Не могу найти резидента (Драйвер или Шедулер)

[evilWizard]

Я уже запарился чистить службы в реестре и удалять файлы с винта.
Со службами проще всего - если знаешь что у тебя установлено - а трояны не особо трудятся комменты писать, а если и написано то на каком-то турецком - вобщем палятся они быстро. С файлами сложнее но их я тоже умудряюсь находить (по крайней мере exe и bat). Но что-то все же остается - что-то типа драйвера или шедулера. Один раз с помощью Sysinternals Process Explorer заметил активность при восстановлении соединения с интернетом после обрыва - может совпадение, а может и перехватчик.

Начинается запуск трояна после полной загрузки винды.
1.Паралелльно с процессом explorer.exe запускается еще один стандартный winlogon.exe процесс
2.Паралелльно с процессом explorer.exe запускается svchoct.exe процесс из папки %WINDOWS%\SYSTEM32\inf
3.Затем грузится троян smss.exe и csrss.exe в дерево процессов через стандартный процесс services.exe
4.Потом паралелльно с процессом explorer.exe возникает до трех скрытых процессов IEXPLORER.exe
После этого периодически в папке %TEMP% винды возникает файл down.exe и пытается запуститься - его антивирь видит как "возможно, инфицирован MULDROP.Trojan"

5.Также, после этого, могут возникать файлы на С:\ в корне или в папке %WINDOWS%\SYSTEM32 (Это то что мне Др.Веб. показывает):
- 32599773.exe (размер:20992 байт) - "инфицирован DDoS.Attack.origin";
- tmd.exe (размер:583680 байт) - "инфицирован Trojan.DownLoader.origin";
- 1[1].exe или A0028192.exe или A0028303.exe или w.exe (размер:6656 байт) - инфицирован Trojan.DownLoader.origin;
- Down(n).exe - инфицирован DDoS.Attack.origin, где n - от 0,1,2 и т.д.;
- 11.exe.tmp - инфицирован BackDoor.Pigeon.origin;
- A0024465.exe - инфицирован BackDoor.Icepoint;
- A0024464.exe - инфицирован Trojan.Hitpop.618;
- 506341.exe - инфицирован Trojan.Hitpop.origin;
- sp.exe - инфицирован Trojan.KeyLogger.1620;
- server.exe - инфицирован Trojan.KeyLogger.origin;

- 32599773.exe - возможно, инфицирован DLOADER.Trojan;

- Down(2).exe\data001 - инфицирован Trojan.DownLoad.4527 - Архив содержит инфицированный объект;
- Down(0).exe (размер:20992 байт)\data001 - инфицирован BackDoor.Pigeon.9671 - Архив содержит инфицированный объект;
- opr00407.pdf\data001 - инфицирован Exploit.PDF.4 - Архив содержит инфицированный объект;
- setuphlp.dll\data001 - программа-AdWare Adware.Shopper,
setuphlp.dll\data002 - программа-AdWare Adware.SaveNow.128 - Архив содержит инфицированный объект;
- Down(0).exe (размер:278016 байт)\data001 - инфицирован BackDoor.Pigeon.9671, - Архив содержит инфицированный объект.


Сам файл smss.exe и csrss.exe ложится всегда в папку %WINDOWS%\SYSTEM32\Patch с атрибутом "hidden" - антивирь его пропускает

Да еще появляется файл rost.exe в каталоге "C:\Program Files" - тоже скрытый.

Ручная чистка не помогает - после перезагрузки винды все повторяется.
Не могу вручную найти эту хрень.

P.S. Забыл добавить - какая-то дрянь блокирует меня когда пытаюсь отключить систему восстановления. На попытку отключить - получаю мессаджбокс "Ошибка восстановления системы при включении/отключении одного или нескольких устройств. Перезагрузите комп и повторите попытку" - перегружал - таже хрень. Пробовал через политики групп - там все отключается но каталог восстановления системы все-равно заблокирован и оно не отключено.

[AndreyKa]

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
 ExecuteRepair(6);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore','DisableSR',1);
 QuarantineFile('C:\WINDOWS\System32\Patch\smss.exe','');
 QuarantineFile('C:\WINDOWS\System32\Patch\csrss.exe','');
 SetServiceStart('c.h', 4);
 QuarantineFile('c.h','');
 QuarantineFile('C:\Temp\catchme.sys','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\EmailNotifier\EmailNotifierAPI.DLL','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\szkg.sys','');
 DeleteFile('C:\Temp\catchme.sys');
 BC_DeleteFile('C:\Temp\catchme.sys');
 DeleteFile('C:\WINDOWS\System32\Patch\smss.exe');
 DeleteFile('C:\WINDOWS\System32\Patch\csrss.exe');
BC_ImportDeletedList;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку Прислать запрошенный карантин верху этой темы.

Скачайте новый дистрибутив Dr.Web http://download.drweb.com/ и установите.
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

Установите Adobe Acrobat Reader 9.0 или удалите старый.

[evilWizard]

Скрипт выполнился.
Вот лог из пункта 2 Диагностики.
После перезгрузки и перед появлением выбора пользователей для входа в систему появилось окошко пустое с единственной кнопкой ОК - закрыть не удалось пришлось нажать.
Еще было найдено неизвестное оборудование - неизвестное устройство.

[AndreyKa]

Вы не обновли Dr.Web.
Попробуйте снова отключить восстановление системы.
Неизвестное устройство удалите через Диспетчер устройств.