Не могу избавиться отWin32/Rootkit.Agent.NDF(DP)

Здравствуйте!
Очень прошу вас помочь мне похожей как у [B][I]EL Lobo[/I][/B] проблеме, решённой сегодня. Суть моей:
Обновлённый неделю назад NOD32 каждый раз при перезагрузке системы находит и удаляет троянов [B]Win32/Rootkit.Agent.DP [/B](файл
С:\Windows\Sistem32\drivers\ip6fw.sys) и [B]Win32/Rootkit.Agent.NDF [/B](файл С:\Windows\Sistem32\drivers\runtime.sys). Проявляются они то оба,то по одиночке. Иногда находится какой-то зловредный ключ из реестра. Вирусы проявляются то по одному,то вместе. После их появления компьютер стал жутко тормозить. Диспетчер задач показал, что систему грузит на 99% установленный, но не запущенный ни мной ни атозагрузкой QuickTimeTSK. После удаления QuickTimeTSK тормоза вроде бы пропали. Кроме того файрвол Oupost3 предупреждает, что скрытый процесс запрашивает исходящее соединение (процесс:iexplore.exe;запущен:c:\Windows\TEMP\STARTDRV.EXE).
После блокировки файрволом - процесс пытается стучаться по разным портам без остановки.
Думаю,что в одиночку мне не справиться с проблемой.
Буду очень благодарен за помощь.

Пофиксите в HijackThis:
[code]
O9 - Extra button: (no name) - {85e1f530-48f4-11d9-9629-08ff2ffc9f67} - (no file)
O16 - DPF: Win32 Classes -
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\winstart.bat','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bn.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\DRIVERS\ip6fw.sys','');
QuarantineFile('C:\Documents and Settings\Дмитрий\Local Settings\Temp\302965.exe','');
QuarantineFile('C:\WINDOWS\system32\rsvp32_2.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bn.dll');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\winstart.bat');
BC_ImportDeletedList;
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Скачайте программу WinSockxpFix:
[url]http://www.tacktech.com/pub/winsockfix/WinsockFix.zip[/url]
но пока не запускайте.

Добрый вечер! Извините,что немного задержался с ответом.
Выполнил ваше руководство, отслал карантин, скачал WinSockxpFix
(не запускал).
После перезагрузок системы NOD32 опять находит C:\WINDOWS\SYSTEM32\DRIVERS\ip6fw.sys - Win32/Rootkit.Agent.DP троян. Хотя сетевая активность изменилась.
Outpost показывает слабые попытки связи через netbios при отключенном соединении.
Высылаю вам новые логи для объективной информации.

Стало немного почище ;)

В карантине:
302965.exe - [b]Rootkit.Win32.Agent.ey[/b]
rsvp32_2.dll - [b]Trojan.Win32.Agent.axo[/b]

Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O20 - Winlogon Notify: bnreg - C:\WINDOWS\
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Дмитрий\Local Settings\Temp\302965.exe');
DeleteFile('C:\WINDOWS\system32\rsvp32_2.dll');
DelSPIByFileName('rsvp32_2.dll',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки еще один:
[code]begin
ExecuteRepair(14);
RebootWindows(true);
end.[/code]
После этого, если пропадет связь с локалкой и/или интернетом, воспользуйтесь скачанной программой (запустить, нажать Fix), только предварительно запишите настройки сетевых подключений, т.к. она их сбрасывает.

Поищите с помощью AVZ (Сервис - Поиск файлов на диске) эти файлы:
walign.exe
setupx.dll
Если найдутся - пришлите по правилам.

Состояние намного улучшилось!
После выполнения процедур, запуска WinSockxpFix, искал walign.exe , setupx.dll. Файлы не нашлись. Проверил диски обновлённым NODом и AVZ. Руткитов не обнаружил.
Прошу вас проверить прикреплённые логи для контроля.

В логах практически чисто.

1. Удалите задание в Планировщике (Панель управления - Назначенные задания).
2. В AVZ откройте Менеджер ActiveSetup и удалите строчку с упоминанием setupx.dll.
3. Проверим на всякий случай еще пару файлов. Выполните скрипт:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\PROGRA~1\TOPSUR~1\twsband.dll','');
QuarantineFile('D:\Оля\OMS\ShlExt.dll','');
end.[/code]
и пришлите карантин по правилам.

4. Посмотрите, что нужно / не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]
Лишнее отключим.

Карантин после выполнения процедур выслан. Интересно, что там обнаружилось.Отключил ненужные службы. Деятельности троянов не видно.
Я очень благодарен вам за профессиональную помощь.:druzja:

По рзультатам проверки на virustotal:

ShlExt.dll - чистый

twsband.dll обругали два антивируса
[quote]ClamAV 0.91.2 2007.10.25 [b]Adware.BHO-26[/b]
DrWeb 4.44.0.09170 2007.10.25 [b]Trojan.StartPage.origin[/b] [/quote]

Отправил файл в ЛК, но думаю и так ясно, что ничего хорошего.
Если в Установка/удаление программ есть что-то вроде TopSurfer Toolbar, удалите его обычным образом. Если нет - предлагаю удалить его таким скриптом:
[code]begin
SetAVZGuardStatus(True);
DeleteFile('C:\PROGRA~1\TOPSUR~1\twsband.dll');
BC_DeleteFile('C:\PROGRA~1\TOPSUR~1\twsband.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
и пофиксить в HijackThis:
[code]
O3 - Toolbar: &TopSurfer - {AF657644-964C-4348-A8AD-72524B3A3FF1} - C:\PROGRA~1\TOPSUR~1\twsband.dll
[/code]

Я грешным делом подумал,что злыдней всех вывели.
Спасибо, что не оставляете в беде. NODом пользуюсь уже несколько лет. Видать не справляется иноземец.
Сделал всё,что вы рекомендовали. Прикрепляю логи для контроля.

Ну вот теперь чисто! :)

Для пущей стерильности эти две службы в "отключено" поставьте:
[code]
O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\System32\mnmsrvc.exe
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe[/code]

и мы вас выписываем :300:.

Если что - заходите еще.

Ещё раз хочу поблагодарить вас за оказанную помощь :beer:.