Комьютеры не видят сеть после нового вируса Worm.Win32.AutoRun.gpt

[Kydryavi]

В сеть с флэшки попал новый вирус Worm.Win32.AutoRun.gpt, который вначале не обнаруживался, после 27 августа его детектировал Касперский. Сам вирус вроде угрозы не представлял но в скором времени часть компьютеров сети перестали видеть контроллер домена, и создали между собой свой собственную под сеть, Лечение вирусов всем доступным ПО результата не дала...
После netsh int ip reset и netsh winsock reset компьютер видит тока эту непонятную под сеть "зараженных" машин...
Логи:

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Обновите базы АВЗ: (Файл/Обновление баз).
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-Пофиксите:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\services.exe
O4 - HKLM\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKLM\..\Run: [winlogon] C:\Documents and Settings\RomanMe\svchost.exe
O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\RomanMe\svchost.exe

-Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 StopService('ibzkigunj');
 StopService('Schedule');
 QuarantineFile('C:\Program Files\Crazybump\CrazyBump.exe','');
 QuarantineFile('C:\Documents and Settings\RomanMe\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
 DeleteFile('C:\Documents and Settings\RomanMe\svchost.exe');
 DeleteService('ibzkigunj');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
BC_DeleteSvc('ibzkigunj');
ExecuteRepair(7);
SetAVZPMStatus(True);
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Сделайте лог GMER.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[Kydryavi]

Выполнил все инструкции...
файл карантина 090830_165159_virus_4a9a75ef356ef.zip
Новые логи:

[Kydryavi]

После сканирование GMER выбросило сообщение что в системе присутствует RootKit программа, и в диспечере устройств появилось неизвестное устройство ROOT\LEGACY_UZQWNJK0\0000

[Белый Сокол]

C:\WINDOWS\system32\rqoweeg.dll - поищите и пришлите согласно правилам ("Прислать запрошенный карантин")

Сохраните текст ниже как cleanup.bat в ту же папку, где находится ks4qbmzn.exe (gmer)

ks4qbmzn.exe -del service ibzkigunj
ks4qbmzn.exe -del file "C:\WINDOWS\system32\rqoweeg.dll"
ks4qbmzn.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ibzkigunj"
ks4qbmzn.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ibzkigunj"
ks4qbmzn.exe -reboot

И запустите cleanup.bat. Компьютер перезагрузится.

Повторите лог гмер.

[Kydryavi]

Запрашиваемой библиотеки не обнаружил C:\WINDOWS\system32\rqoweeg.dll
Поиск не дал результатов...
При выполнеении cleanup.bat выскакивает следующая ошибка:
DeletedService: Параметр задан неверно

Лог GMER:

[Белый Сокол]

Гмер хорошо отработал. В логе чисто. Что с проблемой?

[Kydryavi]

Проблема осталась при выполнении ipconfig /all выдает непонятный ip
не видет DNS-суффикс и Шлюз, остольное вроде в норме, но по прежнему видит тока непонятную виртуальную подсеть...

Добавлено через 1 минуту

Не подскажете, поможет ли радикальное решение, если переустановить систему на всех поврежденных машинах?

[Alex_Goodwin]

Кэш ДНС сбросьте. IP левые у зараженных машин из одной подсети выдаются?

[Kydryavi]

Подскажите пожалуйста как это сделать?
ipconfig /flushdns этой командой?
Добавлено через 36 секунд

да ip полностью левые, как буд то их раздает какое то устройство

Добавлено через 7 минут

Выполнил команду ipconfig /flushdns и ipconfig /renew
Однако не чего не изменилось а команда ipconfig /renew не отрабатывает вовсе
Выдает ошибку:
Сделана попытка выполнить операцию на объекте не являющемся сокетом

[Alex_Goodwin]

ipconfig /flushdns этой командой?

да.
Левые это понятно. частные?
Может в сети устройство какое есть, на котором dhcp поднялся. Типа вайфая.

ARP -a

можно попытаться мак адрес раздающего словить. потом в актив директри проверить.
И еще - переменные проверьте

Параметр: PATH
значение: %SystemRoot%\system32;%SystemRoot%;

такое?
Крайний вариант - sfc -scannow

[Kydryavi]

Это было одной из первых мыслей вроде устройств не каких не нашли.
С ip адресами темный лес все разные, в одно случаи был глюк ip был написан в шеснадцатиричной системе...

И можно уточнить если судя по логом вредоносных програм нет, то переустановка исправит дело, и не подвергнет риску дальнейшего распостранения заразы? Руководство требует скорейшего решения проблемы...

Заранее спасибо.

[Alex_Goodwin]

sfc -scannow

попробуйте. Если поможет это проще будет. А потом через всус можно обновки раздать.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения вредоносные программы в карантинах не обнаружены