Нечто рассылает спам с моего компа

Добрый день! Замучился уже со своей заразой. Очень рассчитываю на вашу помощь!

Вирус активизируется в момент подключения к сети. Активность вируса я обнаружил всвязи с попытками Symantec проверять каждое отправляемое сообщение. После отключения "ненужных" процессов из списка, вирус утихал, рассылка прекращалась.

Сначала мой антивирус (Symantec) отлавливал два вируса Trojan.Pandex (каждый раз новый файл в папке Temp) и Trojan.Horse (smtpdrv.sys), в списке процессов появлялся неучтенный iexplorer.exe. Убивал iexplorer.exe из процессов, все утихало. Прочитал как лечить эти вирусы, удалил все что они понасоздавали в реестре и на диске, прогнал сканирование - все вроде чисто.

После чего стал ловится только Trojan.Pandex, спамерство продолжилось, в процессах запускался svchost.exe в момент подключения к сети. Убивал этот svchost.exe из процессов, все утихало.

Прогнал еще раз полный скан Symantec-ом и Trend-ом вроде ничего не нашел, а вирус опять трансформировался. Теперь больше ничего не вылавливается в момент подключения к сети и в процессах запускается svchost в 3-х экземплярах. Теперь для нормальной работы приходится убивать все три штуки.

Чего с этим дальше делать не понимаю, логи прилагаю.
Заранее спасибо.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Lqu62');
SetServiceStart('Lqu62', 4);
StopService('Chl51');
SetServiceStart('Chl51', 4);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Lqu62.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Chl51.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Chl51.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
BC_ImportALL;
BC_DeleteSvc('Chl51');
BC_DeleteSvc('Lqu62');
BC_DeleteSvc('smtpdrv');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18174[/url]).
Сделайте новые логи.

Спасибо за оперативность!
Карантин выложил, логи повторно прилагаю.

Пока продолжаю спамить ...:(

[b]Email-Worm.Win32.Agent.e[/b] C:\WINDOWS\system32\WLCtrl32.dll
[b]Trojan.Win32.Agent.eub[/b] C:\WINDOWS\system32\LogCrypt.dll
Логи сейчас гляну

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Выполните:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','Lqu62');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\LogCrypt');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
BC_DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
BC_DeleteSvc('Lqu62');
BC_DeleteSvc('symlcbrd');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Лог virusinfo_syscure повторите

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Скрипт исправил... если еще не выполнили старый

Выполнил старый.
Этот выполнять?

Нет уже... делайте новые логи, симантек работает?

Symantec работает, логи прилагаю

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачайте [/URL] .... меню File - файл C:\WINDOWS\system32\Drivers\Lqu62.sys -force delete ...
затем выполните скрипт авз ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','Lqu62');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
BC_DeleteSvc('Lqu62');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

Уф, вроде утихла рассылка. Что-нибудь еще надо сделать?

Повторить логи с п.10 Правил

Выкладываю ...

Все чисто

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\logcrypt.dll - [B]Trojan.Win32.Agent.eub[/B] (DrWEB: Trojan.DownLoader.46414)[*] c:\\windows\\system32\\wlctrl32.dll - [B]Email-Worm.Win32.Agent.e[/B] (DrWEB: Trojan.DownLoader.47421)[/LIST][/LIST]