Трояны, много.

[tenzor]

Файлы прикрепляю.
Процессор занимает процесс qttask.exe (собственно это должен быть Qucktime, но скорее это уже вирус работает).
Прошу помочь!

[drongo]

Давайте сначала руткит убьём, а потом будем думать дальше.

1.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_QrFile('C:\WINDOWS\system32\userinit.exe');
 BC_QrFile('C:\WINDOWS\system32\dumprep.exe');
 BC_QrFile('C:\WINDOWS\system32\wbem\wmiprvse.exe');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_Activate;
 RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=12294
2.Сделать новые логи, как в первом вашем сообщении.

Добавлено через 9 минут

чуть поправил скрипт.

[tenzor]

Карантин загрузил, сейчас логи сделаю.

[tenzor]

логи прилагаю.

[Alex_Goodwin]

1. Пофиксить:

O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe (file missing)
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

2.Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RemoteRegistry', 4);
QuarantineFile('C:\Program Files\Common Files\ARS Company\Agent\Agent.exe','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteService('ICF', true);
BC_DeleteSvc('ICF');
ExecuteSysClean;
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

3. Карантин по правилам.
4. Новые логи.

[V_Bond]

что из этого используете....
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[tenzor]

Пункт 1 сделал, пофиксил.
Перезагрузился.

Добавлено через 1 час 5 минут

После выполнения скрипта п.2 перезагрузился, системе изрядно поплохело.
В Сетевых Подключениях пусто совсем, Drug&drop и просто копирование не работают (молча), в панели задач задачи не отображаются.
В карантин ничего не попало, логи пока отправить не могу - ни сети нет, ни скопировать не могу.
Видимо, придется ставить XP сверху.
(Если не будет других предложений).
Да, процесс cli.exe активно трудится.

[Alex_Goodwin]

Давайте новые логи.
Скриптом был дозачищен зловред и отключены службы:Службы: потенциально опасная служба RemoteRegistry (Удаленный реестр)
потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)

[tenzor]

После установки сверху система заработала.
Логи сделал, прилагаю.

[V_Bond]

зловредного ничего не замечено ...

[tenzor]

ВСЕМ БОЛЬШОЕ СПАСИБО ЗА ПОМОЩЬ!

[drongo]

дырочки всё же желательно закрыть

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru