Winctrl32.dll; Winlogon.exe; WLCtrl32.dll

[ArtAnalyzer]

Так получилось что комп заразился этим вирусом (Mutant кажется какой-то) главным проявлением которого является жалобы на эти три файла. Я прикрепляю три лога для анализа. Если вы поможете буду очень благодарен. Жаль что никто не может полностью описать этот вирус чтобы удалить его вручную самому.

[zerocorporated]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\KCOM.SYS','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\quX47.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Fmr50.sys','');
 QuarantineFile('C:\WINDOWS\system32\ckldrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\WLCtrl32.dll',' ');
 DeleteFile('C:\WINDOWS\SYSTEM32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

Пофисите в Hijackthis:

R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll

[ArtAnalyzer]

Проклятье, живучий гад. Все сделал как вы сказали, но внешне изменений нуль. Загрузил карантинные файлы и снова собрал информацию в логи.
moderated:::карантинные файлы загружать по красной ссылке вверху темы

[Rene-gad]

Отключите ПК от сети.
Отключите Антивирус.
Отключите системное восстановление.
Пофиксите:

O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('quX47');
 DeleteService('Fmr50');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Fmr50.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\quX47.sys','');
 QuarantineFile('WLCtrl32.dll','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\quX47.sys','');
 QuarantineFile('c:\windows\system32\wlctrl32.dll','');
 QuarantineFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000033.dll','');
 QuarantineFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000104.dll','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('F:\autorun.inf','');
 DeleteFile('F:\autorun.inf');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000104.dll');
 DeleteFile('C:\System Volume Information\_restore{5E2467DB-5186-4257-AD9E-6ED08116984A}\RP1\A0000033.dll');
 DeleteFile('c:\windows\system32\wlctrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\quX47.sys');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\quX47.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Fmr50.sys');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
1. Очистите темп-папки и кэш
2. Закачайте карантин по правилам
3. Обновите базы АВЗ. Скачайте последнюю версию Hijackthis. Необходимые ссылки приведены в правилах.Повторите логи.

[ArtAnalyzer]

Кое как избавился, но немного своим способом - удалил записи в HijackThis, и IceSword'ом силой грохнул помимо проблемных файлов и драйвера которые у вас в скрипте и еще парочку файлов о которых собрал информацию по и-нету как о проблемных в этом случае.
Так же снес гадость по адресу в реестре HKLM\Software\Microsoft\WindowsNT\CurrentVersion\W inlogon\Notify. Там была запись с WinCtrl32.dll.

Скрипт же AVZ помогал не доконца. Но главное что указали вирус в драйверах. С гадостью которая лезет в драйвера сталкиваюсь в первый раз. В общем спасибо.

Насчет карантина, извиняюсь не до конца понял как AVZ создает архивы. А вообще я отправлял по ссылке вверху - непосредственно из папки Quarantine в AVZ. Щас отправлю еще раз на всякий случай и логи. Надеюсь на этот делаю правильно.

[Rene-gad]

Щас отправлю еще раз на всякий случай и логи. Надеюсь на этот делаю правильно.

Прочитайте еще раз Пункт 3 в конце моего сообщения 4.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 70
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\system volume information\\_restore{5e2467db-5186-4257-ad9e-6ed08116984a}\\rp1\\a0000033.dll - Trojan-Downloader.Win32.Mutant.xc (DrWEB: Trojan.DownLoader.59701)
  2. c:\\system volume information\\_restore{5e2467db-5186-4257-ad9e-6ed08116984a}\\rp1\\a0000104.dll - Trojan-Downloader.Win32.Mutant.xc (DrWEB: Trojan.DownLoader.59701)
  3. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.afs (DrWEB: Trojan.DownLoader.63553)
  4. c:\\windows\\system32\\wlctrl32.dll - Trojan-Downloader.Win32.Mutant.xc (DrWEB: Trojan.DownLoader.59701)