Трояны. startdrv.exe и другие

Здравствуйте.
У меня выделенка (инет включен постоянно).
Установлен антивирь Avast Home Edition и файрвол ZoneAlarm Free.
Недавно начали доставать трояны.
Какой-то вирь заблокировал работу файрвола.
Методом проб и экспериментов вычислил, что каждый раз у меня запускается startdrv.exe (в windows\temp) и идет какой-то левый трафик. Сначала он не поддавался удалению, но потом я все же его удалил, удалил также записи о нем в реестре.
Подозрения также лежат на процессах:
1. Services.exe (пытается выйти в инет под видом "Приложения служб и контроллеров").
2. Winlogon.exe (почему-то лежит в Docs&Settings\Local Settings\Temp) и после каждой перезагрузки снова там появляется.
3.Ashmaisv.exe. Вообще-то это почтовый сканер Avast'a, но он теперь пытается выходить в интернет даже когда не запущена почтовая программа. И качает что-то оттуда.
Сейчас я пока пресекаю все попытки с помощью ZoneAlarm (он заработал). Но лечить-то комп как-то надо!
Помогите, плиз. Заранее благодарю.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\docume~1\43fd~1\locals~1\temp\winlogon.exe','');
DeleteFile('c:\docume~1\43fd~1\locals~1\temp\winlogon.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.apeha.ru/
O2 - BHO: (no name) - {8D5849A2-93F3-429D-FF34-260A2068897C} - (no file)
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\43FD~1\LOCALS~1\Temp\winlogon.exe
O22 - SharedTaskScheduler: Fdjskie8 jf8e - {8D5849A2-93F3-429D-FF34-260A2068897C} - (no file)[/CODE]
Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=11460"]этой[/URL] ссылке. Повторите логи.

Спасибки.
Все сделал по написанному.
Карантин загрузил.
Вот новые логи.

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\poof','');
QuarantineFile('C:\WINDOWS\system32\kprof','');
QuarantineFile('system32\DRIVERS\tcpip.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
DeleteFile('C:\WINDOWS\system32\poof');
DeleteFile('C:\WINDOWS\system32\kprof');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин который получиться после выполнения скрипта и тот который сформировался после выполнения последних логов согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11460[/url]

Сделал.

c:\docume~1\43fd~1\locals~1\temp\winlogon.exe - [B]Trojan.Win32.Agent.asu[/B]
C:\WINDOWS\system32\drivers\ip6fw.sys - [B]Rootkit.Win32.Agent.dp [/B]
C:\WINDOWS\system32\poof - [B]Trojan-Proxy.Win32.Wopla.ag[/B]
C:\WINDOWS\system32\kprof -[B] Trojan-Proxy.Win32.Wopla.ag[/B]

(по Касперскому) их мы удалили

C:\WINDOWS\system32\DRIVERS\tcpip.sys - [B]Trojan.Win32.Patched.ad[/B]

А вот этот файл нужно заменить на чистый,у вас есть диск с windows?
если нет,то можете заменить на чистый [B]tcpip.sys [/B] он прикреплен к этому сообщению.
[I][B]Замену произведите в безопасном режиме,после этого загрузитесь в обычном режиме и сделайте новые логи.[/B][/I]

Заменил файл tcpip.sys. Последствия:

1. Перестала работать сеть и, соответственно, интернет. Т.е. нет входящих пакетов, только исходящие. Роутер не пингуется. Интернет через дайл-ап тоже не работает теперь. Менял на аналогичный файл с моего диска Windows - не помогает. Видимо, протокол tcp/ip вообще не работает.

2. Avast стал выдавать сообщение типа "Avast не может защитить почту". Т.е. почтовый сканер (на который у меня были подозрения) перестал работать.

Помогите восстановить инет! :embarasse

Свежие логи приложены.

У вас завёлся пакосник [B]y2.dll [/B] который и портит всё :)
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\y2.dll','');
DeleteFile('C:\WINDOWS\system32\y2.dll');
AutoFixSPI;
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11460[/url]

Если после скрипта снова не будет работать интернет, то скачайте [URL="http://www.winsockfix.nl/winsockxpfix.exe"]WinSockFix[/URL]. Утилита WinSockFix сбрасывает настройки сети. Крайне желательно их записать/запомнить.
И повторите логи

Спасибо, вечером попробую. Сцылко на ВинСокФикс не работает.

теперь работает,качайте.

Лечение последним скриптом закончилось падением системы. :embarasse
Винда загружалась около 10 минут, пропала панель задач, исчез статус процессов в диспетчере задач, отказал буфер обмена и т.п.
Переустановка Windows зависала. В результате системный винт был отформатирован. Предстоит долгая и мучительная работа по установке ОС и программ.

Спасибо за попытки помочь.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\43fd~1\\locals~1\\temp\\winlogon.exe - [B]Trojan.Win32.Agent.asu[/B] (DrWEB: Trojan.Packed.147)[*] c:\\windows\\system32\\drivers\\ip6fw.sys - [B]Rootkit.Win32.Agent.dp[/B] (DrWEB: Trojan.NtRootKit.319)[*] c:\\windows\\system32\\drivers\\tcpip.sys - [B]Trojan.Win32.Patched.ad[/B] (DrWEB: BackDoor.Groan)[*] c:\\windows\\system32\\kprof - [B]Trojan-Proxy.Win32.Wopla.ag[/B] (DrWEB: Trojan.NtRootKit.219)[*] c:\\windows\\system32\\poof - [B]Trojan-Proxy.Win32.Wopla.ag[/B] (DrWEB: Trojan.NtRootKit.218)[/LIST][/LIST]