DrWeb находит Trojan.PWS.Pace в файле ftpdll.dll

DrWeb находит Trojan.PWS.Pace в файле ftpdll.dll. удаляет его, а он снова появляется, при этом активно работают Internet32.exe и spool.exe. Экран монитора постоянно дергался, что-то быстро промелькивало на нем. Я проделал соответствующие шаги, указанные в правилах, в частности шаги с 8 по 13. Я прошу сообщить мне, что дальше делать.
P.S. Операционная система Windows 2000 SP4.
Сейчас, после использования AVZ, экран монитора спокоен, Internet32.exe и spool.exe в памяти сидят, но не активны.
С уважением Алексей Полетаев

Пофиксите в HijackThis:
[code]
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll (file missing)
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\Program Files\NetPanel\IEHelper.dll (file missing)
O4 - HKLM\..\Run: [NetPanel] "C:\Program Files\NetPanel\Starter.exe" /path="C:\Program Files\NetPanel"
O4 - HKLM\..\Run: [ntuser] C:\WINNT\system32\drivers\internet32.exe
O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\Администратор\Local Settings\Application Data\spool.exe
O4 - HKCU\..\Run: [CS Update] copy /Y "C:\Program Files\ConnectionServices\ConnectionServices.dll.upd" "C:\Program Files\ConnectionServices\ConnectionServices.dll"
O4 - HKCU\..\Run: [ntuser] C:\WINNT\system32\drivers\internet32.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\Администратор\Local Settings\Application Data\spool.exe
O4 - HKLM\..\Policies\Explorer\Run: [system] C:\winnt\csrss.exe
O4 - HKUS\.DEFAULT\..\Run: [ntuser] C:\WINNT\system32\drivers\internet32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [autoload] C:\Documents and Settings\Default User\Local Settings\Application Data\spool.exe (User 'Default user')
O20 - Winlogon Notify: mp3res - mp3res.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\NetPanel\Starter.exe','');
QuarantineFile('C:\winnt\csrss.exe','');
QuarantineFile('C:\WINNT\system32\dpmw32.exe','');
QuarantineFile('C:\Documents and Settings\Default User\Local Settings\Application Data\spool.exe','');
QuarantineFile('C:\winnt\System32\lrito5aca-856.sys','');
QuarantineFile('C:\WINNT\system32\ftpdll.dll','');
QuarantineFile('C:\WINNT\system32\drivers\internet32.exe','');
QuarantineFile('C:\Program Files\NetPanel\NetPanel.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\spool.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\spool.exe');
DeleteFile('C:\WINNT\system32\drivers\internet32.exe');
DeleteFile('C:\WINNT\system32\ftpdll.dll');
DeleteFile('C:\winnt\System32\lrito5aca-856.sys');
DeleteFile('C:\Documents and Settings\Default User\Local Settings\Application Data\spool.exe');
DeleteFile('C:\winnt\csrss.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('catchme');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=25691[/url]).
Сделайте новые логи, начиная с п.10 правил.

Уважемый Bratez, я послал требуемый карантин согласно приложению 3 правил и сделал логи начиная с п.10 правил.
С уважением А. Полетаев

1. Пофиксить: [CODE]O4 - HKLM\..\Run: [zango] c:\program files\zango\zango.exe[/CODE] Это адварь.
2. Ждем решения вирлаба по карантину.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Из присланного: C:\Documents and Settings\Default User\Local Settings\Application Data\spool.exe - Worm.Win32.Socks.agn
C:\WINNT\system32\drivers\internet32.exe - Worm.Win32.Socks.agn
C:\Documents and Settings\Администратор\Local Settings\Application Data\spool.exe - Worm.Win32.Socks.agn
C:\WINNT\system32\ftpdll.dll - Worm.Win32.Socks.u

Уважаемый Alex_Goodwin у меня возник вопрос к Вам. Мне нужно пофиксить этот
адварь сейчас или дождаться ответа от Brateza? То, что добавлено Вами, это как я понял храниться у меня только в карантине и я с помощью скрипта от AVZ и пофиксенного ранее от HijackThis благополучно удалил эти файлы из комьютера?

Фиксите сейчас. Перечисленное - да, удалено, иначе пошли бы на второй круг.

Уважаемый pig, я пофиксил этот адварь, как я понял, в реестре.
К сожалению, я не посмотрел перед фиксацией данную директорию
c:\program files\zango\, т.к. после фиксации я ее не обнаружил. Скорее всего
она была удалена ранее или программа HijackThis сама удалила ее ?

Скорее всего, её давно вынесли, а в реестре просто мусор висел.

Этот компьютер не мой, а коллеги по работе. Она частенько скачивает оффисные игрушки и использует дополнительную почту на mail.ru. Скорее всего зараза пришла оттуда. Как только все вылечится, я поставлю ей Reg Organizer и почищу реестр от мусора.
PS. Проверил DrWeb-ом, все нормально, чисто. Операционная система в порядке.
Программы работают в штатном режиме. Жду заключения вирлаба по карантину и по последним логам, которые я представил.

Уважаемые Helper-ы!
Жду вердикта по остальным файлам, отправленным в карантин AVZ-ом.
QuarantineFile('C:\Program Files\NetPanel\Starter.exe','');
QuarantineFile('C:\winnt\csrss.exe','');
QuarantineFile('C:\WINNT\system32\dpmw32.exe','');
QuarantineFile('C:\winnt\System32\lrito5aca-856.sys','');
QuarantineFile('C:\Program Files\NetPanel\NetPanel.exe','');

Starter.exe, dpmw32.exe, NetPanel.exe - чистые.
csrss.exe, lrito5aca-856.sys - отсутствуют.

Будем считать, что все нормально! Компьютер чист и я могу со спокойной совестью
уходить в отпуск. Всем спасибо, особенно тем, кто придумал virusinfo.info.
Это самая настоящая палочка-выручалочка.
С уважением А.Полетаев

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\default user\\local settings\\application data\\spool.exe - [B]Worm.Win32.Socks.agn[/B] (DrWEB: Trojan.PWS.Pace)[*] c:\\documents and settings\\администратор\\local settings\\application data\\spool.exe - [B]Worm.Win32.Socks.agn[/B] (DrWEB: Trojan.PWS.Pace)[*] c:\\winnt\\system32\\drivers\\internet32.exe - [B]Worm.Win32.Socks.agn[/B] (DrWEB: Trojan.PWS.Pace)[*] c:\\winnt\\system32\\ftpdll.dll - [B]Trojan-Downloader.Win32.Small.agct[/B] (DrWEB: Trojan.PWS.Pace)[/LIST][/LIST]