Junior Member
Вес репутации
58
Win32/Wigon.CK
При подключении компьютера к Интернету Nod32 обнаруживает вирус Win32/Wigon.CK в файлах вида С:\WINDOWS\System32\drivers\Winnu53.sys. Обнаруженные файлы всегда разные. Антивирус их удалить не может и помещает в карантин. Система начинает тормозить. Провайдер сообщил о рассылке spam с нашего адреса.
Вложения
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
выполните скрипт ...
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('notifyf2.dll','');
DeleteService('Winxd83');
DeleteService('Winot37');
DeleteService('Winot04');
DeleteService('Winmr61');
DeleteService('Winmq27');
DeleteService('Winho06');
DeleteService('Winbi41');
DeleteService('wscsvcProtectedStorage');
DeleteService('TrkWksXPadminServer');
DeleteService('TPHDEXLGSVCTlntSvr');
DeleteService('Spooler Agent Service (default)');
DeleteService('ScheduleXPadminServer');
DeleteService('RpcSsERSvc');
DeleteService('lanmanworkstationPACSPTISVR');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\D8021Xps.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbi41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winho06.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmq27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmr61.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winot04.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winot37.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxd83.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('notifyf2.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
Junior Member
Вес репутации
58
Вложения
выполните скрипт ...
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Winnu52');
BC_DeleteSvc('Winmt28');
BC_DeleteSvc('wscsvcProtectedStorage');
BC_DeleteSvc('TrkWksXPadminServer');
BC_DeleteSvc('TPHDEXLGSVCTlntSvr');
BC_DeleteSvc('Spooler Agent Service (default)');
BC_DeleteSvc('ScheduleXPadminServer');
BC_DeleteSvc('RpcSsERSvc');
BC_DeleteSvc('lanmanworkstationPACSPTISVR');
BC_DeleteSvc('CiSvcWmdmPmSN');
BC_DeleteSvc('AtiCOMSysApp');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmt28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winnu52.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
повторите логи ....
Junior Member
Вес репутации
58
Вложения
пофиксите ...
Код:
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
скачайте сделайте лог кернел моде и запущенных процессов ....
Junior Member
Вес репутации
58
Вложения
выполните скрипт ....
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\wbem\wscntfy.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
пришлите карантин соглпсно приложения 3 правил ...
Junior Member
Вес репутации
58
выполните скрипт ...
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\wbem\wscntfy.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
virusinfo_syscheck.zip - повторите
Junior Member
Вес репутации
58
Вложения
1 доудалите касперского
2 деисталируйте виндовз дефендер
3 отключите нод
4 сделайте последний лог
Junior Member
Вес репутации
58
Вложения
Выгрузите все резидентные программы (антивирус, файрволл и т.д.). Можете сделать остановку автозапуска программ и не-виндовсовских служб в msconfig.
Включите AVZPM и повторите последний лог.
Какой-то процесс маскируется.
Junior Member
Вес репутации
58
Что смог убрал. Лог выслал.
Вложения
Вот этот процесс судя по всему маскировался
Код:
c:\program files\xpoint\pe\pcrecsa.exe - Командная строка: - noshow
Если Вы эту прогу знаете ,то больше ничего подозрительного.
Установите Сервис Пак 3 и обновите Джаву - очень уж она у Вас допотопная.
Junior Member
Вес репутации
58
Да, программа знакома - это часть пакета FileRestore который был изначально установлен на ноутбук. Рекомендации выполню. Большое спасибо Вам за решение проблемы.
Итог лечения
Статистика проведенного лечения:
Получено карантинов: 2 Обработано файлов: 14 В ходе лечения обнаружены вредоносные программы:
c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.axh (DrWEB: Trojan.DownLoad.3503)