Win32.HLLW.Autoruner.3438 и 4801 - Помогите справиться!

Пожалуйста, помогите справиться с вирусом.
Создаются нулевые файлы khs и еще несколько названий, а также exe-файлы с произвольными именами типа lkzwbf.exe и т.п.
На некоторые Dr. Web Spider Guard (4.44) реагирует в виде сообщений lkzwbf.exe - infected with Win32.HLLW.Autoruner.3438 или Win32.HLLW.Autoruner.4801 и удаляет, некоторые удаляю сам, но они все равно потом появляются. В последнее время начались сбои в системе.
Выполнил сканирование с помощью Dr. Web LiveCD, а также Dr.Web Cure It в БП режиме. Ничего не нашлось.
Выполнил указанные вами пункты. Прилагаю файлы журналов. Буду признателен за помощь.

З.Ы. А сейчас еще qoadae.exe - infected with Trojan.Siggen.182 выскочило...

Пофиксите в HijackThis:
[code]
O2 - BHO: Explorer Object - {6F6E22C2-DAB8-A296-A82A-72369A54A423} - C:\WINDOWS\system\cudact32.dll (file missing)
O4 - HKCU\..\Run: [svcshare] C:\WINDOWS\system32\drivers\spoclsv.exe
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system\cudact32.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\spoclsv.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\spoclsv.exe');
DeleteFile('C:\WINDOWS\system\cudact32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=35814[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

После выполнения скриптов и перезагрузки отобразилась ошибка

Faulting application wfxswtch.exe, version 0.0.0.0, faulting module ntdll.dll, version 5.1.2600.2180, fault address 0x000118d0.

Раньше ни разу не выскакивала.

Карантин avz4 пуст. Файл spoclsv.exe удален уже давно (был инфицирован чем-то). Про файл cudact32.dll не знаю.

Прилагаю новые логи.

З.Ы. Только что снова выскочило sijcew.exe - infected with Win32.HLLW.Autoruner.4804.

Хаус, вы ошиблись! :)

[QUOTE]Faulting application wfxswtch.exe[/QUOTE]
Сбой в программе WinFax. Если она не нужна, лучше просто удалить ее. Если же нужна, а ошибка повторяется - придется ее переустановить.

[QUOTE]Карантин avz4 пуст. Файл spoclsv.exe удален уже давно (был инфицирован чем-то). Про файл cudact32.dll не знаю.[/QUOTE]
Хорошо, значит скрипт просто почистил реестр от их следов.

[QUOTE]Прилагаю новые логи.[/QUOTE]
В логах чисто.

[QUOTE]Только что снова выскочило sijcew.exe - infected with Win32.HLLW.Autoruner.4804.[/QUOTE]
Откуда-то приходит зловред, а антивирус его не пускает. Путь к файлу sijcew.exe был указан?

Да, файлы появляются в двух определенных папках.
D:\Oles\Job\
D:\_Stock\
Это не системные папки и не папки программ, просто папки с документами.

ПК не подключен к локальной сети, внешние носители не используются, интернет через ADSL.
Я проверил, файлы появляются из интернета. Я при этом никаких действий не выполняю - не открываю сайты, папки, не запускаю программы. Просто включаю интернет и через пару минут начинают скачиваться файлы.
Установил NetLimiter. Когда начинается скачивание этих файлов, NetLimiter показывает трафик не напротив какой-то программы, а напротив абстрактного "System". IP-адреса, по которым указывается входящий трафик, всегда разные (91.124.115.158, 94.178.175.219, 92.113.68.120...), но все вроде как относятся к UKRTELNET (Ukrtelecom). Вообще-то, это мой провайдер ADSL.

Теперь я запретил в NetLimiter входящий трафик для System. Наблюдаю, как пытаются установиться соединения с этими адресами, но NetLimiter их блокирует. Соответственно, файлы не появляются.

Но ведь это не метод? Это ведь кто-то у меня в компе пытается с этих адресов качать зараженные файлы? Как бы его выщемить?

Так, имеем на борту руткит... ищите драйвер.

Сделайте в AVZ: AVZPM - Установить драйвер расширенного мониторинга.
Перезагрузите компьютер и сделайте логи заново.

Выполнил!

Увы, я не вижу, за что можно зацепиться. Могу посоветовать лишь установить SP3 и заплатки, вышедшие после него. Есть шанс, что поможет. В любом случае будет на пользу.

Спасибо за содействие.
SP3 и вправду надо будет поставить.