Win32/Protector.C и Win32/Rootkit.Agent.NKB (ESET)

Система WXP SP2, антивирус ESET SS 4. При загрузке системы антивирус находит в ndis.sys Win32/Protector.C лечить не может. При запуске Оперы появляються 4 процесса svchost и грузят весь исходящий канал из-за чего не возможно пользоваться интернетом. При отключении процессов необходимо заново переподключать подключение к интернету. Процессы возникают только при использовании Оперы (v.10). Недавно появилсь новый (Win32/Rootkit.Agent.NKB) в файле tcpsr.sys, лечиться, но снова появляеться. Также в hosts был прописан какой-то сервер .pl к сожалению точного названия не помню.
Буду благодарный за помощь

[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\reader_s.exe','');
DeleteService('tcpsr');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\WsAudioDevice_383.sys','');
QuarantineFile('c:\windows\vmsnap26.exe','');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\Documents and Settings\Администратор\reader_s.exe');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('tcpsr');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][COLOR="Red"]Прислать запрошенные файлы[/COLOR][/B]" над первым сообщением темы).

[url="http://forum.kasperskyclub.ru/index.php?showtopic=7607"]Пофиксить в HJT[/url](строки могут отсутствовать):
[CODE]O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)
R3 - URLSearchHook: (no name) - - (no file)[/CODE]
Подготовьте новые логи.

Спасибо за быстрый ответ! Все сделал, svchost стало 3 вместо 4-х :) Я их закрываю, чтобы получить доступ к интернету

[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
QuarantineFile('C:\WINDOWS\system32\xmlparse.dll','');
QuarantineFile('C:\WINDOWS\system32\xmltok.dll','');
end.
[/code]
Пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой [B][COLOR="Red"]"Прислать запрошенные файлы" [/COLOR][/B]над первым сообщением темы).

Карантин отправил

[B]C:\WINDOWS\system32\Drivers\NDIS.sys[/B] заменить по этой методике [url]http://virusinfo.info/showthread.php?t=51654[/url] ([B]не из dllcache[/B])

К сожалению не удалось, уж простите, вроде бы все делал правильно. Пробовал несколько раз с дистрибутива через консоль востановления "Не удается создать файл ndis.sys 0 файлов распаковано"
Еще раньше пробовал утилитой ndis.repair.utility с вашего форума, файл изменился, размер уменьшился, но потом всеравно заразился, видимо.

Можно попробовать это: установите SP3 (может потребоваться активация) + все новые заплатки
Файл должен замениться

При установке пишет, что ndis.sys используэться другим приложением. Три svchost выключены :(

Кроме замены с консоли восстановления, в совете [url]http://virusinfo.info/showthread.php?t=51654[/url] было
[QUOTE]Если это невозможно - то с любого Live CD (BartPE, Knoppix)[/QUOTE]

Заменил ndis.sys, проблем пока не наблюдаеться. Спасибо большое

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]