Trojan.RNTM.16

[AMBA]

1-2: Заразился с одного из зараженных сайтов, через присобаченный вредоносный скрипт. Сразу перестали открываться приложения от текущего пользователя и пошла активная сетевая деятельность. Взял из сети скачанную с другого компьютера свежую утилиту DrWeb - CureIT! она обнаружила Trojan.RNTM.10 и Trojan.RNTM.16, часть файлов смогла удалить, на файлы system32\WinCtrl32.dll и winctrl32.dll поругалась что лечение невозможно. После полной проверки в системной папке я нашёл только файл WinCtrl32.dll, который поддавался переименовыванию но не удалялся. После того как я его переименовал, я загрузился в безопасном режиме, и удалил переименованный файл в корзину. После обычной загрузки, windows XP сообщил что не смог проверить активирована ли система, и предложил либо активировать её, либо выключить ПК. Водворение на место удалённого вирусного файла, и обратное его переименовывание в WinCtrl32.dll ничего не изменило, загрузится можно только в безопасном режиме без поддержки сетевых драйверов. Пробовал восстановление системы, никаких изменений.
3-6: Выполнил
7: В безопасном режиме из под пользователя с административными правами, под которым произошло заражение не удаётся никаким образом открыть административные разделы, не открывается меню свойства на папке мой компьютер, не открывается папка администрирование в панели управления. не запускаются msconfig и regedit. Однако из под учётной записи Администратор, всё работает, и отключить восстановление системы удалось.
8-13: Выполнено
14: Выполнено, но с другого ПК, по причинам указанным выше (Зараженный ПК требует активации).
P.S. Если троян просто сбил активацию каким-то образом, а не имитирует это, то я могу активировать систему, в этом проблемы не будет.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winpx86.sys','');
  BC_DeleteSvc('Winpx86');
  BC_DeleteSvc('Winiq86');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winiq86.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winiq86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winpx86.sys');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
сделайте логи в нормальном режиме ...

[AMBA]

Скрипт выполнил, он перезапустил машину. ОС активировал, карантинные файлы создал и отправил. Логи из обычного режима прикрепляю. Машина стала вести себя вменяемо, уже спокойно открываются файлы и папки.

[AMBA]

Неужто ничего больше фиксить не нужно?

[V_Bond]

пофиксите ...

O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\

больше ничего плохого ...

[AMBA]

Спасибо большое, пофиксил этот троянский косяк

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.dfl (DrWEB: Trojan.Packed.511)
  2. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.app (DrWEB: Trojan.Rntm.16)