CSRCS.exe и блокировка системы

Добрый день.
Завелся на моей машине товарищ по имени csrcs.exe, к нему прибавилось чудесное окно на синем фоне. "В целях предотвращения оборота пиратских копий ОС вам необходимо отправить смс (39$), для подтверждения валидности. В противном случае через 24 часа система будет заблокирована"
AVP tool в процессе проверки изгнал с машины ряд троянов. В том числе
//Windows/system32/csrcs.exe зараженный packed.win32.Klone.bj и какой-то файл из application data с той же заразой. Про csrcs.exe AVP заявил, что файл будет удален при следующем запуске системы. Но после перезагрузки фаервол снова пресек попытку доступа к интернет от данного файла.
Жду помощи в решении проблемы.
Заранее благодарен.

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('\systemroot\system32\drivers\rotscxiqjtphex.sys','');
QuarantineFile('c:\windows\system32\csrcs.exe','');
TerminateProcessByName('c:\windows\system32\csrcs.exe');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('\systemroot\system32\drivers\rotscxiqjtphex.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=55257[/url]

3. Повторите лог [B]virusinfo_syscheck.[/B]

Вот лог. Карантин вроде тоже отправлен.
P.S csrcs.exe вроде нет в процессах. пока нет...

Такой лог сделайте [url]http://virusinfo.info/showthread.php?t=40118[/url]

Пожалуйста.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\rotscxiqjtphex.sys','');
DeleteFile('c:\windows\system32\drivers\rotscxiqjtphex.sys');
QuarantineFile('c:\windows\system32\rotscxtlidiesd.dll','');
DeleteFile('c:\windows\system32\rotscxtlidiesd.dll');
QuarantineFile('c:\windows\system32\rotscxprnjspmy.dll','');
DeleteFile('c:\windows\system32\rotscxprnjspmy.dll');
QuarantineFile('c:\windows\system32\rotscxxmklrqvu.dll','');
DeleteFile('c:\windows\system32\rotscxxmklrqvu.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe (gmer)
[CODE]gmer.exe -del service rotscxcvkbwwos
gmer.exe -del file "c:\windows\system32\drivers\rotscxiqjtphex.sys"
gmer.exe -del file "c:\windows\system32\rotscxtlidiesd.dll"
gmer.exe -del file "c:\windows\system32\rotscxucfqpatm.dat"
gmer.exe -del file "c:\windows\system32\rotscxprnjspmy.dll"
gmer.exe -del file "c:\windows\system32\rotscxrerxckdf.dat"
gmer.exe -del file "c:\windows\system32\rotscxxmklrqvu.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rotscxcvkbwwos"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rotscxcvkbwwos"
gmer.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

Карантин отправил. Логи вот.

В этом логе чисто, что с проблемой?

Как и говорилось ранее, csrcs.exe больше не появляется.
Окно с вымагательством денег видел единожды, перед обращением к Вам.
Вроде все спокойно, на первый взгляд. Руткит-то этот живучий что делал? На что обратить внимание?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\csrcs.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.10194 )[*] c:\windows\system32\drivers\rotscxiqjtphex.sys - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: BackDoor.Tdss.512, AVAST4: Win32:Alureon-CY [Rtk] )[*] c:\windows\system32\rotscxprnjspmy.dll - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: Trojan.Packed.2788, BitDefender: Backdoor.Generic.211785, AVAST4: Win32:Alureon-CY [Rtk] )[*] c:\windows\system32\rotscxtlidiesd.dll - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: Trojan.Packed.2788, BitDefender: Backdoor.Generic.211794, AVAST4: Win32:Alureon-CY [Rtk] )[*] c:\windows\system32\rotscxxmklrqvu.dll - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: BackDoor.Tdss.based.1, BitDefender: Trojan.Generic.2438994, NOD32: Win32/Olmarik.MF trojan, AVAST4: Win32:Alureon-DA [Rtk] )[/LIST][/LIST]