ntos.exe и его последствия

Здравствуйте! Больной комп не подключается к инету и видимо до сих пор заражен какой-то гадостью. Выхожу на связь с Вами с чистого компа. Теперь о больном. После недавней проверки Авастом обнаружилось несколько вирусов: ntos.exe (определился как Rootkit), Agent-VGV,Agent-USI и еще что-то. Аваст с горем пополам уничтожил все, кроме ntos. после каждого включения создавались в темпе файлы BN2.tmp,BN3.tmp,BN4.tmp и т.д. С помощью CIA Commander вытер ntos.exe из папки system32. Темп-файлы BN ужу не появлялись, но отключился интернет. А точнее, IP-адрес, маска подсети, основной шлюз... все это прописано, уведомление показывает, что все подключено, скорость 10.0 Мбит\с, а обмен пакетами - 0 и 0. Реально связи нет. Команда "netstat -an" показывает какой-то левый внешний адрес 208.66.195.15:80 Старался все выполнять по "Правилам". Высылаю логи. Помогите! (Дело еще в том, что переставлять систему КРАЙНЕ не желательно)

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('_.exe','');
QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Dim38.sys');
DeleteFile('_.exe');
DeleteFile('WLCtrl32.dll');
BC_ImportAll;
BC_DeleteSvc('Dim38');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22075[/url]

2.Пофиксить в HijackThis следующие строчки? если будут ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,_, [/CODE]

Повторите логи.

Следовал Вашим рекомендациям. Выполнил скрипт. А вот профиксить в HijackThis нечего. строчка F2 отсутствует. Скрипт в AVZ выполнял два раза. В первый раз забыл отключить сканер Аваста. В процессе выполнения скрипта Аваст выловил нечто по имени vdy4njqz.sys . Команда "netstat -an" показывает теперь уже чуть другой внешний адрес 208.66.195.71:80, после перезагрузки: 208.66.194.232:80. Меняются цифры перед двоеточием. Подозреваю что это не есть нормально. Отправиляю Вам AVZ карантин. С интернетом все по прежнему. Все установки прописаны, связи нет. Высылаю новые логи. (Может быть я что-то не так делаю?)

Новый зверь - WinNt32.dll. Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Rwb72', 4);
QuarantineFile('C:\WINDOWS\system32\Drivers\Rwb72.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Rwb72.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин. Сделать новые логи.

Если вдруг не будет загружаться, то использовать посл. успешную кофигурацию

Выполнил. Карантин прислал. Прикрепляю логи. Меняющийся внешний адрес пропал. Но связи нет по прежнему. Сетевую карточку переставлял. Протокол TCP/IP проверил. Соседние компьютеры (с этого же краба) работают нормально. Что делать? Руки опускаются:(:(:(...

Все в логах хорошо, осталось пофиксить в HijackThis:
[code]O20 - Winlogon Notify: WinNt32 - WinNt32.dll (file missing)
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
[/code]
Попробуйте эту программку:
[url]http://www.tksinc.us/downloads/WinsockXPFix.exe[/url]
(запустить и нажать Fix; после перезагрузки заново ввести настройки сетевых подключений).

Профиксил две строчки. Запустил WinsockXPFix. Соединение переустановил. Прописал протокол. Видимо, тяжелый случай. Связи нет. Может я чего-то не понимаю:?? ("сложно вырезать гланды по телефону" - это я понимаю...)

[QUOTE=VladVictim;221156] Связи нет. [/QUOTE]
это как ? нет соединения или нет интернета ?
ping 127.0.0.1 что пишет ?

После еще ping 213.141.192.71

Это все выполняется в режиме командной строки (Пуск - Выполнить - cmd)

Профиксил две строчки, запустил WinsockXPFix. Переустановил протокол. Все по прежнему. т.е. связи нет. Пропинговал "по адресу замыкания на себя" - прошло четыре пакета, все в порядке. Пропинговал по IP-компьютера - 4 пакета, все в порядке. Пропинговка IP-адреса основного шлюза дает превышение времени ожидания (сигнал не проходит). Ради эксперимента повторил всю операцию с WinsockXPFix на здоровом компе. Проставил протокол - все работает. Наверное, я чего-то не понимаю:?...

Может у вас просто хаб (или роутер) завис? Бывает с ними такое. Передерните ему питание.

ВСЕ!:) Проблема снята. Причина была в сетевой карте, а точнее в некорректном драйвере, который WinXP ставил автоматически. ВСЕМ огромное спасибо за помощь. Вирусов нет. Чем я могу Вас отблагодарить?

Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Agent.nsl[/B] (DrWEB: Trojan.DownLoader.59496)[/LIST][/LIST]