Подозрительный mdm.exe на практически всех машинах сети

[gav]

Пользователи стали жаловаться на частые зависания, тормоза и перезагрузки, в сети установлен Symantec 8 corporate, периодически находит всякие трояны и др, но не убивает. Мучаюсь недели две...
Помогите пожалуйста, логи прилагаю

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINNT\system32\msindeo.dll','');
 QuarantineFile('c:\winnt\winlogon.exe','');
 QuarantineFile('c:\winnt\system32\dllcache\vvvhost.exe','');
 QuarantineFile('c:\winnt\systemza32.exe','');
 QuarantineFile('c:\winnt\rundll32.exe','');
 QuarantineFile('c:\winnt\system32\mdm.exe','');
 DeleteFile('C:\WINNT\system32\msindeo.dll');
 DeleteFile('c:\winnt\system32\mdm.exe');
 DeleteFile('c:\winnt\rundll32.exe');
 DeleteFile('c:\winnt\systemza32.exe');
 DeleteFile('c:\winnt\system32\dllcache\vvvhost.exe');
 DeleteFile('c:\winnt\winlogon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[gav]

новые логи
карантин выслан по правилам

[Bratez]

Пофиксите в HijackThis:

O2 - BHO: (no name) - {7ACB5731-5839-13AB-EABC-124791194525} - C:\WINNT\system32\msindeo.dll (file missing)
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.popcap.com/games/popcaploader_v6.cab

Выполните скрипт в AVZ в безопасном режиме:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINNT\systemza32.exe');
 DeleteFile('C:\WINNT\system32\dllcache\vvvhost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи.

Добавлено через 6 минут

Вот что было по классификации Касперского:
C:\WINNT\winlogon.exe - Backdoor.Win32.IRCBot.ajc
c:\winnt\system32\dllcache\vvvhost.exe - Backdoor.Win32.IRCBot.ais
c:\winnt\rundll32.exe - Trojan.Win32.StartPage.aso
c:\winnt\system32\mdm.exe - Trojan.Win32.Agent.buw
остальные два свеженькие, названия сообщу позже.

Добавлено через 10 часов 5 минут

msindeo.dll - Trojan-Spy.Win32.Goldun.ry
systemza32.exe - Backdoor.Win32.SdBot.ccn

[drongo]

вдогонку нужно выполнить скрипт, чтобы убить вражеские сервисы :

begin
BC_DeleteSvc('Background Intelligent Transfer Service mircosoft 32');
BC_DeleteSvc('Nicrosoft f11nt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\winnt\\rundll32.exe - Trojan.Win32.StartPage.aso (DrWEB: Trojan.StartPage.20516)
  2. c:\\winnt\\systemza32.exe - Backdoor.Win32.SdBot.ccn (DrWEB: BackDoor.IRC.Sdbot.based)
  3. c:\\winnt\\system32\\dllcache\\vvvhost.exe - Backdoor.Win32.IRCBot.ais (DrWEB: Win32.HLLW.Zurenie)
  4. c:\\winnt\\system32\\mdm.exe - Trojan.Win32.Agent.buw (DrWEB: BackDoor.IRC.Sdbot.1631)
  5. c:\\winnt\\system32\\msindeo.dll - Trojan-Spy.Win32.Goldun.ry (DrWEB: Trojan.PWS.GoldSpy)
  6. c:\\winnt\\winlogon.exe - Backdoor.Win32.IRCBot.ajc (DrWEB: Trojan.Starter.281)