Win32/Aware.Virtumonde - Win32/PrivacyRemover.M64

[Loft]

Вчера эта гадость поселилась на компьютере жены. Вручную, вроде бы, всё вычистил... Вчера всё работало нормально. Сегодня прихожу с работы - та же картина. (Жена говорит, что Аутлук Экспресс не запускала; вернее, что эта картинка, что вирус ставит, появилась при запуске машины утром, хотя вчера её не было... Так что вряд ли она второй раз где-то подхватила тот же вирус). Наверное, какое-то место, куда этот гад себя пихает, я вчера упустил.
Самостоятельно справиться не могу, прошу помощи.
Заранее благодарен.

[V_Bond]

скачайте C:\WINDOWS\system32\Drivers\Wingl26.sys - force delete
выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  BC_DeleteSvc('Wingl26');
  BC_DeleteSvc('Tsdmdetaci');
 QuarantineFile('Tsdmdetaci.sys','');
  BC_DeleteSvc('wscsvcNtmsSvc');
  BC_DeleteSvc('SwPrvALG');
  BC_DeleteSvc('SSDPSRVRSVP');
  BC_DeleteSvc('SSDPSRVCryptSvc');
  BC_DeleteSvc('SCardSvrCryptSvc');
  BC_DeleteSvc('RSVPDnscache');
  BC_DeleteSvc('RpcLocatorNtLmSsp');
  BC_DeleteSvc('RemoteRegistryxmlprovSENS');
  BC_DeleteSvc('RasManWmiApSrv');
  BC_DeleteSvc('PolicyAgentPlugPlayMessenger');
  BC_DeleteSvc('PlugPlayRDSessMgr');
  BC_DeleteSvc('PlugPlayMessenger');
  BC_DeleteSvc('Nlaxmlprov');
  BC_DeleteSvc('DcomLaunchTrkWks');
  BC_DeleteSvc('CiSvcRasAuto');
  BC_DeleteSvc('AtiPlugPlayMessenger');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Wingl26.sys','');
 QuarantineFile('c:\windows\system32\lphcpgmj0e56r.exe','');
 DeleteFile('c:\windows\system32\lphcpgmj0e56r.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\Wingl26.sys');
 DeleteFile('Tsdmdetaci.sys');
 DeleteFile('C:\WINDOWS\system32\blphcpgmj0e56r.scr');
 DeleteFile('C:\WINDOWS\system32\lphcpgmj0e56r.exe');
BC_ImportDeletedList;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Loft]

Большое спасибо, вроде помогло.
Карантин выслал, прикрепляю новые логи.

[V_Bond]

пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\

пуск выполнить sc delete xmlprovSENS
больше ничего подозрительного

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\lphcpgmj0e56r.exe - Backdoor.Win32.Frauder.fk (DrWEB: Trojan.Fakealert.1321)