Блокирован интернет, безопасный режим, убит антивирус касперского 2009 [Backdoor.Win32.PcClient.aavp, Backdoor.Win32.Bifrose.ahyz ]

Блокирован интернет, безопасный режим, убит регулярно обновляемый антивирус касперского 2009,более 10 подозрительных exe файлов, internat.exe грузит процессор на 100%, Panda , AVZ , [COLOR=#222222][FONT=Verdana]HijackThis[B] не снимают полностью проблему[/B][/FONT][/COLOR]

[COLOR=#222222][FONT=Verdana][B]Помогите разобраться[/B][/FONT][/COLOR]

Выполните скрипт[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\wbem\internat.exe','');
QuarantineFile('C:\WINDOWS\system32\DuBa.exe','');
QuarantineFile('C:\WINDOWS\system32\85DEED9E.EXE','');
QuarantineFile('C:\WINDOWS\system32\F107626E.DLL','');
QuarantineFile('c:\windows\system32\xwziid.dll','');
QuarantineFile('c:\windows\system32\takwm.exe','');
QuarantineFile('c:\windows\system32\takqj.exe','');
QuarantineFile('c:\windows\system32\takjl.exe','');
QuarantineFile('c:\windows\system32\takfl.exe','');
QuarantineFile('c:\5.exe','');
QuarantineFile('C:\WINDOWS\system32\migpwd.exe','');
DeleteFile('C:\WINDOWS\system32\migpwd.exe');
DeleteFile('c:\5.exe');
DeleteFile('c:\windows\system32\takfl.exe');
DeleteFile('c:\windows\system32\takjl.exe');
DeleteFile('c:\windows\system32\takqj.exe');
DeleteFile('c:\windows\system32\takwm.exe');
DeleteFile('C:\WINDOWS\system32\F107626E.DLL');
DeleteFile('C:\WINDOWS\system32\85DEED9E.EXE');
DeleteFile('C:\WINDOWS\system32\DuBa.exe');
DeleteFile('C:\WINDOWS\system32\wbem\internat.exe');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\PZ0J2L4E\1[1].exe');
DeleteFile('D:\vir\5.exe');
BC_ImportALL;
BC_DeleteSvc('takwm');
BC_DeleteSvc('takqj');
BC_DeleteSvc('takjl');
BC_DeleteSvc('takfl');
BC_DeleteSvc('KingDuuBa');
BC_DeleteSvc('6B09E6DC');
BC_Activate;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.

появился доступ в интернет. безопасный режим по прежнему заблокирован, слетела и не принимается лицензия на КриптоПро csp 3 , в проводнике заблокирована возможность отобразить скрытые файлы.

Обновите базы AVZ. Выполните скрипт[CODE]begin
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]"Пофиксите" в HijackThis [CODE]R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
R3 - URLSearchHook: (no name) - - (no file)[/CODE]А что если КриптоПро восстановить\переустановить?

Восстановлена возможность загрузки в безопасном режиме.
Остается блокировка просмотра скрытых файлов в проводнике
Вирус удалил следующие ветки - восстаноил ручками...
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
блокировка установки КриптоПро csp 3 - не хочет принимать серийный номер. после удаления не устанавливается.
Получен ли мой карантин? Либо что то нужно повторить отдельно?

выполните скрипт
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]

Первичные симптомы заражения не наблюдаются, восстановлены блокированные сервисы, Антивирусы попрежнему ничего не находят, но пользователь жалуется, что при попытке использовать OutlookExpress или выйти на почту mail.ru Panda проактивная защита ругается на подозрительную активность и вырубает интернет.

Ждём повторных логов, можно при запущенном OutlookExpress + скрины ругающейся Panda.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]71[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\duba.exe - [B]Backdoor.Win32.Bifrose.ahyz[/B] (DrWEB: BackDoor.Darkshell.55)[*] c:\\windows\\system32\\xwziid.dll - [B]Backdoor.Win32.PcClient.aavp[/B] (DrWEB: BackDoor.PcClient.593)[*] \\2005-12-28\\bcqr00009.dta - [B]Backdoor.Win32.PcClient.aavp[/B] (DrWEB: BackDoor.PcClient.593)[*] \\2005-12-28\\bcqr00010.dta - [B]Backdoor.Win32.PcClient.aavp[/B] (DrWEB: BackDoor.PcClient.593)[/LIST][/LIST]