Winlogon просится в сеть. В поиск не отсылать.

[mars]

Доброго времени суток. Фаервол показывает, что winlogon.exe рвется в сеть на сомнительные адреса. Поискал информацию в инете. Свой случай не нашел (нет описанных ключей в реестре, ни arm32.dll, ни mszsrn32.dll) Проверялся доктором и adaware, обнаружил 3-4 вируса, прибил, но все не то, проблема осталась.
До этого пропал значек "Свойства папки" в панели управления. Исправил руками в реестре. Еще после всех проверок нашел ссылку на kavo.exe в реестре, но ни kavo ни tavo на диске не нашел.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\browsel.dll','');
 QuarantineFile('C:\WINDOWS\Cursors\services.exe','');
 QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Xgm41.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Xgm41.sys');
 DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
 DeleteFile('C:\WINDOWS\Cursors\services.exe');
 DeleteFile('C:\WINDOWS\system32\browsel.dll');
 DelBHO('{F483CD6C-9601-4034-9F1A-26A64BF320AF}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Xgm41');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=25470).
Сделайте новые логи, начиная с п.10 правил.

Добавлено через 7 минут

P.S. На время выполнения скрипта, а также создания логов отключите интернет, антивирусы и адаваре. Кстати, использовать более одного антивируса одновременно категорически не рекомендуется.

[mars]

Все выполнил согласно правил. Карантин оказался пустой. Логи с 10-го пункта здесь.

[Bratez]

Удалите с помощью Ice Sword файл
C:\WINDOWS\system32\Drivers\Xgm41.sys
как описано здесь: http://virusinfo.info/showthread.php?t=17228
только перезагружаться после этого не надо, а сразу же выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\Drivers\Xgm41.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Xgm41');
BC_Activate;
RebootWindows(true);
end.

Повторите лог syscheck (п.10 правил).

[mars]

Выполнил. Winlogon все еще висит в списке процессов, но файервол не регистрирует его позывы в сеть. Это радует .