win??.sys

[bo4karev]

Windows XP professional, антивирус nod 32.
При включении компьютера нод находит вирус в файле C:\windows\sistem32\drivers\win??.sys, нод распознает его как троян win32/wigon, до проверки avz нод распознавал его как win32/trojandownloader.wigon.o. Когда компьютер подключен к интернету через трафик инспектор, пропадает интернет во всей сети.

[Гриша]

Отключите антивирус и интернет!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd83.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd50.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvb61.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvb15.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winty15.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsx83.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winot83.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winns72.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winhm50.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winhl26.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winej61.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windi61.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winch48.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winch27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\tyE26.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteService('Winxd83');
 DeleteService('Winxd50');
 DeleteService('Winvb61');
 DeleteService('Winvb15');
 DeleteService('Winty15');
 DeleteService('tyE26');     
 DeleteService('Winsx83');
 DeleteService('Winot83');
 DeleteService('Winns72');
 DeleteService('Winhm50');
 DeleteService('Winhl26');
 DeleteService('Winej61');
 DeleteService('Windi61');
 DeleteService('Winch48');
 DeleteService('Winch27');     
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\tyE26.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winch27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winch48.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windi61.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winej61.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winhl26.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winhm50.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winns72.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winot83.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsx83.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winty15.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvb15.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvb61.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxd50.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxd83.sys');
 DeleteFile('WinCtrl32.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи.

[bo4karev]

Высылаю логи.

[Гриша]

Пофиксить

O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winta61');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winta61.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winta61 ');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи с п.10 правил

[bo4karev]

Высылаю логи

[Гриша]

Чисто,жалобы есть?

[bo4karev]

Уже после первого скрипта вроде инет не пропадал. Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 38
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.ado (DrWEB: Trojan.MulDrop.16399)