Подозрение на вирус.

[Black_moon]

Все началось после того, как словил пару порно-баннеров. Избавился от обоих своими силами, но что-то все-таки осталось.
У меня 7 процессов svchost.exe и 1 svcnost.exe, который расположен в "C:\Documents and Settings\Имя пользователя\Local Settings\temp" и я никак не могу с ним справиться. Я его удаляю, а он опять восстанавливается, причем "Восстановление системы" отключено.
Рассчитываю на вашу помощь. Спасибо.

[Никита Соловьев]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\docume~1\07c4~1\locals~1\temp\svcnost.exe');
 QuarantineFile('c:\docume~1\07c4~1\locals~1\temp\svcnost.exe','');
 QuarantineFile('C:\WINDOWS\System32\userinit.exe','');
 DeleteFile('c:\docume~1\07c4~1\locals~1\temp\svcnost.exe');
 DeleteFileMask('c:\docume~1\07c4~1\locals~1\temp','*.*',true);
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',3,3,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи

[Black_moon]

Сделал новые логи. Сдвигов особых нет. Странно...

[Никита Соловьев]

Замените C:\WINDOWS\System32\userinit.exe чистым из дистрибутива (http://virusinfo.info/showthread.php?t=51654)

[Black_moon]

Отлично. У userinit был такой-же значок как и у svcnost. После замены userinit оригинальным svcnost пропал . Спасибо, теперь буду знать про userinit.

[Никита Соловьев]

Чисто. Установите SP3, IE8 + все последние обновления.

[Black_moon]

Рекомендации учту. Большое спасибо за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\07c4~1\\locals~1\\temp\\svcnost.exe - Trojan-Spy.Win32.Wemon.wc ( DrWEB: Trojan.DownLoad2.15017, BitDefender: Trojan.Generic.6868053, AVAST4: Win32:Rootkit-gen [Rtk] )
  2. c:\\windows\\system32\\userinit.exe - Trojan-Spy.Win32.Wemon.wc ( DrWEB: Trojan.DownLoad2.15017, BitDefender: Trojan.Generic.6868053, AVAST4: Win32:Rootkit-gen [Rtk] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !