Wigon.BK Улетают деньги во внешку

[Spiritus_]

Посоветуйте, пожалуйста, как избавиться от следующего:
Nod 32 находит Wigon.BK. Удаляет его, через неск. минут это вирус обнаруживается снова, файлы инфицированные им с разными названиями, в разных местах (в temp, driver).
Подключен к интернету через ADSL, с лицевого счёта исчезают деньги, даже при отключенной внешке, и когда компьютер отключен - ночью! Исходящий трафик больше входящего. Сам ничего не передаю.
Очень надеюсь на решение проблемы до опустошения лицевого счёта во 2-ой раз. Скорость улетучивания денег разная, доходит ~ до 60 руб/час.

[V_Bond]

скачайте C:\WINDOWS\system32\WLCtrl32.dll, C:\WINDOWS\system32\Drivers\Rwa03.sys - force delete
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\Documents and Settings\Сергей\Рабочий стол\.//..//win.exe','');
 QuarantineFile('msime80.exe','');
 QuarantineFile('msfir80.exe','');
BC_DeleteSvc('Xat11PCI');
BC_DeleteSvc('Vbe82');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Vbe82.sys','');
BC_DeleteSvc('Tyc25');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Tyc25.sys','');
BC_DeleteSvc('Qyl71');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Qyl71.sys','');
BC_DeleteSvc('Pvy36');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pvy36.sys','');
BC_DeleteSvc('Pux60');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pux60.sys','');
BC_DeleteSvc('Osv58');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Osv58.sys','');
BC_DeleteSvc('Jnq03');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Jnq03.sys','');
BC_DeleteSvc('Inq14');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Inq14.sys','');
BC_DeleteSvc('Hqc70');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Hqc70.sys','');
BC_DeleteSvc('Gkn47');
BC_DeleteSvc('Fkn25');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Fkn25.sys','');
BC_DeleteSvc('Eil14');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Eil14.sys','');
BC_DeleteSvc('Chk47');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Chk47.sys','');
BC_DeleteSvc('Bgj36');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Bgj36.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Afi36.sys','');
BC_DeleteSvc('Afi36');
BC_DeleteSvc('Rwa03');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Rwa03.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Rwa03.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Afi36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Bgj36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Chk47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Eil14.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Fkn25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Gkn47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Hqc70.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Inq14.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Jnq03.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Osv58.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pux60.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pvy36.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Qyl71.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Tyc25.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Vbe82.sys');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('msfir80.exe');
 DeleteFile('msime80.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('E:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Spiritus_]

Карантин выслал, шлю логи.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Сергей\Рабочий стол\.//..//win.exe');
DeleteFile('C:\sal.xls.exe');
DeleteFile('D:\sal.xls.exe');
DeleteFile('E:\sal.xls.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи начиная с пункта 10 правил ...

[Spiritus_]

Сделал.

[V_Bond]

в логах чисто какие -то проблемы остались ?

[Spiritus_]

Н-да? Спасибо! Пока затрудняюсь ответить, нужно понаблюдать как статистика потреблённого трафика за ночь изменится, когда комп. будет отключен. Пока за вечер, решая с Вами проблему остаток на счёте на 70 руб. уменьшился.
Как думаете, откуда такая напасть могла свалиться, с флэшки занёс, с инета или при установке программы? Дабы обезопаситься. NOD стоит, с флэшки не должен был занести...
Вот тут http://tomsknet.ru/security/nodht похоже на мой случай, не совсем понятно. Я пользуюсь p2p (такого же рода программа?), не нашёл в настройках отключения DHT. Мог через неё попасть...
Кроме NOD-а, до сего дня больше ничем не пользовался. Если вкл. станд. брандмауер винды, то для использования p2p всё равно нужно делать исключения, выходит никакого толка от брандмауера нет?
Посоветуйте, пожалуйста, как быть в моём случае, какие ещё программы защиты поставить (эффективный min)? Может быть мой IP засвечен, атаки будут повторяться?
Ещё раз примите мои благодарности!
Вдогонку... не включается отображение скрытых файлов и папок. Здесь описана та же проблема http://virusinfo.info/showthread.php?t=21056 мне этот скрипт не подходит?

[V_Bond]

у вас есть звери которые подхватили на зараженном сайте , а так же авторан с флешек ...

[Гриша]

Для скрытых файлов:

begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

[Spiritus_]

папки проявились
а как авторан мог проскочить, NOD не всесилен? обновляется автоматически каждые неск. часов, иногда срабатывал когда флэшку втыкаешь.

[Гриша]

Нет абсолютной защиты

[Spiritus_]

Здравствуйте!
Проверил вчера ночью NOD-ом :С - опять вигон (виндовс - гон?)...
Поскольку нужно было перед работой немного поспать, ушёл мучиться беспокойным сном...
Продолжаю. NOD запускал на проверку после очистки - по завершении рекомендаций согласно переписки, т.е. после этого в инете не лазил, флэшки не вставлял, программы не устанавливал. За ночь счёт в принципе не изменился (в пределах паразитного). Сейчас при выполнении 10 п. правил: скрипт сбор информации, обратил внимание - в 6 п. указано, что поиск открытых портов TCP/UDP, используемых программами отключен пользователем, так и должно быть?
Шлю логи.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
QuarantineFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp37.tmp',' ');
QuarantineFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp9E.tmp',' ');
QuarantineFile(' C:\WINDOWS\Temp\INF5C.tmp',' ');    
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=21608

[Spiritus_]

Карантин послал.
Однако при выполнении скрипта, было красное предупреждение о том, что карантин с использованием прямого чтения ошибка; ошибка карантина файла.

[Spiritus_]

Анализирую: с Nero не может быть связано? После её установки начались проблемы или совпадение...

[Гриша]

Где именно NOD нашел вирус?Случайно не в карантине AVZ?

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp37.tmp');
DeleteFile('C:\Documents and Settings\Сергей\Local Settings\Temp\tmp9E.tmp');
DeleteFile('C:\WINDOWS\Temp\INF5C.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите лог virusinfo_syscheck.

[Spiritus_]

Не помню, но не должен. Карантин AVZ где располагается - только в той папке, где AVZ? AVZ у меня на диске F, а сканировал я С. Сейчас проверить NOD-ом?

[Гриша]

Очистите карантин AVZ,временные папки,кеш браузера и провертесь Антивирусом,результат сообщите.

[Spiritus_]

Карантин очистил через AVZ; кэш, временные папки и, что было можно очистить CCleaner-ом, очистил им.
Статистика личного счёта за прошедшее время вроде в норме.
Проверил NOD-ом - вирусов ноль. Неужели победа?
Я понаблюдаю неск. дней и отпишусь.
Удачи!

[Гриша]

Победа,так как в логах чисто