Троян Win32/Agent.NBT Win32/Wigon

[Modern]

Собственно NOD32 видит, удаляет, но при перезагрузке всё сначала. Лишнего трафика море, лишних соединений 40-100. Подобных машин в сети 2 (пока что).

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Gko26');
 SetServiceStart('Gko26', 4);
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Bfj71.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Gko26.sys','');
 QuarantineFile('C:\WINDOWS\system32\socketa.dll','');
 DeleteFile('C:\WINDOWS\system32\socketa.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Gko26.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Bfj71.sys');
 DeleteFile('F:\autorun.inf');
 DelBHO('{FFFFFFFF-F538-4f86-ABAF-E9D94D5C007C}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Gko26');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=16806).
Сделайте новые логи.

[Modern]

Без изменений.

[Макcим]

Выполните скрипт в AVZ

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Gko26\0000', 'CSConfigFlags', '1');
 BC_DeleteSvc('Gko26');
 BC_DeleteSvc('smtpdrv');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Gko26.sys');
 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи. Прикрепите также boot_clr.log из папки AVZ.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\socketa.dll - Trojan-Downloader.Win32.Agent.hnp (DrWEB: Trojan.BhoSpy)