Wigon

[fanmas]

Вирус Wigon. Вопрос - каким образом защититься от заражения других компов, если антивирус не помогает?

[PavelA]

Менять а/вирус на другой, который умеет удалять данную гадость.
Возможно, надо просто обновить версию а/вируса.
Скрипт сейчас будет.

[Kuzz]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('WinNt64.dll','');
 DeleteService('Udk87');
 DeleteService('Udk42');
 DeleteService('Udk07');
 DeleteService('Tcj86');
 DeleteService('Lta75');
 DeleteService('Ksy42');
 DeleteService('Ksa86');
 DeleteService('Ksa07');
 DeleteService('Iqx20');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Gnu20.sys','');
 DeleteService('Gnu20');
 QuarantineFile('C:\WINDOWS\system32\WinNt64.dll','');
 DeleteFile('C:\WINDOWS\system32\WinNt64.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Gnu20.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Iqx20.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ksa07.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ksa86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ksy42.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Lta75.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Tcj86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Udk07.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Udk42.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Udk87.sys');
 DeleteFile('WinNt64.dll');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=25697

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\SYSTEM32\WinNt64.dll

3. Сделайте логи снова.

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteService('Udk87');
 DeleteService('Udk42');
 DeleteService('Udk07');
 DeleteService('Tcj86');
 DeleteService('Lta75');
 DeleteService('Ksy42');
 DeleteService('Ksa86');
 DeleteService('Ksa07');
 DeleteService('Iqx20');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Gnu20.sys','');
 DeleteService('Gnu20');
 QuarantineFile('C:\WINDOWS\System32\Drivers\dump_m5287.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinNt64.dll','');
 DeleteFile('C:\WINDOWS\system32\WinNt64.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Gnu20.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Iqx20.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ksa07.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ksa86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ksy42.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Lta75.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Tcj86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Udk07.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Udk42.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Udk87.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить карантин. сделать новые логи.

возможно, Ваши пароли ушли на сторону. Их надо будет менять.

Ядро Нода от 2005 года, скорее всего Ваша версия безнадежно устарела.

[fanmas]

Незнаю какой антивирус. Мне НОД32 нравится, но он пока не справляется с этим вирусом, даже 3 версия. А базы всегда свежие.

[fanmas]

Сделал по пунктам ПавелА активность не остановилась. Вот новые логи.

[Kuzz]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\dump_diskdump.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\dump_m5287.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\diskdump.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\m5287.sys','');
 QuarantineFile('D:\Drivers\Chipset\ATI\bin\atiicdxx.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Qyf07.sys');
 DeleteFile('WinNt64.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=25697

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

 O20 - Winlogon Notify: WinNt32 - WinNt64.dll (file missing)

[fanmas]

Продела все пункты. Карантин отослал. Изменений к сожалению никаких. Траффик продолжает идти.

[PavelA]

Нужны новые логи.

[fanmas]

Новые логи.

[PavelA]

скачать IceSword, в нем сделать force delete:
'C:\WINDOWS\system32\Drivers\Qyf07.sys'

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('Qyf07', 4);
 DeleteFile('C:\WINDOWS\system32\Drivers\Qyf07.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Qyf07.sys');
 BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[fanmas]

Вроде все отлично. Завтра посмотрю по загрузке с инета. Логи выслать?

[PavelA]

Угу

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\winnt64.dll - Trojan-Downloader.Win32.Mutant.aff (DrWEB: Trojan.DownLoader.63559)