Win32Wigon.AX троян

[SingifineS]

Приветствую!
Однажды просматривая лог вирусов NOD32, я обнаружил, запись: ip6fw.sys - win32Wigon.Ax троян.
Сканирование системы при помощи AVZ результатов не принесло. AVZ почему-то ни как не реагировал на ip6fw.sys
NOD32 пытался удалить этот самый ip6fw.sys, но у него ничего не получалось.
Решил удалить ip6fw.sys вручную, но как позже понял что, зря это сделал. Винда начала ругаться, что типа, "Вы удалили
файлы, которые необходимы для правильной работы системы, вставьте диск Windows XP Prof SP2", ну я и вставил. Потом
обнаружил что ip6fw.sys появился в папке system32 после того как я вставил диск.
Начал смотреть и разбираться вручную. Открыл \system32\ и там обнаружил несколько новых dll и файл wpa.dbl а в папке
C:\Temp - несколько exe'шников, на которые ни NOD32, ни AVZ никак не реагировали.
Решил бороться с этим всем - самостоятельно, и зря. Очистил папку Temp, удалил wpa.dbl и несколько dll из system32. На
этом вроде все закончилось, и некоторое время никаких подозрительных файлов в системных папках компьютера не
появлялось. Однако спустя некоторое время все повторилось снова, те же *.exe в Temp'e *.dll и wpa.dbl в system32.
Еще обнаружил интересную папку по адресу: C:\WINDOWS\system32\config\systemprofile там находится Temporary Internet
Files, я могу ошибаться, но этой временной папки интернета там не должно быть. Обнаружил в этой папке *.exe, с именем
похожи на те, что были в C:\Temp\ и отличались только единицей в имени файла ( [1] ).
Кроме NOD32 у меня еще установлен Outpost Firewall, но он тоже при сканировании ничего не находил и все время молчал.
Только лишь при включении компьютера, он изредка ругался на WLCtrl32.dl из system32 что, мол, процесс запрашивает
сетевой доступ, разрешить?
На работу компьютера, в целом, как я заметил, наличие этих злокачественных файлов не влияет.
При повторном сканировании NOD32 папок windows/system32 он ничего подозрительного не обнаружил, хотя в логе
вирусов, со вчерашнего дня "висят" записи Mqt25.sys и еще несколько *.sys с указанием, что это win32Wigon.Ax троян.
А в папке по адресу C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\ по
прежнему сидят 4 exe'шника, в C:\Temp\ тоже... но их там 2...

Надо было не заниматься самодеятельностью, а сразу обраться сюда.

Вот и прикрепленные логи:

[V_Bond]

скачать C:\WINDOWS\system32\Drivers\Mqt25.sys ,C:\WINDOWS\system32\WLCtrl32.dll -force delete
затем выполните скрипт авз ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Temp\system32.exe/r','');
 DeleteService('Ycf60');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Ycf60.sys','');
 DeleteService('Vad82');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Vad82.sys','');
 DeleteService('Mqt03');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Mqt03.sys','');
 DeleteService('Fjm24');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Fjm24.sys','');
 DeleteService('Dil46');
 DeleteService('Mqt25');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Mqt25.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
 DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Mqt25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Dil46.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Fjm24.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Mqt03.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Vad82.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ycf60.sys');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('sysfldr.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[SingifineS]

Force delete для Mqt25.sys и WLCtrl32.dll выполнил.
Скрипт в AVZ выполнил.
Карантин прислал.
Вот и логи:

[rubin]

Trojan-Downloader.Win32.Small.ilt C:\WINDOWS\system32\sysfldr.dll

Добавлено через 2 минуты

Выполните

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\Temp\system32.exe/r');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Пофиксьте

O4 - HKLM\..\Run: [advap32] C:\Temp\system32.exe/r
O20 - Winlogon Notify: sysfldr - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
O21 - SSODL: SysChk - {42544006-9079-457F-982D-B328FB684EF3} - (no file)

Добавлено через 50 секунд

Потом повторите логи с п.10 Правил

[SingifineS]

Выполнил и пофиксил.
P.S. в папках C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\ попрежнему 6 exe файлов ( 5 из которых - являются, похоже копиями друг друга), а в C:\Temp\ - 2 exe, что с ними делать?

Лог из п.10:

[V_Bond]

очистите временные интернет файлы ....
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('Mqt25');
 DeleteFile('C:\WINDOWS\System32\Drivers\Mqt25.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите последний лог ....

[SingifineS]

Все выполнено. Вот лог.

[rubin]

Удалилось успешно, плохого не видно. Какие еще жалобы?

[SingifineS]

Искренне благодарю за предоставленную помощь!

В принципе жалоб больше нет, но вот только, меня почему-то смущают два файла из system32: dllsys.dll и wpa.dbl..

[rubin]

Хм... заархивируйте с паролем virus и пришлите http://virusinfo.info/upload_virus.php?tid=19174

[SingifineS]

Сделано

P.S. В архиве, второй файл - dllsys.dll скрытый системный.

[AndreyKa]

В присланном Вами файле не найдено ничего вредоносного.

Добавлено через 3 минуты

dllsys.dll можно удалить, там мусор.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\sysfldr.dll - Trojan-Downloader.Win32.Small.ilt (DrWEB: Trojan.DownLoader.3851