Trojan-PSW.Win32.Agent.lhz и прочие

[sasha-lav]

Никак не могу победить, помогите, пожалуйста! У меня подозрение, что svchost подменён, он постоянно пытается с кем-то соединиться. Касперский нашел несколько гадов, вот они:

 
удалено: троянская программа Trojan-PSW.Win32.Agent.lhz Файл: c:\windows\system32\wm32dap.dll
удалено: троянская программа Trojan.Win32.Inject.ljs Файл: C:\RECYCLER\S-1-5-21-1417001333-1035525444-839522115-500\Dc4.exe
удалено: вирус Worm.Win32.AutoRun.unv Файл: C:\RECYCLER\S-1-5-21-1417001333-1035525444-839522115-500\Dc5.exe
удалено: вирус Email-Worm.Win32.Bagle.majh Файл: C:\WINDOWS\system32\sys32_32.dll
удалено: троянская программа Trojan-Dropper.Win32.Mudrop.sl Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\2W1PG86M\123[1].exe
удалено: троянская программа Trojan.Win32.Inject.liq Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\UDAEZEC4\loadM2_all[1].exe
удалено: троянская программа Trojan.Win32.Agent.avch Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\ZTFWER6L\install[1].exe
удалено: троянская программа Trojan.Win32.AntiAV.xp Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\ZTFWER6L\pin[1].exe
удалено: троянская программа Rootkit.Win32.Agent.fla Файл: C:\WINDOWS\system32\drivers\ckc0459.sys
удалено: троянская программа Rootkit.Win32.Agent.fla Файл: C:\WINDOWS\system32\drivers\grf659e.sys
удалено: троянская программа Trojan-Dropper.Win32.Mudrop.sl Файл: C:\WINDOWS\Temp\DMX01.exe//PE_Patch.UPX//UPX
удалено: троянская программа Trojan-Dropper.Win32.Mudrop.sl Файл: C:\WINDOWS\Temp\rdl23D.tmp
удалено: троянская программа Trojan.Win32.Inject.liq Файл: C:\WINDOWS\Temp\rdl3B1.tmp
удалено: троянская программа Trojan.Win32.Agent.avch Файл: C:\WINDOWS\Temp\rdl3B4.tmp

Но, похоже, проблема не решилась. Логи прикрепляю.
Спасибо.

[PavelA]

Увидел только вот это:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\wpsdrvnt.sys','');
 QuarantineFile('c:\windows\system32\mssrv32.exe','');
 BC_DeleteSvc('msupdate');
 DeleteFile('c:\windows\system32\mssrv32.exe');
BC_ImportФAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить новые логи.

Очистить временные папки. Заменить пароли.

[sasha-lav]

Всё сделал, но этот wpsdrvnt.sys не пропал!

[PavelA]

wpsdrvnt.sys - от Вашего фаерволла. Я его на всякий случай на проверку взял.

что хотели, то удалили. Проблемы остались?

[sasha-lav]

В логах файерволла видны постоянные попытки входящих подключений к svchost.exe. Так что, я думаю, проблемы еще вернутся. Так что если можете что-нибудь посоветовать, буду очень благодарен.

[PavelA]

По какому порту?

[sasha-lav]

По 135 порту на svchost.exe, по 445 на ntoskrnl.exe, а еще по UDP на порты 14723, 51821, 53701 ломятся.