вирус , не определяется ни одной антивирусной программой , не виден в процессах

Внимание - проблема с вирусом , огромная сетевая активность.

Есть локальная сеть с выходом в интернет через сервер по ADSL с раздачей через прокси TrafficInspector.

У всех компьютеров нормально , но у одного из них появилась сетевая активность - это видно и через TrafficInspector на сервере и через сетевое подключение на самом компьютере . Компьютер был проверен антивирусами : NOD32 , DrWEB , Panda , BitDefender , RemoveIt , Kaspersky и т.д.
НИ одна из них ничего не видит !!!
Более того - смотрю на компьютере при помощи TCPView , taskinfo, commview - тишина - все молчат и ничего не показывают типа нет сетевых подключений , хотя сетевое подключение в нижнем правом углу не затыкается и в trafficinspectore показываются все подключения данного компьютера и адреса !
В приложенных скринах вся информация
1.jpg - taskinfo
2.jpg - tcpview
3.jpg - окно Trafficinspectora с сервера.

Подскажите пожалуйста - какую программу монитор типа taskinfo использовать - чтобы отследить какой процесс и по какому порту все это делает , мне срочно нужно отловить эту нечисть , переустановку винды и установку экрана на компьютер просьба не предлагать.
Очень надеюсь на ВАШУ помошь !

Пожалуйста, сделайте логи AVZ и Hijackthis с данной машины ( п.п. 3-14 [url=http://virusinfo.info/showthread.php?t=1235]правил раздела "Помогите"[/url]) и прикрепите их к теме

[URL="http://virusinfo.info/attachment.php?attachmentid=20489&stc=1&d=1192786632"]hijackthis.log[/URL]

пофиксите
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe
[/code]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил....
сделайте все новые логи...

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O23 - Service: Microsoft Internet Explorer - Unknown owner - C:\WINDOWS\system32\_svchost.exe (file missing)
[/CODE]

ВАУ - спасибо большое за мгновенные ответы !
Файла ntos.exe нету , я его уже давно отследил и удалил.

скрипт [B]"Скрипт сбора информации для раздела "Помогите!" virusinfo.info во вложении.[/B]

[B]скрипт Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info сделать неудается - система через какое-то время проверки скриптом впадает в синий экран смерти - пробовал несколько раз - одно и тоже.[/B]

[B]Кстати даже при синем экране идет сетевая активность - видно по индикатору на сетевой карте и на сервере по TrafficInspectoru ![/B]

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
// Очистка файла Hosts
ClearHostsFile;
end.[/CODE]

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('Fni48.sys','');
QuarantineFile('F818ECBAFni48.sys','');
DeleteFile('Fni48.sys');
DeleteFile('F818ECBAFni48.sys');
BC_DeleteFile('F818ECBAFni48.sys');
BC_DeleteFile('Fni48.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин.

Сделать лог в защищ. режиме:[url]http://virusinfo.info/showthread.php?t=10387[/url]

файла _svchost - тоже не оказалось , видно был ранее и я его уже удалил.

Нашел только файл userinit , удалил его и вроде все стало ОК !!!

Numb - V_Bond - SuperBrat - всем гигантское спасибо !!!

Теперь очень хочеться узнать что это за вирус - я его кинул во вложенный файл - пароль 123 - если нельзя выкладывать - удалите пожалуйста - если можно - скажите что за зверь !!!

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\windows\system32\drivers\Fni48.sys','');
DeleteFile('C:\windows\system32\drivers\Fni48.sys');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'userinit');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи (все три). Ждём-с.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

И вот это мне показалось странным:
c:\program files\common files\acronis\Служба защиты\psh_svc.exe
Пришлите по правилам на всякий случай.

[QUOTE=acronis2000;143579]
Нашел только файл userinit , удалил его и вроде все стало ОК !!!
Теперь очень хочеться узнать что это за вирус - я его кинул во вложенный файл - пароль 123 - если нельзя выкладывать - удалите пожалуйста - если можно - скажите что за зверь !!![/QUOTE]

Это не вирус. Вы удалили один из файлов Windows.

Спасибо за советы - завтра продолжим , так как сегодня рабочий день закончился !
Кстати потратил полных два дня - даже обидно что не смог победить - раньше всегда разбирался сам - даже когда ни один антивирус не находил - искал через TASKINFO процессы , DLL ки и т.д. а на этот раз ни одна программа не показывает об активности какого либо процесса и меня это очень сильно смущает !!! А трафик все прет и прет !!!

из всех советов проделал это
профиксил
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O23 - Service: Microsoft Internet Explorer - Unknown owner - C:\WINDOWS\system32\_svchost.exe (file missing)

и

удалил зачемто файл userinit.exe

Файла 'Fni48.sys' нет в системе , файл psh_svc.exe стоит на всех компах - это служба Acronis.

скрипт [B]Скрипт сбора информации для раздела "Помогите!" virusinfo - выполняется нормально[/B]

[B]скрипт - Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo - удалось сделать только в безопасном режиме , в обычном режиме вызывает через какое то время синий экран.[/B]

Да забыл - после перезагрузки из безопасного режима в обычный - вылетает табличка - система восстановлена после серьезной ошибки - хотя я отключил восстановление системы

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

вот еще на сервере вижу активность с данного компьютера к адресу 208.72.169.136 TCP 4099

[QUOTE=acronis2000;144064]Да забыл - после перезагрузки из безопасного режима в обычный - вылетает табличка - система восстановлена после серьезной ошибки - хотя я отключил восстановление системы
[/QUOTE]
Это не связано, "восстановление системы" и "система восстановлена" - разные вещи.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Пост [url]http://virusinfo.info/showpost.php?p=143577&postcount=7[/url] не выполнен.
А эти?
[url]http://virusinfo.info/showpost.php?p=143578&postcount=8[/url]
[url]http://virusinfo.info/showpost.php?p=143581&postcount=10[/url]
Забыли?