Бесконтрольное размножение cmd.exe

Доброго времени суток, уважаемые! Проблема известная, но её решение для меня оказалось затруднительно. В течение работы идёт неторопливое размножение процесса cmd.exe, под предводительством, как я понимаю, services.exe. Последний настойчиво отмахивается от меня табличкой "Я - критический системный процесс" и удаляться отказывается наотрез. Вдобавок я наблюдаю подозрительный процесс mshta.exe который тоже, кажется, намерен приступить к размножению. Проверки мне ничего не дали, в арсенале Spybot и Eset Smart Security, также известный как NOD-четвёрка. Вирусные базы актуальны. AVZ и Kaspersky virus removal tool также показали отрицательный результат. Очень хочется избавиться от гадости, поскольку комп по прошествии времени переходит в эстонский режим, хоть педали для ускорения прикручивай.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\bwLYzf.exe','');
QuarantineFile('c:\o1UBHgN.exe','');
DeleteService('ITGrdEngine');
QuarantineFile('C:\Documents and Settings\\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\Local Settings\Application Data\Microsoft\Windows\services.exe','');
DeleteService('Wyyo Service');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Wyyo\wyyo133.exe','');
QuarantineFile('c:\program files\tom reader russian\tom.exe','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Wyyo\wyyo133.exe');
DeleteFile('C:\Documents and Settings\\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\Local Settings\Application Data\Microsoft\Windows\services.exe');
DeleteFile('c:\o1UBHgN.exe');
DeleteFile('c:\bwLYzf.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]

2.Повторить логи

Закарантинился только Томридер - читалка. Давно им пользуюсь, выслал. Попыток запуска скрипта было две - в нормальном и в безопасном режимах. Второй раз в безопасном, последние логи прилагаю.

Пофиксить в HiJack
[code] O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [Msn] c:\ymiW.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [MsnMessendger] c:\ymiW.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [Msn] c:\ymiW.exe (User 'Default user') [/code]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Microsoft\Windows\services.exe','');
QuarantineFile('C:\WINDOWS\system32\lsass.exe','');
DeleteService('ITGrdEngine');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Microsoft\Windows\services.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Ситуация не слишком поменялась... Что-то генерит у меня в корне диска С: кучу разноимённых *.bat и *.exe, вкупе с редкими текстовиками, и экзешником забивает задачи. Помимо логов прикрепляю архив с текстовиком и содержимым "батов" в текстовом формате, я им просто добавил расширение, чтобы было понятно, кто раньше был "батом". Экзешник в блокноте даёт абракадабру, один из них закарантинил вручную, отсылаю карантин с пятью файлами - 4 после выполнения скрипта, один добавлен вручную, тот, что updX.exe. Вы его наверняка увидите в логах, у меня пол-диспетчера задач в них. Склоняюсь к необходимости мощнейшего антивируса всех времён и народов - форматирования низкого уровня.

Сделайте логи [URL="http://www.drpbk.dp.ua/cure/mf/game.pif"]этой версией AVZ[/URL]

Пожалуйста.

Проведите курс лечения от файловых вирусов, см. ссылку в подписи.

Ну, что-то задавил. Тем не менее, безобразия продолжаются. Логи прилагаю. Кстати, старые потёр, чтобы освободить место во вложениях.

Удалите АдАваре.
АВЗ/Сервис/ Диспетчер hosts - файла. Удалите ВСЕ строчки после строчки
[QUOTE]127.0.0.1 localhost[/QUOTE]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

[CODE]O4 - HKLM\..\Run: [lsass] C:\WINDOWS\system32\lsass.exe
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [MsnHost] c:\FESTzT8.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [MsnMessendger] c:\FESTzT8.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [MsnHost] c:\FESTzT8.exe (User 'Default user')
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\sae.exe');
QuarantineFile('c:\sae.exe','');
QuarantineFile('c:\FESTzT8.exe','');
DeleteFile('c:\FESTzT8.exe');
DeleteFile('c:\sae.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Спасибо, друзья, я бы с радостью помог бы собрать сведения о моей гадости, но утром мне будет необходим вменяемый комп. Закарантинивание файлов из корневого каталога мало что даёт, поскольку после пяти-шести запусков вирь генерит новый файл с новым именем. Главный файл вируса мне до сих пор неясен.
Спасибо большое всем, кто помогал, я рассказал вам всё, что мне удалось выяснить, возможно, это кому-то поможет в дальшейшем. Запускаю формат, и да погибнут все вирусы в страшных мучениях! Я думаю, так будет проще.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 9 минут[/I][/B][/color][/size]

Формат - всему голова. Тишь и гладь. Ещё раз благодарю!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\udpx.exe - [B]not-a-virus:AdWare.Win32.CashOn.ea[/B] ( DrWEB: Trojan.Click.25991, BitDefender: Trojan.Generic.1851253 )[/LIST][/LIST]