послествия после удаления antivirus XP 2008

[philip]

Первоначально система отказывалась грузиться. после того как прошлись утилитой cureit и касперским, запущенными с livecd, система начала грузиться, но процессор загружался на 100%. как выяснилось путем экспериментов, это происходило при подключённом интернете.
После этого винчестер подсоединили к другому компьютеру и проверили AVG. Все выше перечисленные действия делал другой человек и какие точно вирусы при этом были удалены не знаю.
Никаких видимых улучшений не было заметно, в интеренет так выйти и не получалось. Как выяснилось внутриофисная сеть работала и была возможность выходить в локальную сеть провайдера. Если загрузиться в безопасном режиме с поддержкой сетевых драйверов, то можно было выйти в интернет.
После чего попытался удалить остатки antivirus XP 2008 с помощью Malwarebytes' Anti-Malware.
Внедрил Kaspersky Internet Security 2009, обновил базы, но никакой вирусной активности не показывает.
При подключенном инете и прописанными сетевыми настройками оцень странно себя ведет svchost.exe и Касперский загружают процессор на 20% и 40% соответственно. если же в сетевых настройсках не указывать основной шлюз и перезагрузить помп, то процессы ведут себя нормально. Если прописать через командную строку маршруты до нужных ресусов (route add....), то с ними можно работать. Но как стоит прописать маршрут по умолчанию, так через сек 5-10 пропадает связь с внешними ресурсами и возникает непонятная сетевая активность начинает куда-то оправаляться пакеты svchost.exe, но ни один антивирус ничего не показывает. Восстанавливается только после перезагрузки компьютера если не было указан основной шлюз.
Что-нибудь можете посоветовать в такой ситуации?

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('wowfx.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wch62.sys','');
 DeleteService('Wch62');
 DeleteService('Uaf62');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Uaf62.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ntoss.sys','');
 DeleteService('ntoss.sys');
 DeleteService('ntosnh.sys');
 DeleteService('mswd64');
 QuarantineFile('C:\WINDOWS\system32\drivers\mswd64.sys','');
 DeleteService('kcp');
 QuarantineFile('C:\WINDOWS\system32\drivers\kcp.sys','');
 DeleteService('hipsrv');
 QuarantineFile('C:\WINDOWS\system\hipsrv.mm','');
 DeleteService('synsend');
 QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
 QuarantineFile('00000AE8.sys','');
 DeleteFile('00000AE8.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\WINDOWS\system\hipsrv.mm');
 DeleteFile('C:\WINDOWS\system32\drivers\kcp.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\mswd64.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ntosnh.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Uaf62.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wch62.sys');
 DeleteFile('wowfx.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[philip]

Папка с карантинными файлами пуста после выполнения скрипта.
Удалил из скрипта строку "RebootWindows(true);" и вот протокол выполнения скрипта какой получился avz_log.txt
Попробывал тотже скрипт выполнить под администратором в безопасном режиме, тот же результат.


решил загрузиться с livecd, но там тоже ничего не поместилось в карантин, как оказалось файлы которые пытается удалить скрипт не существует на диске

[V_Bond]

кто просил грузиться с cd ? делайте все как положено ...

[philip]

не совсем корректно написал прошлый пост.
сначала я попробывал выполнить скрипт из обычного режима под подльзователем, затем перезагрузился в безопасный режим и зашел под администратором, но результат оказался таким же.
И только после этого я решил загрузиться с cd, но когда и здесь он отказался работать, то я решил проверить есть ли вообще эти файлы на диске, и не обнаружил их там.

[V_Bond]

-скрипт выполнить в нормальном режиме с правами администратора ....
- повторить логи в нормальном режиме с правами администратора

[philip]

выполнил скрипт, захожу в "просмотр карантина", но невозможно создать архив, т.к. ни одного файла не находиться на карантине.
логи собрал.
====
есть несколько вопросов по поводу как именно производить сбор логов.
1. отключиться от сети интернет отключив физически кабель, отключить в сетевых подключениях или просто убрать в настройках основной шлюз?
2. производить отключение от интернета на работающем компьютере, выключить комп и отключить или отключить и перезагрузиться?

[V_Bond]

скачайте найдите в нем и удалите C:\WINDOWS\system32\drivers\synsenddrv.sys -force delete
выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('ntoss.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ntoss.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[philip]

что именно надо было скачать на том форуме?
вручную посмотрел нет такого файла. выполнил скрипт папка "Backup" пустая.
Начала собирать логи по правилам диагностики, выполнил 1й пункт, перезагрузился, Касперский ругнулся что в прошлый раз он был запущен некорректно, попросил отправить отчет и он как ни странно отправился и остальные проги тоже могут выходить в инет. Выполнил далее пункты 2 и 3.
пока все работает, но так и не понял почему.

[Гриша]

Скачайте http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip и выполните совет V_Bond...