Злой вирус. Заблокированы антивирусы. Странный процесс в памяти

Здравствуйте.
Windows XP sp 3. Перестал запускаться антивирус Symantec. После его удаления, был установлен KIS 2011, который тоже не запустился. Систему проверил DR Web Cure IT и AVP Tool. Были найдены вирусы, удалены, но в процессах висит странный процесс 351999392.....exe.
AVZ пишет c:\windows\351999392:1609172203.exe:$DATA >>> Опасно - исполняемый файл в потоке NTFS - возможно, маскировка исполняемого файла
Блокируется попытка лечения AVZ, и AVP Tool. К их исполняемым файлам вирус запрещает доступ после попытки лечения.
AVZ закрывается вирусом при попытке сделать [B]Скрипт сбора информации для раздела "Помогите!" virusinfo.info [/B]
При запуске HijackThis по команде на составление лога HijackThis закрывается.
Поэтому выкладываю только [B]virusinfo_syscure.zip[/B]
Просьба помочь. Убил уже кучу времени. Мысли кончились. Осталась только полная переустановка системы.

Уважаемый(ая) [B]dima_ku[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\windows\351999392:1609172203.exe:$DATA','');
QuarantineFile('c:\windows\351999392:1609172203.exe','');
QuarantineFile('c:\windows\system32\wuauclt.exe','');
DeleteFile('c:\windows\351999392:1609172203.exe');
DeleteFile('c:\windows\351999392:1609172203.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.

Скрипты выполнил, файл с карантином закачал - 110823_052000_quarantine_4e533880ddbab.zip
Процесс опять висит в памяти 351999392:1609172203.exe
AVZ закрывается вирусом при попытке сделать Скрипт сбора информации для раздела "Помогите!" virusinfo.info
При запуске HijackThis по команде на составление лога HijackThis закрывается.
Поэтому выкладываю только virusinfo_syscure.zip

c:\windows\system32\wuauclt.exe - [B][COLOR="#FF0000"]Trojan.Win32.Patched.mf[/COLOR][/B].
[URL="http://virusinfo.info/showthread.php?t=51654"]Замените[/URL] этот файл с дистрибутива или с аналогичной системы.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('c:\windows\351999392:1609172203.exe');
DeleteFile('c:\windows\351999392:1609172203.exe:$DATA');
BC_DeleteFile('c:\windows\351999392:1609172203.exe:$DATA');
BC_DeleteFile('c:\windows\351999392:1609172203.exe');
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.

Файл заменил. Скрипты выполнил. Проблема осталась. В безопасном режиме этого процесса 351999392:1609172203.exe не видно.
Карантин закачал 110823_115258_quarantine_4e53949adda94.zip

В безопасном режиме выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ipsec.sys','');
DeleteFile('c:\windows\351999392:1609172203.exe');
DeleteFile('c:\windows\351999392:1609172203.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново логи и приложите в теме.

Сделайте лог MBAM:
[url]http://virusinfo.info/showthread.php?t=53070[/url]
и приложите.

Пока ждал ответа решил просканировать диски с загрузочного CD Касперского.
В ipsec.sys был вирус, касперский его удалил.
Процесс в памяти больше не появляется. Антивирусы стали запускаться.
Появилась проблема с сетевым подключением. Не идут пакеты. Не работает сеть.
Протокол TCP сбрасывал. tcpip.sys заменял. Не помогло.
И еще в папке System32 появляются 2 папки с числовыми названиями, которые не дает удалить.
Видимо еще что-то на компе живет.
Высылаю все логи.

Переустановил систему поверх старой. Интернет и сеть заработала.
Правда в папке System32 все равно появляются 2 пустые папки с числовыми названиями 1033 и 1049, которые не дает удалить.
В остальном все ОК.
Большое спасибо за помощь.

установите все доступные обновления системы и повторите логи (без обновлений проблема не решится)

Установил обновления. Перепроверил разными антивирусами. Все в порядке. Выкладываю на всяк случай логи.

ничего подозрительного

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\wuauclt.exe - [B]Trojan.Win32.Patched.mf[/B] ( DrWEB: Trojan.Starter.1695, BitDefender: Trojan.Patched.HE, NOD32: Win32/Patched.HN trojan, AVAST4: Win32:Patched-WQ [Trj] )[*] c:\\windows\\351999392:1609172203.exe - [B]Backdoor.Win32.ZAccess.ob[/B] ( DrWEB: BackDoor.Maxplus.24, BitDefender: Trojan.Generic.6454905, NOD32: Win32/Sirefef.CT trojan, AVAST4: Win32:Tiny-AMB [Rtk] )[*] c:\\windows\\351999392:1609172203.exe:$data - [B]Backdoor.Win32.ZAccess.ob[/B] ( DrWEB: BackDoor.Maxplus.24, BitDefender: Trojan.Generic.6454905, NOD32: Win32/Sirefef.CT trojan, AVAST4: Win32:Tiny-AMB [Rtk] )[/LIST][/LIST]