помогите. поймал Mayachok.1

Доброго времени суток. В Опере и Мозиле перестали загружаться страницы. При попытке открыть некоторые страницы пишет: "Соединение было прервано удаленным сервером" или появляются символы, напоминающие исходный код. DrWeb Curelt при сканировании в безопасном режиме блокирует процесс winlogon.exe и идентифицирует его как Mayachok.1, хотя я недавно его этой же программой удалял.

Hello neux, welcome aboard. Enjoy your visits.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Documents and Settings\admin\Application Data\MozillaPlugins\887562637.dll','');
QuarantineFile('C:\Documents and Settings\admin\Application Data\Trolltech\Trolltech.exe','');
QuarantineFile('C:\Documents and Settings\admin\Application Data\MozillaPlugins\MozillaPlugins.exe','');
QuarantineFile('C:\Documents and Settings\admin\Application Data\INCAInternet\INCAInternet.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msiyin.bat','');
QuarantineFile('C:\WINDOWS\system32\ncclljn.dll','');
TerminateProcessByName('c:\documents and settings\admin\application data\taskhost.exe');
QuarantineFile('c:\documents and settings\admin\application data\taskhost.exe','');
DeleteFile('c:\documents and settings\admin\application data\taskhost.exe');
DeleteFile('C:\WINDOWS\system32\ncclljn.dll');
DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msiyin.bat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','8589');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Вот новые логи. А карантин оказался пуст.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteFile('C:\Documents and Settings\admin\Application Data\MozillaPlugins\887562637.dll');
DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msiyin.bat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','8589');
DeleteFile('C:\Documents and Settings\admin\Application Data\INCAInternet\INCAInternet.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','INCAInternet');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','INCAInternet');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','INCAInternet');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Katauri Interactive');
DeleteFile('C:\Documents and Settings\admin\Application Data\Katauri Interactive\Katauri Interactive.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Katauri Interactive');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Katauri Interactive');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MozillaPlugins');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MozillaPlugins');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','MozillaPlugins');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Trolltech');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Trolltech');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Trolltech');
DeleteFile('C:\System Volume Information\_restore{E062C485-C4A2-4384-84F8-19217BAD8F2B}\RP6\A0002576.bat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

новые логи.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Лог ComboFix

Удалите вручную
[CODE]c:\windows\system32\CDC.tmp
c:\windows\system32\198.tmp
C:\PN8UsJX9uSo
c:\documents and settings\admin\Application Data\PN8UsJX9uSo[/CODE]

Запакуйте, пожалуйста, папку [B]C:\Qoobox\Quarantine[/B] с паролем [B]virus[/B], выложите на обменник и пришлите ссылку на скачивание мне в личные сообщения