win32\wingon.ck троян

[ershik]

Помогите пожалуйста от избавиться от этого трояна (уже от инета из-за рассылки вирусов отключили). Каждый раз при запуске системы вылетает окошко с сылкой на директорию C:\windows\system32\drivers\*.sys. Нод32 опредляет его как win32\wigon.ck троян.
Удаляет его и после перезагрузки определяет опять, причём имена sys файлов каждый раз новые.
Спасибо.

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Schedule', 4);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvc53.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winuc64.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsa74.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winnt64.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winls20.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wincj64.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winbi31.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winah28.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
 QuarantineFile('C:\WINDOWS\system32\RGWIE.dll','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\Program Files\Multi Password Recovery\mpr_freader.sys','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('px86emul.dll',''); 
 QuarantineFile('windsw.dll','');     
 QuarantineFile('C:\WINDOWS\system32\config32\updater.dll','');
 QuarantineFile('C:\Program Files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe','');
 QuarantineFile('C:\WINDOWS\system32\YnRpyuRJ.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteService('mpr_freader');
 DeleteService('symavc32');
 DeleteService('Winvc53');
 DeleteService('Winuc64');
 DeleteService('Winsa74');
 DeleteService('Winnt64');
 DeleteService('Winls20');
 DeleteService('Wincj64');
 DeleteService('Winbi31');
 DeleteService('Winah28');
 DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
 DelBHO('{38DFDADF-BA43-4C43-7890-ADE6777666BB}');
 DelBHO('{B5DB5206-2EB0-49cb-8C9E-7417007B65D7}');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\YnRpyuRJ.exe');
 DeleteFile('C:\Program Files\Uniblue\SpeedUpMyPC 3\SpeedUpMyPC.exe');
 DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
 DeleteFile('C:\WINDOWS\system32\config32\updater.dll');
 DeleteFile('windsw.dll');
 DeleteFile('px86emul.dll');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\Program Files\Multi Password Recovery\mpr_freader.sys');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\RGWIE.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winah28.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winbi31.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wincj64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winls20.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winnt64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsa74.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winuc64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvc53.sys');
BC_ImportAll;
ExecuteSysClean; 
 BC_DeleteSvc('mpr_freader');
 BC_DeleteSvc('symavc32');
 BC_DeleteSvc('Winvc53');
 BC_DeleteSvc('Winuc64');
 BC_DeleteSvc('Winsa74');
 BC_DeleteSvc('Winnt64');
 BC_DeleteSvc('Winls20');
 BC_DeleteSvc('Wincj64');
 BC_DeleteSvc('Winbi31');
 BC_DeleteSvc('Winah28');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы.
- Прикрепите логи к новому сообщению.

[ershik]

все сделала. третий фаил почему-то не грузится

[Rene-gad]

IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\System32\Drivers\Winuc74.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winuc74.sys','');
 QuarantineFile('RGWIE.dll','');
 DelBHO('{D4D5806E-EA2C-45b2-972D-8BE237697B87}');
 DeleteService('Winuc74');
 DeleteFile('RGWIE.dll');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winuc74.sys');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_ImportAll;
ExecuteSysClean; 
 BC_DeleteSvc('Winuc74');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы.
- Прикрепите логи к новому сообщению.

[ershik]

Сделала.

[Rene-gad]

Почистите планировщик задач.
Установите Сервис Пак 3, возможно потребуется активация системы.

[ershik]

Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\virus\\1 - Trojan-Downloader.Win32.Mutant.bna (DrWEB: BackDoor.Bulknet.225)
  2. \\virus\\2 - Trojan-Downloader.Win32.Mutant.bna (DrWEB: BackDoor.Bulknet.225)
  3. \\virus\\32dl - Trojan-Downloader.Win32.Mutant.bms (DrWEB: BackDoor.Bulknet.225)
  4. \\virus\\32dl 2 - Trojan-Downloader.Win32.Mutant.bms (DrWEB: BackDoor.Bulknet.225)