svchost плодит подключения

Здравствуйте, многоуважаемые форумчане!
Ситуация примерно такая: какая-то дрянь запускается как сервис (в svchost) и плодит подключения к следующим серверам:

208.66.194.242
208.66.195.71
66.246.252.215
74.53.42.34
74.53.42.61
smskopilka.ru
smszamok.ru

Пока не заметил, потратил кучу денег. Съело весь предоплаченый трафик по ADSL-линии :mad:. Сейчас все фильтруется файрволом, но ведь зараза где-то сидит... :unsure:

В соответствии с правилами просканировал все, сделал логи, полистал их. Потенциально опасные службы (как сказано в логе) отключил, по мелочам подозрительные вещи поудалял. Сейчас вроде сетевой активности нет... Может быть я все-таки что-то пропустил? Не успел как следует ознакомиться с хелпами весьма полезных программ... Но трафик жалко, а самое главное, времени нет пристально выковыривать... Работать надо :dry:

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\ke64boot.dll','');
DeleteFile('C:\WINDOWS\System32\ke64boot.dll');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\system32\w32drv10.exe');
BC_DeleteFile('C:\WINDOWS\system32\w32drv10.exe');
BC_DeleteSvc('MDMHidServ');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=15294[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O20 - Winlogon Notify: ke64boot - ke64boot.dll (file missing)[/CODE]

Весьма и весьма благодарен за помощь!
Простите за глупые вопросы, однако MDMHidServ - точно не виндовский файл? Хотя любят они конечно название "а ля системные"... В данном случае типа что-то для HID-устройств... Можете не отвечать, мне просто любопытно.

И, к сожалению, карантин заархивировал, однако же в нем нет самих интересующих Вас файлов :unsure:... Есть только инишники, *.dta нету... Если конечно Вас устроит и это, я вышлю, сообщите.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Хотя что-то я плохо соображаю 0_о Сказывается поздний час... Архив сформировал, правда в него почему-то не попали нужные файлы... Короче вручную добавил.

Скачайте свежую AVZ 4.29 и сделайте новые логи.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\protect.sys - [B]Rootkit.Win32.Agent.jj[/B] (DrWEB: Trojan.NtRootKit.429)[*] c:\\windows\\system32\\ke64boot.dll - [B]Trojan-Banker.Win32.Banker.gpm[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] \\2007-12-14\\bcqr00010.dta - [B]Backdoor.Win32.IRCBot.asu[/B] (DrWEB: BackDoor.IRC.Cemka)[/LIST][/LIST]