Trojan.Spambot и др. на нескольких компах (в логах только один)

[lexr]

Добрый день!
Завелась на нескольких компьютерах зараза, которую невозможно удалить. После лечения в безопасном режиме DrWeb CureIt троян все равно активируется через некоторое время. Причем находит все время разные вирусы. В System Volume Information тоже находит вирусы.
Но ближе к телу (телу вируса). Привожу логи работы снятые по правилам для одного компьютера. Остальные попробую вылечить сам по анологии.
Система OS WinXP SP2
Антивирус Symantec Antivirus
Firewall отсутствует

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\Program Files\Sable\WINNT\startnt.bat','');
 QuarantineFile('C:\WINDOWS\System32\rs32net.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\rs32net.exe');
 DeleteFile('C:\WINDOWS\services.exe');
BC_ImportAll;
BC_DeleteSvc('tcpsr');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=30956

Повторите логи.

[lexr]

Спасибо за быстрое реагирование
Скрипт выполнил, карантин выслал (только файла 'C:\WINDOWS\System32\drivers\tcpsr.sys' не оказалось).
Вот логи:

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\System32\Drivers\ati0obxx.sys
C:\WINDOWS\System32\Drivers\ati2pnxx.sys
C:\WINDOWS\System32\Drivers\ati6dixx.sys
C:\WINDOWS\System32\Drivers\ati7qwxx.sys

Скопированные с помощью IceSword файлы сохраните в карантине ..avz\quarantine
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati7qwxx.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati6dixx.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati2pnxx.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati0obxx.sys','');
 DeleteService('ati7qwxx');
 DeleteService('ati6dixx');
 DeleteService('ati2pnxx');
 DeleteService('ati0obxx');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati0obxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati2pnxx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati6dixx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati7qwxx.sys');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('ati7qwxx');
 BC_DeleteSvc('ati6dixx');
 BC_DeleteSvc('ati2pnxx');
 BC_DeleteSvc('ati0obxx');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.

[lexr]

Этих файлов нет:

C:\WINDOWS\System32\Drivers\ati0obxx.sys
C:\WINDOWS\System32\Drivers\ati2pnxx.sys
C:\WINDOWS\System32\Drivers\ati6dixx.sys
C:\WINDOWS\System32\Drivers\ati7qwxx.sys

Даже загрузился с СД-Диска, чтобы посмотреть, нет их.
Логи вот. Все сделал как написано.

[Rene-gad]

Ничего подозрительного.
Жалобы есть?

[lexr]

пока нет, но буду следить.
Возможно подцепить троян при просмотре веб-сайта ничего не качая и не запуская?
и при включенном антивирусе?

[Rene-gad]

Возможно подцепить троян при просмотре веб-сайта ничего не качая и не запуская? и при включенном антивирусе?

Запросто.
Сервис Пак 3 установите, возможно потребуется активация системы.
Почитайте
http://security-advisory.virusinfo.info/
http://virusinfo.info/showthread.php?t=30339

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\rs32net.exe - Trojan.Win32.Agent.aeuz (DrWEB: BackDoor.Bulknet.237)