Пролечился. Посмотрите логи пож-та.

[ascodts]

Есть основания считать, что не все вылечил

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twex.exe,

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
 QuarantineFile('C:\WINDOWS\system32\winset.exe','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 DeleteFile('C:\WINDOWS\system32\winset.exe');
 DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

-c:\windows\system32\svchost.exe судя по всему патченный. Замените в консоли восстановления из дистрибутива или возьмите на другой системе (д.б. СП3 и Винда соотв. Home или Pro).
- Удалите Bonjour
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[ascodts]

Есть одно затруднение - в обычном режиме не запускаются многие программы. Причем не все, например regedit работает и TotalCommander тоже, а вот mmc или avz нет, причем сколько не переиминовываю - не помогает. (кстати ccleaner установился и отработал) видимо из-за этого в десктоп попадаю через раз, то откроется, а то черный экран (фон стола черный) с бегающим курсором мыши.

Добавлено через 24 минуты

Кстати в первые секунды как открылся десктоп удается запустить mmc, но потом происходит какой-то клин, проводник (правой кнопкой например на корзину) запустить удается, но при выборе любого из дисков справа пусто и проводник зависает

[Rene-gad]

Есть одно затруднение - в обычном режиме не запускаются многие программы.

Выполнить скрипт можно и в безопасном режиме. Логи - нет

[ascodts]

Я ее обманул - Каспера удалил, а IE и AVZ засунул в Автозагрузку

[Гриша]

Давайте логи...

[ascodts]

Вот логи и карантин

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\sfc.sys ',' ');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys ');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[ascodts]

Карантин и новые логи (почему-то hijackthis.log не захотел вкладываться)

[Гриша]

В логах чисто...

[ascodts]

Хотел запустить sfc - ругается, мол недоступен сервер RPC. В эвентах висит незапуск IPSEC - не найден файл, а какой не пишет. При попытке открыть в gpedit Конфигурация Windows->Параметры безопасности :
Ошибка открытия хранилища политик IPSEC: Не удается открыть указанный файл (80070002) и опять ни слова что за файл

[ascodts]

С IPSEC разобрался - отсутствовала напроч ветка в реестре, поиском в инете нашел команду regsrv32 polstore.dll - она все восстановила. Автор поста про нее предупреждал о необходимости сохранить соотв. ветку в реестре (я полез смотреть и не обнаружил ее вообще, после работы команды все появилось).
Остался неприятный эффект - после загрузки минут 10-15 не работает панель задач и продолжает глючить проводник. Потом все проходит и все работает. Как вычислить чем ее клинит? В эвент-логах:

Служба обнаружения SSDP является зависимой от несуществующей службы HTTP

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\mssrv32.exe - Trojan-PSW.Win32.WebMoner.ex
  2. c:\windows\system32\twex.exe - Trojan-Spy.Win32.Zbot.tdz ( DrWEB: Trojan.PWS.Panda.106, BitDefender: Gen:Trojan.Heur.Dropper.31629D9D9D )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !