bitcoin-miner и его друзья

Прицепился треклятый бот-клиент, никак не отделаюсь. Плохо маскируется под svchost. При включенном инете загружает проц на 50%, если отключить - продолжает висеть, но не ест ресурсы. После ручного удаления файлов и вычищения из автозагрузки, прохода CureIt'ом в безопасном режиме, на старте ОС всё начинается по новой. Притом пихает себя в "корень" всех доступных ему папок учётной записи (в Users, Documents and Settings и ещё в один какой-то). Каждый раз имя распаковщика новое, хотя описание процесса одно и тот же - One.
Вдобавок, еспокоит какая-то странно огромная длина Application Data, притом как в Users, так и в Documents and Settings. Клонов-вложений от десятка до "бесконечности". Это норма для семерки или всё же какой-то вредитель поработал?
Заранее благодарю за помощь в Избавлении и Очищении. :)

Уважаемый(ая) [B]Icipher[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Александр\appdata\local\temp\svchost.exe','');
QuarantineFile('C:\Users\Александр\clage.exe','');
QuarantineFile('C:\Users\Александр\AppData\Roaming\Bvkgkh.exe','');
QuarantineFile('c:\users\8523~1\appdata\local\temp\svchost.exe','');
TerminateProcessByName('c:\users\8523~1\appdata\local\temp\svchost.exe');
DeleteFile('c:\users\8523~1\appdata\local\temp\svchost.exe');
DeleteFile('C:\Users\Александр\AppData\Roaming\Bvkgkh.exe');
BC_DeleteFile('C:\Users\Александр\AppData\Roaming\Bvkgkh.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Bvkgkh');
DeleteFile('C:\Users\Александр\clage.exe');
BC_DeleteFile('C:\Users\Александр\clage.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
DeleteFile('C:\Users\Александр\appdata\local\temp\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите файл quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=105048[/url]

4. Сделайте повторный лог [B]virusinfo_syscure.[/B]

Готово. Вроде не проявляется больше, но кто его знает.

Плохого не увидела.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\александр\\appdata\\local\\temp\\svchost.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.a[/B] ( DrWEB: Tool.BtcMine.1 )[*] c:\\users\\александр\\appdata\\roaming\\bvkgkh.exe - [B]Backdoor.Win32.Ruskill.aai[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KDV.277367, AVAST4: Win32:Ruskill-BD [Trj] )[*] c:\\users\\александр\\clage.exe - [B]Packed.Win32.Katusha.o[/B] ( DrWEB: BackDoor.Tofsee.7, BitDefender: Gen:Variant.Kazy.7882, NOD32: Win32/Tofsee.AA trojan, AVAST4: Win32:MalOb-FJ [Cryp] )[*] c:\\users\\8523~1\\appdata\\local\\temp\\svchost.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.a[/B] ( DrWEB: Tool.BtcMine.1 )[*] \\miner2.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.a[/B] ( DrWEB: Tool.BtcMine.1 )[/LIST][/LIST]