winlogon.exe в двух экземплярах

[freecorn]

В Диспетчере процессов 2 процесса winlogon.exe запущенных от SYSTEM.
также непонятные ashMaiSv.exe ashDisp.exe и еще несколько с названием начинающимся на ash
netstat /b показывает множество соединений от этих процесов по smtp и http

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('Jps14', 4);
 StopService('Jps14');
 SetServiceStart('mpr_freader', 4);
 StopService('mpr_freader');
 QuarantineFile('C:\DOCUME~1\ADMINI~1.PRO\LOCALS~1\Temp\RarSFX0\mpr_freader.sys','');
 QuarantineFile('lbrtfdc.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Jps14.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\spools.exe','');
 QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Jps14.sys');
 DeleteFile('C:\DOCUME~1\ADMINI~1.PRO\LOCALS~1\Temp\RarSFX0\mpr_freader.sys');
BC_ImportDeletedList;
BC_DeleteSvc('Jps14');
BC_DeleteSvc('mpr_freader');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=18473

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O20 - Winlogon Notify: sysfldr - C:\WINDOWS\SYSTEM32\sysfldr.dll 
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll

[freecorn]

Карантин отправил. Пофиксил.
Понял что ashMaiSv.exe и подобные это процессы аваста, который, видимо, тоже инфицирован.

[wise-wistful]

В карантине только sysfldr.dll - Trojan-Downloader.Win32.Small.ilt, WLCtrl32.dll - новенький, подождём ответ вирлаба. Давайте новый комплект логов посмотрим, кто выжил и потом выработаем дальнейшие действия по лечению.

[freecorn]

выкладываю

[wise-wistful]

Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
 QuarantineFile('d:\officemailserver\oms.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Chk04.sys','');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 RegKeyParamDel( 'HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'Run');
 DelWinlogonNotifyByKeyname('WLCtrl32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузите карантин согласно приложения 3 правил
Повторите логи.

[freecorn]

Скрипт выполнил. Карантин загрузил.
Процес winlogon.exe все еще в двойном экземпляре. Теперь уже svhost.exe рассылает почту. Количество соединений увеличилось в несколько раз.

[V_Bond]

C:\WINDOWS\system32\sysfldr.dll - Trojan-Downloader.Win32.Small.ilt
d:\officemailserver\oms.exe - чистый ...
C:\WINDOWS\system32\WLCtrl32.dll BackDoor.Bulknet.157
повторите логи ...

[freecorn]

C:\WINDOWS\system32\WLCtrl32.dll - удалил IceSword'ом
C:\WINDOWS\system32\sysfldr.dll - вообще не нашел
трафик все так же бежит

[PavelA]

Вот в продолжение:

begin
 SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 StopService('Schedule');
 StopService('Chk04');
 SetServiceStart('Chk04', 4);
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Chk04.sys');
 BC_DeleteSvc('Chk04');
 DeleteFile('WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Если что-то попадет в карантин, то прислать.

[Bratez]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Chk04');
 SetServiceStart('Chk04', 4);
 DeleteFile('C:\WINDOWS\system32\Drivers\Chk04.sys');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
BC_ImportDeletedList;
BC_DeleteSvc('Chk04');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделайте новый лог syscheck (п.10 правил).

[freecorn]

После выполнения скрипта PavelA ничего в карантин не попало.
Лог сделал после выполнения скрипта, который дал Bratez

[Bratez]

Результат положительный.
Еще вопрос - диск F: это что?
Если не CD/DVD, то пришлите F:\autorun.inf.

[freecorn]

Диск F: - это флешка. Забыл вынуть.
Вот. Теперь все успокоилось. Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\sysfldr.dll - Trojan-Downloader.Win32.Small.ilt (DrWEB: Trojan.DownLoader.3851
  2. c:\\windows\\system32\\wlctrl32.dll - Trojan.Win32.Small.agv (DrWEB: BackDoor.Bulknet.157)