Проблема с сетевым червём - рассылка спама с компьютера - никак не поборем :(

Здравствуйте!
В нашей локальной сети есть компьютер на котором стоят все клиент-банки, на него не был поставлен антивирус, так как:
а) нам было не рекомендовано ставить дабы не было лишнего возможного гемороя с банк-клиентами
б) человек клялся и божился что никуда всё равно не заходит в интернете и т.д. (женщина лет 40).

Некоторое время назад мы стали получать письма о недоставке получателям, письма якобы отправленные с наших адресов. В ходе поисков выяснилось, что на том компьютере сидит какой-то червяк:

1) Установили Symantec Corporation 9-ку, он геройски нашёл пару троянов и вирус, вроде убил их и загнулся потом сам - кое-как смогли его более-менее корректно удалить.
2) После этого просканировали Ad-Ware - она нашла ещё парочку "вредоносных программ", удалила их.
3) Сделали он-лайн сканирование Panda-ой - всё ок.
4) Установили теперь Symantec Endpoint Protection - он говорит всё ОК, но...

При включённой его Сетевой защите всё ок, как только её выключаешь - начинается рассылка, причём
судя по логам какая-то программа на компьютере слушает 2000-какой-то порт, как только защита отключается - происходит "снюхивание" её с удалённым хостом (разные внешние айпишники) и на компьютер через 53 порт валятся письма, которые он рассылает уже сам через 25 порт.
То есть компьютер как почтовый "зомби" под управлением других машин рассылает спам... :(

Кто-нибудь с таким сталкивался?
Посоветуйте какую-нибудь утилитку или ещё что... (Антивирус и Ad-Ware говорят что всё зашибись :()
Вообщем - что делать?

По инструкции просканировал AVZ и HijackThis - выкладываю логи...
Едиственное не просканировал CureIT! от DrWeb, так как ссылка на скачивания видимо уже устарела...

Выполните скрипт в AVZ:
[code]
begin
BC_QrFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_QrFile('C:\DOCUME~1\OLGA-K~1.GOR\LOCALS~1\Temp\winlogon.exe');
BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
BC_QrFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteSvc('ctl_w32');
BC_DeleteSvc('runtime');
BC_DeleteSvc('ip6fw');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
BC_DeleteFile('C:\DOCUME~1\OLGA-K~1.GOR\LOCALS~1\Temp\winlogon.exe');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\OLGA-K~1.GOR\LOCALS~1\Temp\winlogon.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
[/code]
Перезагрузитесь еще раз.
Пришлите содержимое карантина согласно приложению 3 правил.
Сделайте новые логи.

Выполнил скрипт.
Пофиксил в HijackThis.
Выкладываю содержимое карантина и новые логи...

[[COLOR="Red"]moderated карантин нужно присылать в соответствии приложения 3 правил[/COLOR]]

Вах! Карантин не к сообщению, а сюда:
[url]http://virusinfo.info/upload_virus.php?tid=15128[/url]

ой, извините, закачал по ссылке...

Лечение прошло успешно.
Выполните еще такой скриптик:
[code]
begin
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'userinit');
end.[/code]
и посмотрите, нужно ли вам что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.

да, спасибо, вроде помогло :)
даже Symantec-овский сетевой фаервол теперь нормально работает - через сеть всё ходит... А видимо когда был червяк - при включённом сетевом фаерволе блокировался вообще весь трафик.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\administrator.gorbushka\\local settings\\temp\\184125.exe - [B]Rootkit.Win32.Agent.pp[/B] (DrWEB: BackDoor.Bulknet.100)[/LIST][/LIST]