Прошу помочь в поимке вируса Trojan-Downloader.BAT.Small.ap

[COLOR=#333333]Прошу помочь в поимке вируса.
[/COLOR]Антивирус Касперского Version: 8.0.0.559 [COLOR=#333333]. ловит только продукты вируса а не сам вирус. есть скриншот[/COLOR]
[COLOR=#333333]симптомы вируса:
[/COLOR][COLOR=#333333]1. на диске С и в system32 файлы "набор символов".exe (xpwpers.exe zywpers.exe hexwpers.exe)[/COLOR]
[COLOR=#333333]2. появились новые пользователи с правами админа и без, с различными именами

много перезагрузок не могу сделать. Сервер работает круглосуточно. [/COLOR][ATTACH]446568[/ATTACH]
[ATTACH]446569[/ATTACH]

[ATTACH=CONFIG]446570[/ATTACH]

Уважаемый(ая) [B]Zderciuc[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[ATTACH]446595[/ATTACH][ATTACH]446596[/ATTACH]

Пределайте лог AVZ не из терминальной сессии.
А лучше [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url], только программу скачайте [URL="http://yadi.sk/d/SWV-neIQAxrZ5"]отсюда[/URL]. Ей можно и из терминальной сессии.

[ATTACH]446666[/ATTACH]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref %SystemRoot%\IME\CV.EXE
delref sethc.exe
delref %Sys32%\CHINA.PSD
delref %Sys32%\NTSD.PSD
delref HTTP://SEARCH.CONDUIT.COM?SEARCHSOURCE=10&CTID=CT2545381
delref HTTP://WWW2.DELTA-SEARCH.COM/?BABSRC=HP_SS&MNTRID=D8180026B933E397&AFFID=122471&TSP=4988
delref %SystemRoot%\IME\CV.EXE
adddir %Sys32%
adddir %SystemRoot%\IME
adddir c:\
crimg[/code]
Будет создан новый полный образ автозапуска uVS, загрузите его на rghost.ru и дайте ссылку в теме.

Похоже ломают сервер удалённо. Смените админские пароли, убейте левые учётки. Один из вероятных путей проникновения - через уязвимости MS SQL Server. Смените на нём пароли, установите [URL="http://www.microsoft.com/ru-ru/download/details.aspx?id=7218"]пакет обновления 4 RTM для Microsoft SQL Server 2005[/URL].
Закройте на брандмауэре ненужные снаружи сервисы.