Неудается вылечить до конца ntos

Добрый день.
Вчера поймал вирус. Пытался найти через McAfee и Kaspersky Online scan - оба антивируса сказали что система чистая.
Вручную убить файл ntos (из реестра) не получилось. Использовал утилиту klwk -она нашла следы в реестре но ничего не сделала, Воспользовался утилитой ZBotKiller. Она вирус обнаружила и убила все его файлы и записи в реестре.
НО! Не смотря на удаленный ntos невозможно выйти на некоторые сайты (например mcafee.com) невозможно запустить ряд файлов под своим именем:
cmd, regedit, wincmd32. При попытке запустить их происходит перезапуск Эксплорера (шела). Так же невозможно в свойствах папок включить возможность показывать скрытые файлы.
Во вложении лог программы Kaspersky Virus Removal Tool 7.0.0.260
Там что-то нашлось, но я не многое из этого смог извлечь. HiJack ничего интересного не показал.
Машина заражена была одна.
Помогите окончательно ликвидировать эту заразу ntos. Или возможно это некий новый вирус, которого антивирусы не знают.

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
Ничего подозрительного я не нашел.

Как сказали - все почистил. Эффекта ровно ноль...((
Самое неприятное - это невозможность windows commander запустить.
Сейчас запускаю все эти программы через PrKiller (там есть своя командная строка). Смотрел открытые порты - тоже вроде ничего нет. Никто наружу не лезет.
Может всетаки есть способ это лечить? Явно же перехват каких-то функций идет.
От отчаяния попробую завтра откатить SP3 от XP, но есть опасение что вообще система ляжет.
Это ноутбук Sony - его переустанавливать очень непростая задача ((
Прошу о помощи. Мне уже и самому интересно - что так мешаться может.

скачайте этот avz [url]http://rapidshare.com/files/199106177/toto.pif[/url] и сделайте им логи по правилам: [url]http://virusinfo.info/showthread.php?t=1235[/url]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=northstar2000;394613]От отчаяния попробую завтра откатить SP3 от XP[/QUOTE]не надо, в случае острой необходимости попробуйте его снова накатать
[QUOTE=northstar2000;394613]Прошу о помощи. [/QUOTE]Если логи покажут, кого убивать - поможем. А нет - не обессудьте.
Еще сделайте проверку на файловые вирусы (см. ссылку в подписи).

Вот логи

Я в этих данных ничего интересного не нашел. Но что-то же должно переключать галочку Показывать скрытые файлы и папки. Такое же ключем реестра не сделать!?

[b]Отключите восстановление системы![/b]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('msansspc.dll','');
QuarantineFile('C:\WINDOWS\system32\he03O0sS.exe','');
QuarantineFile('C:\WINDOWS\system32\6DSnX7j1.exe','');
QuarantineFile('C:\Documents and Settings\Vasily\Шаблоны\A.kotnorB.com','');
DeleteFile('msansspc.dll');
DeleteFile('C:\Documents and Settings\Vasily\Шаблоны\A.kotnorB.com');
DeleteFile('C:\WINDOWS\system32\6DSnX7j1.exe');
DeleteFile('C:\WINDOWS\system32\he03O0sS.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=44780[/url]).

Удалите все задания в Планировщике (Панель управления -> Назначенные задания).

Сделайте новые логи (п.2 и 3 раздела Диагностика).

090430_175513_virus_49f9adc111990.zip
Вот! все сделал по инструкции.

[QUOTE=northstar2000;395251]
Вот! все сделал по инструкции.[/QUOTE]А логи где?

Логи вложены ее во вчерашнем сообщении или я что-то не понимаю?

[QUOTE=northstar2000;395307]Логи вложены ее во вчерашнем сообщении или я что-то не понимаю?[/QUOTE]Логи ПОСЛЕ СКРИПТА. Прочитайте последнюю строчку тут: [url]http://virusinfo.info/showpost.php?p=394939&postcount=7[/url]

все понялю. новые логи прилагаю.

Что с проблемами?

Все проблеммы на своем месте.
Я все обыскал - нигде никаких лишних процессов или потоков не нашел.
По какой-то причине продолжает вылетать Explorer при запуске программ cmd regedit32 и wincmd32 из Шела. Из Wincmd все те же программы стартуют нормально.
Из проводника вылетает с ошибкой 0x00fd1ea8 модуль duser.dll

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(1);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки проинформируйте о состоянии ПК.

Ничего не изменилось.
Еще после первого скрипта появилось неопознанное устройство ROOT\LEGACY_UZEYOTG2\0000
в остальном все как и раньше

Неопознанное устройство просто удалите в Диспетчере устройств.
Файлы [B]cmd.exe [/B]и [B]regedit.exe [/B]восстановите из дистрибутива или скопируйте из здоровой системы.

1 устройство каждый раз снова находится при запуске системы
2 файлы заменил - разницы никакой нет. Как между файлами по содержанию так и невозможности их запустить из шела. Так же пробовал cmd брать из 2003 сервера - тот же результат.
SP3 повторно накатить не удалось - система зависла в конце установке.

Похоже format c: - вот мой выбор..(( Похоже просто ZBotKiller или сам вирус с SP3 не очень совместимы и что-то теперь заглючило.

[size="1"][color="#666686"][B][I]Добавлено через 7 часов 17 минут[/I][/B][/color][/size]

Самое не понятное - почему переименованные файлы запускаются нормально ((
Как можно проверять имя файла во время запуска?
Прогнал еще запуск программ через regmon и filemon - тоже ничего нет ((

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]