Winpu16.sys

[kokon]

помогите прибить эту штуку C:\WINDOWS.0\system32\Drivers\Winpu16.sys + HijackThis показывает интересную штуку которую у меня тоже не получаеться прибить C:\WINDOWS.0\SYSTEM32\WinCtrl32.dll

[Синауридзе Александр]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS.0\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS.0\System32\Drivers\Winpu16.sys','');
 QuarantineFile('C:\Program Files\DivX\DivX Converter\dpil100.dll','');
 DeleteFile('C:\WINDOWS.0\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS.0\System32\Drivers\Winpu16.sys');
 DelWinlogonNotifyByKeyName('WinCtrl32');
 BC_ImportAll;
 BC_DeleteSvc('Winpu16');
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=27405

3. Повторите логи.

[kokon]

готово, каждая перезагрузка с этими вирусами это мучение, а выход в интернет с этого компьютера это триллер.

[Гриша]

Отключите антивирус и интернет!

Скачать,меню,File,появится аналог проводника,найти:

C:\WINDOWS.0\system32\WinCtrl32.dll
C:\WINDOWS.0\system32\Drivers\Winpu16.sys

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('qandr');
 DeleteService('Mta52');
 DeleteService('Winpu16');
 DeleteService('WebClientEhttpSrv');
 DeleteService('W32TimeFastUserSwitchingCompatibility');
 DeleteService('TrkWksNetlogon');
 DeleteService('TlntSvrERSvc');
 DeleteService('SysmonLogRemoteRegistry');
 DeleteService('StarWindServiceAEPolicyAgent');
 DeleteService('SpoolerNtmsSvclanmanworkstation');
 DeleteService('SharedAccessSENS');
 DeleteService('SharedAccessRasMan');
 DeleteService('RpcLocatorNOD32krn');
 DeleteService('RDSessMgrMessenger');
 DeleteService('RasManSchedule');
 DeleteService('NtmsSvclanmanworkstationEventSystemCiSvc');
 DeleteService('NtmsSvclanmanworkstation');
 DeleteService('NOD32krnNetman');
 DeleteService('NlaCOMSysApp');
 DeleteService('NetlogonAudioSrv');
 DeleteService('NetDDEFastUserSwitchingCompatibility');
 DeleteService('MSDTCupnphost');
 DeleteService('ImapiServiceekrn');
 DeleteService('HTTPFilterBrowserTermService');
 DeleteService('HTTPFilterBrowser');
 DeleteService('HidServRasMan');
 DeleteService('EventSystemCiSvc');
 DeleteService('Eventlogsrservice');
 DeleteService('DcomLaunchRpcLocator');
 DeleteService('BITSTrkWksNetlogon');
 DeleteService('Alerterdmserver');
 DeleteFile('C:\WINDOWS.0\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS.0\system32\Drivers\Winpu16.sys');
 DeleteFile('srv.exe');
 DeleteFile('C:\WINDOWS.0\System32\Drivers\Mta52.sys');
 DeleteFile('C:\WINDOWS.0\system32\drivers\qandr.sys');
 DeleteFile('WinCtrl32.dll');
 DelWinlogonNotifyByKeyName('WinCtrl32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[kokon]

вроде всё чисто, спасибо.

[Гриша]

Пофиксить

O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS.0\

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winpu16');
 DeleteService('MSIServerRasMan');
 DeleteFile('srv.exe');
 DeleteFile('C:\WINDOWS.0\System32\Drivers\Winpu16.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winpu16');
BC_DeleteSvc('MSIServerRasMan');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи м п.10 правил...

[kokon]

немогу вложить. пишет
Набранное вами сообщение слишком короткое. Увеличьте ваше сообщение до 1 символов.

[pig]

Так и напишите что-нибудь в тексте сообщения. Типа "Вот логи".

[kokon]

так не получаеться ) я бы не писал. с момента как сайт падал, это где то 2,3 числа, неполучаеться ничего запостить с кнопки "ответить" только быстрым ответом.

[pig]

А через "Расширенный режим"?

[kokon]

во!, вот теперь заработало. вообщем спасибо всем кто помогал. тему можно закрыть

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows.0\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.ath (DrWEB: BackDoor.Bulknet.225)