Большой трафик

[Taras]

Зраствуйте!
Помогите пожайлуста определить вирус.
Найти его не могу, а трафик качает сумашедший. Стоял у меня бесплатный AVG, так же пробовал и Касперского и Доктор веб.
Показывает что все чисто а трафик всеравно качает.

[Гриша]

Скачать,меню,File,появится аналог проводника найти:Eea32.sys,Qwc38.sys,WLCtrl32.dll,правая кнопка мыши Force Delete.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('Eea32.sys','');
QuarantineFile('C:\WINDOWS\system32\braviax.exe','');
QuarantineFile('c:\windows\system32\vhosts.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Qwc38.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteService('Qwc38');
DeleteFile('C:\WINDOWS\system32\Drivers\Qwc38.sys');
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('C:\WINDOWS\system32\braviax.exe');
DeleteFile('WLCtrl32.dll');
DeleteService('Eea32');
DeleteFile('Eea32.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Qwc38 ');
BC_DeleteSvc('Eea32 ');
BC_DeleteSvc('msupdate ');
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=20635

Обновите базы AVZ и повторите логи.

[Taras]

Отправляю логи

[Гриша]

Ай-ай-яй почему архив без пароля?Буду ругаться

Qwc38.sys сделайте ему Force Delete в IceSword.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Qwc38\0000', 'CSConfigFlags', '1');
DeleteService('Qwc38');
DeleteFile('C:\WINDOWS\System32\Drivers\Qwc38.sys');
DeleteFile('Qwc38.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Qwc38 ');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Пофиксить

O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\

Повторите логи

[Taras]

Извините за карантин, и я не могу найти Qwc38.sys

[Гриша]

Значит он уже дохлый болтаетсяпросто выполните скрипт и фикс,затем повторите логи.

[Taras]

Ок. Шас сделаем

[Taras]

Вроде все сделал.
Надеюсь что теперь все нормально. По крайней мере трафик уже в порядке

[Гриша]

Чисто,жалобы есть?

[Taras]

Жалоб нету. Одна огромная благодарность за оперативность и качественность!!!

[Гриша]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[Taras]

Привет ребята!
У меня опять похожая проблема с трафиком.
Опять качает куда-то
После подключения к интернету Dr. Web Находит C:\WINDOWS\System32\drivers\Rxd40.sys. Я задаю удалить. Сразу же находит еще C:\WINDOWS\System32\drivers\Wdi16.sys, аналогично удаляю. Все вроде удаляется. После перезагрузки повторяется все заново.
Помогите пожайлуста.
Или для этого надо новую тему открывать?

[kps]

Отключите антивирус.
в IceSword - меню File - найдите - C:\WINDOWS\system32\Drivers\Rxd40.sys - force delete

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('yes.exe','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wdi27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wdi16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pvw16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Kqv05.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Gns62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxd40.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Rxd40.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Rxd40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxd40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gns62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Kqv05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pvw16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wdi16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wdi27.sys');
DeleteFile('WLCtrl32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Rxd40');
BC_DeleteSvc('Wdi27');
BC_DeleteSvc('Wdi16');
BC_DeleteSvc('Pvw16');
BC_DeleteSvc('Kqv05');
BC_DeleteSvc('Gns62');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20635 ).

Пофиксите в HijackThis:

O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll

Сделайте новые логи.

[Taras]

Спасибо за быстрое реагирование!
Повторяю логи.

[wise-wistful]

yes.exe - это Вам знакомо? если нет тогда в АВЗ сервис--поиск файлов на диске и пришлите согласно приложению 2 правил.

[Taras]

Неа, незнаком!
Файл отправил.

[kps]

Руткит Bulknet удален.
Кроме yes.exe можно еще один файлик на всякий случай проверить:
Выполните скрипт в AVZ:

begin
ClearQuarantine;
QuarantineFile('C:\Program Files\ABBYY.Lingvo.10.Multilingual\ABBYY.Lingvo.10.Multilingual.serial\vfd\vfd.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин (http://virusinfo.info/upload_virus.php?tid=20635).

Антивирус можете включить.

[Taras]

Огромное вам спасибо за помощь!!!
Надеюсь сейчас все в порядке?
По крайней мере трафик идет умеренно!

[Гриша]

Карантин пустой.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 60
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\wlctrl32.dll - Trojan-Downloader.Win32.Mutant.df (DrWEB: Trojan.DownLoader.54123)