Не могу найти где засел зверёк. svchost шлёт спам и просится на 94.75.207.188 на 443 порт

cureit и nod4 не находят ничего, кроме периодически подгружаемых знакомых им вирусов
один из периодически прибиваемых нодом - "variant of Win32/Wigon.KT"
вот тут подозрение есть
O4 - HKLM\..\Run: [15329844] C:\Documents and Settings\All Users\Application Data\15329844\15329844.exe
O4 - HKLM\..\Run: [95339836] C:\Documents and Settings\All Users\Application Data\95339836\95339836.exe
но ниодин антивирус ничего в них не находит
при этом через svchost идёт рассылка спама по куче серверов
также svchost постоянно пытается подключиться к 94.75.207.188 на 443 порт (видимо запросить указания для себя лезет)
как-бы вылечить данную гадость

[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]!!!
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\administrator\administrator.exe');
QuarantineFile('C:\WINDOWS\systools\routerest.bat','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\95339836\95339836.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\15329844\15329844.exe','');
QuarantineFile('C:\Documents and Settings\Administrator\Administrator.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\TDIMSYS.SYS','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ip_fw.sys','');
QuarantineFile('c:\program files\rss popper oe\rsspopperoe.exe','');
QuarantineFile('c:\documents and settings\administrator\administrator.exe','');
DeleteFile('C:\Documents and Settings\Administrator\Administrator.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\15329844\15329844.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\95339836\95339836.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Очистите временные папки интернета.
Сделайте новые логи по правилам - [B]virusinfo_syscheck.zip[/B], [B]virusinfo_syscure.zip[/B] и [B]hijackthis.log[/B]

ip_fw.sys и routerest.bat - файлы файрвола, их исключил из карантина
все остальное приложено к теме

Зря. Они бы пополнили базу чистых файлов, а удалять их никто и не собирался.

[QUOTE=PavelA;429154]Зря. Они бы пополнили базу чистых файлов, а удалять их никто и не собирался.[/QUOTE]
отписал в ПМ адрес, откуда можно забрать файлец отдельно

вроде после вышеописаных манипуляций активности зверя не наблюдается.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\administrator\administrator.exe - [B]Backdoor.Win32.HareBot.ec[/B] ( DrWEB: Trojan.DownLoad.40159, BitDefender: Trojan.Downloader.JMDY )[/LIST][/LIST]