Троян в оперативе и еще два (по версии Нод32)

[Brandon]

Доброго времени суток.
Nod32 2,5 с автообновлением по локалке. Инет по ВПН с общим IP всей локалки на выходе.
Аутпост 4.0.1007.7323 настроен в меру скромных познаний.
Винда ХР сп 2, без обновлений.

Нод ругается с тех пор, как запустили локальный торрент-трэкер.
"вероятно модифицированный Win32/Injector.NX троян найден в оперативной памяти. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\system\svhost.exe."
Еще находит и "лечит" пару троянов в svhost.exe во время прогона.

Из необычного поведения системы только редкий лишний траффик порядка 8 метров в час и периодические зависания канала (убиваешь ВПН, а нет продолжает висеть и что-то докачивать, не реагирую ни на что, кроме перезагрузки.)
Никаких других признаков вредоносной активности не наблюдается.
Логи приложил.

Заранее спасибо.

[Kuzz]

Отключить фаервол.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Winamp\russian.exe','');
 QuarantineFile('C:\Program Files\Razer\razerhid.exe','');
 QuarantineFile('C:\WINDOWS\system\1sass.exe','');
 QuarantineFile('C:\DOCUME~1\Brandon\LOCALS~1\Temp\Rar$EX00.953\winio.sys','');
 QuarantineFile('C:\Program Files\MSI\Core Center\RushTop.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ikfilesec.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\iksyssec.sys','');
 QuarantineFile('C:\Program Files\MSI\Live Update 3\FlashUty\AMI\Memctl.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
 QuarantineFile('C:\Program Files\MSI\Live Update 3\FlashUty\AMI\HwIOctl.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\ENTECH.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\pe3ajtsc.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\alkv2n5k.SYS','');
 QuarantineFile('c:\windows\system\msrsys32.exe','');
 QuarantineFile('c:\windows\system\svhost.exe','');
 DeleteFile('c:\windows\system\svhost.exe');
 DeleteFile('C:\WINDOWS\system\1sass.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по красной ссылке вверху этой темы "Прислать запрошенный карантин"

Повторить логи.

[Brandon]

Свежие логи в аттаче.
Карантин выслал.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system\msrsys32.exe','');
 DeleteFile('C:\WINDOWS\system\msrsys32.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('WINIO');
 BC_DeleteSvc('sysdrv32');
 BC_DeleteSvc('msrsys');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Brandon]

2Bratez
Логи в аттаче, а вот карантин оказался пуст после перезагрузки.

[Bratez]

Больше ничего плохого не видно.
Рекомендуется установить SP3 и последующие обновления.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 39
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\sysdrv32.sys - Worm.Win32.AutoRun.ftp ( DrWEB: Tool.TcpZ, BitDefender: Rootkit.17518 )