Вирус тянет трафик, AVZ и Hijack виснут

Здравствуйте. Помогите, пожалуйста, со следующей проблемой.
При подключении к интернету где-то через минуту начинает очень активно идти непонятный трафик. По адресу C:\WINDOWS\Temp постоянно появляется файл startdrv.exe, который NOD определяет как Rootkit.Agent.EY и удаляет, но после нового включения либо перезагрузки он снова появляется. Также в папке C:\WINDOWS при запуске создается некая папка Prefetch, в которой собираются данные о запусках программ в компьютере.
В папке C:\WINDOWS\system32 обнаружил файл glock32.exe, дата создания которого примерн совпадает с началом проблем с трафиком.
А теперь самое главное. AVZ и Hijack при попытке выполнить любую проверку наглухо виснут.
С Правилами ознакомился и все действия выполнял строго по ним.
Чем могут быть вызваны эти зависания? Заранее благодарен.

pingpong.pif - переименованный AVZ [url]http://rapidshare.com/files/116949749/pingpong.pif.html[/url]
Попробуйте сделать логи им - хотя бы лог по пункту 10 правил.
Если не получится - то попробуйте в безопасном режиме.

AVZ и Hijack запустились только в безопасном режиме. Логи прикрепляю.
В папке C:\WINDOWS\system32 появился файл WinNT32.dll, определяемы Касперским как Trojan.Downloader.Win32.Mutant.aao. Вылечить либо удалить его Касперский не в состоянии.

Да, та еще "коллекция".

Скачайте [url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip]IceSword[/url].
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\system32\Drivers\Yej84.sys и если есть - сначала скопируйте его куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('xqexmp.dll','');
QuarantineFile('pecrxg.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Oty51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Lqv40.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\pxark.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Yej84.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Yej84.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lqv40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oty51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DelWinlogonNotifyByKeyName('WinNt32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Oty51');
BC_DeleteSvc('Lqv40');
BC_DeleteSvc('Yej84');
BC_DeleteSvc('runtime2');
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] и скопированный Вами файл (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=23814[/url] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.

Большое спасибо!
Файлы pecrxg.dll, tcpsr.sys и Yej84.sys были обнаружены и удалены Касперским несколько ранее, поэтому Yej84.sys прислать уже не могу :)
Скрипт выполнил, кэш и темп очистил. AVZ и Hijack теперь работают без проблем :)
Логи и карантин прилагаю.

Рано радуетесь :)

Отключите антивирус и интернет!

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],,меню,File,появится аналог проводника,найти:Bhm40.sys,правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O20 - AppInit_DLLs:
O20 - Winlogon Notify: pecrxg - pecrxg.dll (file missing)
O20 - Winlogon Notify: xqexmp - xqexmp.dll (file missing)[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Bhm40');
DeleteFile('C:\WINDOWS\System32\Drivers\Bhm40.sys');
DeleteFile('pecrxg.dll');
DeleteFile('xqexmp.dll');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи.

Все выполнил. Правда WinNT32.dll опять вылез.. :?

[B]Отключите восстановление системы![/B]в логах его не видать скорее всего файл называется так WinNt32.dl_?в любом случае сделайте ему в IceSword Force Delete и перезагрузитесь,результат сообщите.

Сильно извиняюсь, вчера выполнял уже ночью и действительно забыл отключить восстановление системы :(
Нашел и удалил WinNT32.dl_, но в system32 лежит файл WinNT32.dll, имеющий тот же размер и определяемый Касперским как Trojan.Downloader.Win32.Mutant.aao.
Еще раз сделал логи с отключенным восстановлением, посмотрите, пожалуйста.

Удалите и WinNT32.dll, он не активен, в логах чисто.
После перезагрузки проверьте, не появится ли WinNT32.dll, если не появился - то все ок.

Похоже все ОК :)
Kps и Гриша, спасибо вам огромное! :)

Нам интересно [URL="http://virusinfo.info/showthread.php?t=19883"]Ваше мнение[/URL] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]