Подцепил трояна(ов) из Интернета, svchost, LogCrypt, actcontroller, ip6fw. Не могу избавится.

Сначала с какого-то момента во время просмотра сайтов заметил, что трафик стал улетать очень быстро. Потом после следующего включения компа, он напрочь отказывался перегружаться и уходил в ребут, или выдавал синий экран смерти. Загрузиться удавалось только в безопасном режиме. В безопасном режиме проверил NOD32 тот обнаружил что файл svchost.exe видимо заражен вирусом. Также проверил AVZ - тот тоже нашел несколько зараженных файлов (ip6fw.dll например) Удаление его в общем никаких результатов не принесло и я переустановил винду поверх старой, без форматирования диска C:\
Компьютер стал загружаться, но трафик по прежнему жрется очень сильно. Также в system32\drivers есть файл ip6fw.dll на который в первый раз ругался AVZ, но на этот раз не ругается. Проверил CureIT-ом, тот нашел несколько троянов. Его лог и остальные (AVZ, HIJACK) прилагаю.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Xqb33\0000', 'CSConfigFlags', '1');
BC_DeleteSvc('Xqb33');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Потом ещё один[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\protect.sys');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe[/CODE]
Загрузите карантин согласно приложению №3 правил. Повторите логи.

Ок, но ответить смогу только завтра, поскольку комп домашний.

Скрипты выполнил, логи прилагаю.

и как логи?

пофиксите ....
[code]
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)
[/code]
повторите ...
hijackthis.log

Строку пофиксил, вроде исчезла.
CureIt в безопасном режиме вирусов не нашел.
Логи прилагаю.

Вот еще кое-что подозрительное:

1.
В папке c:\windows\ есть файлы типа
3184958.exe_
3399616.exe_
с числовыми названиями и расширением exe_
на которые CureIt в прошлый раз ругался как на инфицированные трояном. Счас правда не ругается.

2.
В службах висит подозрительная служба - FCI
правда я ее отключил
Исполняемй файл: C:\WINDOWS\system32\svchost.exe:ext.exe
Что это за служба и как ее снести?

3.
В Просмотре событий есть подозрительные строки (раньше их не было)

а.Источник: NMIndexingService
Не найдено описание для события с кодом ( 0 ) в источнике ( NMIndexingService ).
Возможно, на локальном компьютере нет нужных данных в реестре
или файлов DLL сообщений для отображения сообщений удаленного компьютера.
Попробуйте использовать ключ /AUXSOURCE= для получения этого описания,
- дополнительные сведения об этом содержатся в справке.
В записи события содержится следующая информация: Service started.

б.Источник: redbook
Это устройство не поддерживает воспроизведение оцифрованного звука.

в.sfsync02
Не найдено описание для события с кодом ( 12 ) в источнике ( sfsync02 ).
Возможно, на локальном компьютере нет нужных данных в реестре
или файлов DLL сообщений для отображения сообщений удаленного компьютера.
Попробуйте использовать ключ /AUXSOURCE= для получения этого описания,
- дополнительные сведения об этом содержатся в справке.
В записи события содержится следующая информация: .

г.sfsync04
Не найдено описание для события с кодом ( 1 ) в источнике ( sfsync04 ).
Возможно, на локальном компьютере нет нужных данных в реестре
или файлов DLL сообщений для отображения сообщений удаленного компьютера.
Попробуйте использовать ключ /AUXSOURCE= для получения этого описания,
- дополнительные сведения об этом содержатся в справке.
В записи события содержится следующая информация: .

Вот собственно лог HIJACK-а

Обновите базы AVZ и повторите сканирование (лог syscure).

а что за зверей то я нахватал. можно узнать?
что именно они делают - высылают куда-нибудь пароли или портят данные и почему трафик входящий резко вырос?

[quote]а что за зверей то я нахватал. можно узнать?[/quote]
А Вы карантин не прислали... мы и не знаем

а вот и он :)
пардон, приходится отвечать с запозданием, т.к. зараженный комп домашний, а с него в сеть пока не выхожу. только с работы.

в логах чисто ...
карантин вы так и не прислали ...

а карантин - это virusinfo_cure.zip или что?

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

а, понял.
ок, пришлю сегодня

уберите зверей из темы .... их нужно отсылать по ссылке над темой ...

зверей из темы убрал, карантин закачал по ссылке.

WLCtrl32.dll - [B]Email-Worm.Win32.Agent.e[/B]

понятно. ну а система то сейчас чистая?

[QUOTE=V_Bond;191619]в логах чисто ...
...[/QUOTE]
...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\wlctrl32.dll - [B]Email-Worm.Win32.Agent.e[/B] (DrWEB: Trojan.DownLoader.47421)[/LIST][/LIST]