Поймал вирус usb_mgr.exe, Dr Web - CureIt его находит, удаляет, но затем он восстанавливается.

Не так давно заметил, что браузер странно работает (страницы перестают грузится, как будто ктото нажимает на стоп через мгновение после того, как я нажал перейти). При этом торрент-программа работает нормально, значит с соединением всё в порядке.
Открыл дсипетчер задач - увидел подозрительный процесс usb_mgr.exe, после выключения которого работа нормализовалась.
Я сделал вывод что это вирус и проверил компьютер на вирусы в безопасном режиме Dr Web - CureIt, который определил этот файл (usb_mgr.exe, лежащий в C:\Windows\) а также файл ms07.exe (в папке С:\Wndows\system32) как вирусные, с одинаковым названием вируса (Trojan.MulDrop.32672 впрочем Касперский его назвал както по другому Trojan.Agent. или нечто в этом роде)
Эти файлы были удалены, однако впоследствии восстановились и так продолжалось после каждого их удаления.
Также файл usb_mgr.exe оказывается постоянно прописанным в автозапуск в реестре (HKEY_LM)

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
DelCLSID('3B818B63-1E0F-602F-0308-050407080101');
QuarantineFile('C:\WINDOWS\system32\windows','');
DelBHO('{B863453A-26C3-4e1f-A54D-A2CD196348E9}');
DelBHO('{ED4BD629-C1B6-4399-8A34-02CCAA921DC9}');
DelBHO('{8126A4A5-BFD3-46FE-BBDF-BFB5CF78E489}');
DelBHO('{4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C}');
DelBHO('{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}');
QuarantineFile('C:\WINDOWS\usb_mgr.exe','');
DeleteFile('C:\WINDOWS\usb_mgr.exe');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
DeleteFile('C:\WINDOWS\system32\windows');
DeleteFile('usb_mgr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=50395[/url]

3. Повторите логи.

Скрипт выполнил, Карантин отправил, вот повтор логов.

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\mrmngr.exe','');
TerminateProcessByName('c:\windows\mrmngr.exe');
DeleteFile('c:\windows\mrmngr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=50395[/url]

3. Повторите лог [B]virusinfo_syscheck.[/B]

Сделано...
Кстати, теперь в автозагрузке помимо usb_mgr.exe ещё и mrmngr.exe
В процессах так же стал появляться подозрительный "ms08nx.exe" (проверил CureIT - определил его так же как и файлы из первых постов - Trojan.MulDrop.32672)

Очистите временные файлы, кеш браузера, сделайте полную проверку компьютера с помощью AVPTool и повторите логи...

Временные файлы почистил, кэш почистил, AVPtool посканил (нашёл и удалил вышеописанные файлы, но наверн это опять не на долго)
Вот логи )

В логах ничего плохого. Ставьте SP3 и последующие обновления, иначе действительно не надолго.

Ну даже если в логах ничего и нет, но всеравно процессы mrmngr.exe и usb_mgr.exe (как и соответсвующие им ms08nx.exe и ms07.exe) восстанавливаются в системных папках и появляются в списке процессов - то один то другой и пока их не завершить браузеры работают так, как я описал в первом посте.
Все эти файлы определяются как "Trojan.Win32.Agent.cqun" средствами Касперского и как "Trojan.MulDrop.32672" средствами Доктора Веба.

Хм... СП3 действительно надо бы поставить...

Их с большой вероятностью впихивают снаружи через дырки в системе. Ставьте обновления.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\mrmngr.exe - [B]Backdoor.Win32.IRCBot.lgq[/B] ( DrWEB: Trojan.MulDrop.32672 )[*] c:\windows\usb_mgr.exe - [B]Trojan.Win32.Agent.cqun[/B][/LIST][/LIST]