Троян-Спамер

[Andry]

Добрый день!
Замучал меня троян: антивирь НОД видит тока его "клешни".
Подменяет winctrl32.dll и в папке temp создает BN*.tmp.

[Гриша]

Отключите антивирус(от которого толку 0) и интернет!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('WinCtrl32.dll','');     
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winye61.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winye37.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winye05.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxv64.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wintr20.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wintc75.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsx27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winpu27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winmr40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winkp73.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winin40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wingl40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windi73.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windi51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winbh73.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteService('Winye61');
 DeleteService('Winye37');
 DeleteService('Winye05');
 DeleteService('Winxv64');
 DeleteService('Wintr20');
 DeleteService('Wintc75');
 DeleteService('Winsx27');
 DeleteService('Winpu27');
 DeleteService('Winmr40');
 DeleteService('Winkp73');
 DeleteService('Winin40');
 DeleteService('Wingl40');
 DeleteService('Windi73');
 DeleteService('Windi51');
 DeleteService('Winbh73');     
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winbh73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windi51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windi73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wingl40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winin40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winkp73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winmr40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winpu27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsx27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wintc75.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wintr20.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxv64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winye05.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winye37.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winye61.sys');
 DeleteFile('WinCtrl32.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи.

[Andry]

Повторяю логи

[Andry]

Забыл один

[Гриша]

Пофиксить

O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\

Жалобы есть?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.ahb (DrWEB: Trojan.DownLoader.63553)