svchost.exe ломится по порту 80 на какой-то IP

[GhWolf]

Здравствуйте.
Вчера я случайно обнаружил странную активность svchost.exe, который коннектился на ip-адрес 209.59.202.* на порт 80 каждые полторы минуты. И в tasklist было 6 svchost. Проверив CureIt'ом я ничего не нашел. Сегодня утром я заметил в диспетчере задач уже 7 svchost, из них 3 от пользователя SYSTEM, 2 - NETWORK SERVICE, 2 - LOCAL SERVICE. Когда я отключил локальную сеть, то коннекты прекратились. Прошу помочь.

[kps]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\gdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tap0901.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\ET5Drv.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\csrbc01.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\TBPanel.SYS','');
 QuarantineFile('C:\Program Files\Macromedia\Dreamweaver 8\Macromedia_Dreamweaver_8.exe','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=27094 ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.

[GhWolf]

Закачал карантин. Логи в аттаче.

[GhWolf]

Какие действия предпринимать дальше?
Вроде активности svchost в интернет нет

[kps]

Подождем ответ вирлаба о Вашем карантине.

[Rene-gad]

В логах ничего плохого.

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Поставьте Сервис Пак 3

[GhWolf]

Большое спасибо за помощь!

Rene-gad, поставлю, спасибо за совет.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.djz (DrWEB: Trojan.Packed.569)