диск. Если это так, то вспоминайте что последнее время записывали, а самое главное откуда это скачивали.

Снова появился.
Неро пользовался после установки раз, вернее за один раз записал 6 дисков с фото, которые сам и сфотографировал. Можно ли как-нибудь установить первопричину откуда он появляется (Вигон)? Личный счёт вроде в норме. В том, что деньги раньше улетали, по всей видимости какой-то другой из удалённых вирусов был повинен, а в чём зловредность Вигона заключается, удалось установить?

пофиксите ...
[code]
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
[/code]
в логах ничего зловредного ...

Пофиксил.
Тем не менее Nod опять нашёл в темпе 2 файла заражённых.

гадость лезет к вам из сети ... запретите доступ из сети проблемы исчезнут ...

Большое Вам человеческое спасибо за оказанную и оказываемую помощь!
(продублировал благодарность в соответствующем разделе).
Поставил Outpost Firewall, до сего дня вирус на компе не проявился - запретить доступ из сети имелось ввиду файерволлом? Со счётом вроде тоже порядок.

+
неплохо бы отключить лишнее из списка ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Доброго времени суток, уважаемые хелперы!
У меня опять зловреды завелись. Такая же ситуация как и в этом посте:
[url]http://virusinfo.info/showthread.php?t=31465&highlight=%ED%E5+%E3%F0%F3%E7%E8%F2%F1%FF+%F1%F2%F0%E0%ED%E8%F6%E0+%F4%E8%EA%F1[/url]
- в самом крайнем случае: сайты в эксплорере вообще перестали открываться. Причём Bat! принимает почту без проблем. Вышел в инет через ноутбук, подсоединившись через те же настройки модема, что и для компа.
Прошу помощи. Как я понял из правил один комп, одна операционка - пишется в одной теме, и в случае если разные проблемы?

создавайте новую тему и прикладывайте логи ....

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.dfn[/B] (DrWEB: Win32.HLLW.Autoruner.294)[*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.dfn[/B] (DrWEB: Win32.HLLW.Autoruner.294)[*] e:\\autorun.inf - [B]Worm.Win32.AutoRun.dfn[/B] (DrWEB: Win32.HLLW.Autoruner.294)[/LIST][/LIST]