Повторное лечение

Добрый день!
Около месяца назад лечился у вас один комп (не мой)...
ситуация описана здесь [url]http://virusinfo.info/showthread.php?t=18773[/url]
хозяин лечение до конца довести не захотел - долго...(в частности не удалось вычистить файл-зловред Duf54.sys в system32\drivers)
первое время еще как-то можно было работать, теперь опять пошли жалобы на постоянное зависание компа, очень медленную работу в интернете.
nod при загрузке сообщает, что заражен системный файл taskmgr.exe, иногда ругается еще на services.exe...
сама в логах avz из "старых знакомых" увидела только C:\WINDOWS\System32\drivers\protect.sys, да и тот не запущен..
Duf54.sys не вижу
Извините, что логи не по правилам (не все), было всего 15 минут на все про все...
завтра проверю drweb и сделаю лог HijackThis...
может быть кто-то сможет пока оценить ситуацию исходя из того, что есть?
заранее благодарю

вот логи

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('Duf54', 4);
SetServiceStart('protect', 4);
StopService('protect');
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
DeleteService('protect');
BC_ImportALL;
BC_DeleteSvc('Duf54');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20117[/url]


Повторите логи

наконец добралась до "больного"...
скрипт выполнен без ошибок.
вот новые логи, посмотрите, пожалуйста
какие дальнейшие действия?

Файл сохранён как 080325_053315_virus_47e8d4eb61f4d.zip
Размер файла 658
MD5 ba9947934aa7bdb8d2a4a65c7ef17054

Предыдущие файлы успешно удалены, в карантин не попали.

Выполнить скрипт, прислать карантин.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('sрoоlsv.exe','');
RebootWindows(true);
BC_ImportAll;
end.[/CODE]

скрипт выполнен без ошибок.
карантин пуст:(
жду дальнейших указаний

Поищи этот файл через AVZ. Если не найдется, то надо просто профиксить эту строчку в логе HijackThis.

Второй вариант: повторить скрипт в Защищ. режиме (Safe Mode)

этих файлов раньше было 2:
один из них с печатью связан, насколько помню...
второй - наверное левый-вредоносный... легко удалялся вручную...
сейчас попробую поискать

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

нашлись двое, вроде бы оба системные...
c:\windows\system32\dllcache\spoolsv.exe
c:\windows\system32\spoolsv.exe
совершенно идентичные по размеру (57856 б) и дате создания\изменения (02.03.06)
раньше 2 штуки spoolsv.exe лежали в c:\windows\system32\
один из них я удаляла вручную, помнится...

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

в защищенном режиме скрипт выполнился - карантин пуст

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

в HijackThis пофиксила
повторить логи?

вот новые логи

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/CODE]