Вирус выкачивает траффик и рассылает почту на подозрительные адреса

Здравствуйте.
У меня завелся какой-то вирус, возможно даже не один, замечена такая активность:
- Пропажа траффика
- Попытки рассылки огромного количества почты по подозрительным адресам через каждые 2 секунды от имени iexplore.exe и spiderml.exe (у меня стоит файрвол ZoneAlarm, он мониторит все процессы и выдает предупреждения. )
- Вирус пробирается по фтп, крадет пароли к сайтам и самопрописвается в index файле.

При сканировании Dr.Web обнаруживается вирус Trojan.NtRootKit.319, в папке с:\windows\system32\drivers\ip6fw.sys
Каждый раз антивирус его удаляет, но он снова возникает после перезагрузки системы....

Я не знаю уже как с этим бороться, помогите, пожалуйста.
Прилагаю логи AVZ и HiJackThis.
Заранее благодарю.

Выполните скрипт в AVZ:
[code]
begin
BC_QrSvc('runtime');
BC_QrSvc('runtime2');
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('с:\windows\system32\drivers\ip6fw.sys');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

Спасибо за помощь, Антивирус теперь больше ничего не находит.

Посмотрите пожалуйста новые логи, есть ли что-то подозрительное?

Что за зверь Vax347b.sys и vsdatant.sys?
Стоит ли мне "подлатать" дыры в безопасности, на которые указывает AVZ?

Vax347b.sys -Alcohol 120%.
vsdatant.sys-ZoneAlarm Firewall

Пофиксить -> hijackthis : [code]O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe[/code]

C:\WINDOWS\system32\xvid.ax- прислать по второму пункту правил
P.S.Дырки закрыть, если комп 1 (то есть сетки нет) то все ;)

вот закрывалка :
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

Комп один, но подключен к локальной сети (кабельный интернет). Если позакрывать дырки, это не повлияет на работу в интернете?

Должно повлиять- меньше гадости будешь ловить ;)
Можно стереть в скрипте :
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);

Чтобы по локалке можно было бы гулять.

Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!

Удачи!

Сделала архив для сбора безопасных фалов, 21 мб.... у вас лимит - 20, плюс у меня нестабильный и-нет, боюсь во время закачки может оборваться соединение за 30 минут. Как его залить? Если на какое-нибудь файловое хранилище положу - нормально будет?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

К стати ,я веб-дизайнер, могу вам в качестве благодарности бесплатно флеш-баннер сделать ))))

по поводу банера свяжитесь с кем нибудь из администрации форума
[url]http://virusinfo.info/showgroups.php[/url]
например с NickGolovko

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]