Последствия Win32\Wigon

[Psy87]

На компьютере перестали запускаться Диспетчер задач и многие другие оснастки. Фаервол блокировал кучу попыток подключения к каким то непонятным внешним адресам. В управлении компьютерами нет доступа к Локальным пользователям и группам. Рылся на форуме нашел похожий случай, запустил скрипт в AvZ, понимаю что сделал глупость, но комп покрайней мере перестал лезть ломиться на эти внешние адреса.

[Макcим]

Не хватает virusinfo_syscure.zip.

[Psy87]

Не могу создать. AvZ скрипт выполняет, а в директории LOG только пустой virusinfo_cure.zip и все

[V_Bond]

временно деинсталируйте аутпост
выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\msupdt.exe','');
 DeleteService('Agm41');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Agm41.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('C:\WINDOWS\system32\Drivers\Agm41.sys');
 DeleteFile('C:\WINDOWS\system32\msupdt.exe');
 RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
QuarantineFile('%windir%\system32\sfcfiles.bak','');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Psy87]

При выполнении скрипта выдает ошибку в самом его начале:

Failed to set data for "DisplayName"

Деинсталлировать Аутпост не могу, компьютер от меня за 150 км, удаленно перенастроить потом не получится.

[V_Bond]

аутпост не дает нормально работать авз ....
строку SearchRootkit(true, true); попробуйте убрать из скрипта...

[Psy87]

Аутпост удалил.. Скрипт сработал без ошибок полностью. Логи повторяю.

[V_Bond]

что с проблемами ?

[Psy87]

Проблем не стало.. Большое спасибо

[PavelA]

Карантин не был прислан. Это плохо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\lhtg5zxg\ccc[1].exe - Trojan-Downloader.Win32.Agent.bhqr
  2. c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\0xmri639\cc[1].exe - Trojan-Downloader.Win32.Agent.bhqq
  3. c:\windows\system\zhahss090213.exe - Worm.Win32.AutoRun.aagd (DrWEB: archive: Trojan.Hitpop.origin)
  4. c:\windows\system32\ctfmon.exe - Trojan-Dropper.Win32.Agent.ahfv
  5. c:\windows\temp\ope4e.exe - Trojan-PSW.Win32.QQPass.fxt

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !