IE сам скрытно стартует и открывает рекламу

[Chieff_bal]

Машина рабочая, используется как сервер приема сообщений автоответчика компании и др. не менее важные задачи.
Лицензия WinXP SP3 Prof, обновления включены, антивирус Symantec - обновления каждый день.
KAVTool находит вирусы, удаляет, вроде после перезагрузки их же не находит - но находит иногда другие.
Проблема в том, что "тихо" (процесс висит, но не показывается на раб. столе) запускается 4 экземпляра IE (iexplore.exe). По netstat -b видно, что открыт ya.ru и один рекламный сайт (управление гипнозом, перехват аськи и др. гадость). После убийства процессов через некоторое время запускается вновь (опять с яндексом и др. рекламой).

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\vxdpla.dll','');
 QuarantineFile('C:\Documents and Settings\u00245\Application Data\download2\svcnost.exe','');
 QuarantineFile('c:\documents and settings\u00245\application data\download2\svcnost.exe','');
 TerminateProcessByName('c:\documents and settings\u00245\application data\download2\svcnost.exe');
 QuarantineFile('c:\windows\system32\smphost.exe','');
 TerminateProcessByName('c:\windows\system32\smphost.exe');
 DeleteFile('c:\windows\system32\smphost.exe');
 DeleteFile('c:\documents and settings\u00245\application data\download2\svcnost.exe');
 DeleteFile('C:\Documents and Settings\u00245\Application Data\download2\svcnost.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','download');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','smphost');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Chieff_bal]

Файл сохранён как	101209_102734_quarantine_4d0084e6c9cab.zip
Размер файла	958809
MD5	7c95e53131543debd9d55ce657c49256

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DelBHO('{24783612-0199-4A37-B205-847853E151C6}');
 DeleteFile('C:\WINDOWS\system32\vxdpla.dll');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;

[Chieff_bal]

Лог

[thyrex]

Проблема решена?

[Chieff_bal]

Да, огромное спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\u00245\\application data\\download2\\svcnost.exe - Backdoor.Win32.Spammy.gs ( DrWEB: Trojan.MulDrop1.56385, BitDefender: Gen:Trojan.Heur.KS.4, AVAST4: Win32:Crypt-HTD [Trj] )
  2. c:\\windows\\system32\\smphost.exe - Trojan-Spy.Win32.Lpxenur.o ( DrWEB: Trojan.Click1.28240, BitDefender: Gen:Variant.Buzy.254, AVAST4: Win32:BHO-ADC [Trj] )
  3. c:\\windows\\system32\\vxdpla.dll - Trojan.Win32.BHO.bbcr ( DrWEB: Trojan.Click1.28192, BitDefender: Gen:Variant.Buzy.161, AVAST4: Win32:BHO-ADC [Trj] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !