Замучал Conficker.AA [Net-Worm.Win32.Kido.fq ]

Никак не могу избавиться от Conficker.AA
Их у меня сидело двое: Conficker.A и Conficker.AA. Первый был отловлен НОДом после обновления баз от 02.01.09, от второго избавиться никак не могу. Действия схожи с Conficker.A, но:
- NOD32 зараженный файл не находит, пресекает только результаты работы (ломится наружу). Прочие антивирусные утилиты его тоже не ловят;
- пытается внедриться во внешние носители;
- блокирует сайт microsoft.com и сайты и форумы антивирусов и прочих "вирусологов". Блокирует по доменному имени, попасть на недоступный сайт можно только через IP, например на вашем virusinfo.info я смог зарегистрироваться только через 216.246.90.119

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\wc98pp.dll','');
DeleteService('NMIndexingService');
QuarantineFile('NMIndexingService.sys','');
DeleteFile('NMIndexingService.sys');
DeleteFile('C:\WINDOWS\wc98pp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Сорри, перепутал файлы при отправке...
Вот:

[QUOTE=V_Bond;329423]выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\wc98pp.dll','');
DeleteService('NMIndexingService');
QuarantineFile('NMIndexingService.sys','');
DeleteFile('NMIndexingService.sys');
DeleteFile('C:\WINDOWS\wc98pp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи[/QUOTE]
Я правильно понимаю последовательность?
1. Выполнить скрипт
2. Перезагрузиться, как рекомендовано после выполнения скрипта в AVZ (выполнил, начал перезагрузку - комп повис, пришлось вырубать вручную).
3. Создать и отправить карантин
4. Повторить логи.

[QUOTE=V_Bond;329423]выполните скрипт
[code]
begin
...
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи[/QUOTE]
1. Обновил базы AVZ
2. Выполнил скрипт - комп перегрузился.
3. Отправил карантин:
[QUOTE]Файл сохранён как 090105_174117_virus_49621c0d744f0.zip
Размер файла 31408
MD5 dd272da354fee9fa6a2a738647258689[/QUOTE]
4. Прикрепил новые логи.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\weatt.dll','');
DelCLSID('BBCA9F81-8F4F-11D2-90FF-0080C83D3571');
DeleteFile('C:\WINDOWS\wc98pp.dll');
DeleteFile('C:\WINDOWS\system32\weatt.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

При работе скрипта NOD выдал сообщение о перехвате вируса при попадании в карантин. Никаких действий по очистке или удалению не предпринимал - компьютер перегрузился сам. Вот строчка лога из журнала НОДа:
[QUOTE]05.01.2009 19:39:34 Real-time file system protection file C:\Install\Antivir\AVZ\avz4\avz4\Quarantine\2009-01-05\avz00002.dta a variant of Win32/Conficker.AA worm unable to clean NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\Install\Antivir\AVZ\avz4\avz4\avz.exe.[/QUOTE]
После перезагрузки деятельности вируса не наблюдается - в сеть никто не ломится, все сайты открываются нормально. Вирус удален?
Запрошенный карантин прикрепил:
[QUOTE]Файл сохранён как 090105_200338_virus_49623d6a7cbf5.zip
Размер файла 189635
MD5 3a74ea04754d225ddb8250ecb5eb9716[/QUOTE]
Логи повторять стоит?

Написано ведь :)
[quote=V_Bond]повторите логи[/quote]

[QUOTE=light59;329476]Написано ведь :)[/QUOTE]
Понятно, файлы логов сделал и прикрепил.:)

что с проблемами ?

[QUOTE=V_Bond;329492]что с проблемами ?[/QUOTE]
После перезагрузки деятельности вируса не наблюдается - в сеть никто не ломится, все сайты открываются нормально. Вирус удален?

Да...

Всем спасибо!
Еще пару вопросов:
1. Могут ли другие пострадавшие использовать этот алгоритм лечения?
2. Как обезопаситься от него в дальнейшем? Говорят, что НОД уже имеет сведения об этом вирусе в своих базах. Это так и повторного заражения можно не боятся?

1 не преветствуется , каждый случай уникален ....
2 стоит бояться ....

2)от данного типа, как и от многих других помогает работа под ограниченным пользователем, так как нет прав записи в те папки, куда данный вирус записывает себя.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\weatt.dll - [B]Net-Worm.Win32.Kido.fq[/B] (DrWEB: Trojan.Siggen.2002)[/LIST][/LIST]