smtp активность. KAV7 находит, убивает, перезагружает, находит...

На компьютере высокая smtp активность при незапущенных почтовых программах. Обновленным KAV7 был вылечен ряд вирусов.
Но проблема с трафиком осталась.
При лечении в обычном режиме KAV7 сообщает
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: c:\windows\system32\drivers\windj41.sys
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: c:\windows\system32\drivers\winio41.sys
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: c:\windows\system32\drivers\wintb42.sys
Перезагружает машину, и если, нет подключения к сети - больше ничего не находит. Но если в момент включения компьютера он был подключен к Интернет - находит этот вирус вновь, убивает и опять перезагружает.
CuteIt после KAV не находит ничего (если тормознуть перезагрузку).
На машине заблокирован реестр.

Отключите антивирус и интернет!

[URL="http://www.majorgeeks.com/Icesword_d5199.html"]Скачать[/URL],меню,File,появится аналог проводника,найти:

[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\System32\drivers\Winnu52.sys[/CODE]

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe
O2 - BHO: C:\WINDOWS\system32\jdgf8edfsde.dll - {C5AF49A2-94F3-42BD-F434-3604812C897D} - C:\WINDOWS\system32\jdgf8edfsde.dll (file missing)
O4 - HKCU\..\Run: [amva] !C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [jkfdjg9e4rgfgfdgftdf] C:\WINDOWS\TEMP\winlogan.exe
O4 - HKCU\..\Run: [HJdfke9kfdf] C:\DOCUME~1\BUH2\LOCALS~1\Temp\csrssc.exe
O4 - HKUS\S-1-5-18\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [HJdfke9kfdf] C:\WINDOWS\TEMP\csrssc.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O17 - HKLM\System\CCS\Services\Tcpip\..\{BBA33869-4504-4640-9A17-52CBF4D2F64A}: NameServer = 213.170.117.254,213.170.64.33
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.70 85.255.112.201
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O22 - SharedTaskScheduler: uj38ehfh7efefefds98jkefn - {C5AF49A2-94F3-42BD-F434-3604812C897D} - C:\WINDOWS\system32\jdgf8edfsde.dll (file missing)[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{C5AF49A2-94F3-42BD-F434-3604812C897D}');
QuarantineFile('kdiub.exe','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('5761.PIF ',' ');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\jdgf8edfsde.dll','');
QuarantineFile('C:\WINDOWS\TEMP\winlogan.exe','');
QuarantineFile('C:\WINDOWS\TEMP\csrssc.exe','');
QuarantineFile('C:\DOCUME~1\BUH2\LOCALS~1\Temp\csrssc.exe','');
QuarantineFile('!C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winqw75.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winkq07.sys','');
QuarantineFile('C:\Documents and Settings\BUH2\ie_updates3r.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winnu52.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteService('Pjc28');
DeleteService('Winqw75');
DeleteService('Winkq07');
DeleteService('Google Online Services');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Winnu52.sys');
DeleteFile('C:\Documents and Settings\BUH2\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkq07.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winqw75.sys');
DeleteFile('!C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\DOCUME~1\BUH2\LOCALS~1\Temp\csrssc.exe');
DeleteFile('C:\WINDOWS\TEMP\csrssc.exe');
DeleteFile('C:\WINDOWS\TEMP\winlogan.exe');
DeleteFile('C:\WINDOWS\system32\jdgf8edfsde.dll');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('kdiub.exe');
DeleteFile('C:\WINDOWS\system32\kdiub.exe ');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Pjc28');
BC_DeleteSvc('Winqw75');
BC_DeleteSvc('Winkq07');
BC_DeleteSvc('Google Online Services');
BC_Activate;
ExecuteRepair(6 );
ExecuteRepair(8 );
ExecuteRepair(9 );
ExecuteRepair(17 );
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...

Файл
C:\WINDOWS\System32\drivers\Winnu52.sys
не виден - удалить не смог.

DNS, начинающийся с 213.170. - DNS нашего провайдера, проставляем вручную
Карантин выслал - но там пустые файлы...
Логи в аттаче

P.S. после перезагрузки KAV нашел файл
удалено: троянская программа Trojan-Downloader.Win32.Mutant.aim Файл: c:\windows\system32\drivers\winel28.sys
и удалил без перезагрузки.

smtp трафик пропал. Огромное вам спасибо!

Подчистим мусор :)

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winel28');
DeleteFile('C:\WINDOWS\System32\drivers\Winel28.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winel28 ');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Жалобы есть?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]