Не могу обнаружить троян отрубающий инет + звери в C:\WINDOWS\system32\i

Здравствуйте, проблема в следующем, поймал заразу.
Симптомы: Выбивает ошибку [B]General Host Process for Win32 Services[/B], с последующим вылетанием Инета (pppoe) и вырубанием\искривлением Windows Blinds (Возможно и просто темы), после ручного подключения к инету, отказывается пинговать внешку, хотя подключение происходит нормально.
Так же нашел пачку зверей [B]C:\WINDOWS\system32\i[/B], антивирусом убиваются но самовостонавливаются.
Просканил AVP8 почистил все что можно проблема осталась, последний CureIt в безопасном режиме ничего не находит.
Файлы логов прилагаются, если что не так сильно не судите, первый пост на вашем форуме.

3 Сутки уже бьюсь с ним... =(

[FONT=Verdana]Закройте[/FONT][FONT=Verdana]/[/FONT][FONT=Verdana]выгрузите[/FONT][FONT=Verdana] [/FONT][FONT=Verdana]все[/FONT][FONT=Verdana] [/FONT][FONT=Verdana]программы[/FONT][FONT=Verdana] [/FONT][FONT=Verdana]кроме[/FONT][FONT=Verdana] AVZ .[/FONT]
[FONT=Verdana]Отключите:[/FONT]
[FONT=Verdana]- ПК от интернета/локалки;[/FONT]
[FONT=Verdana]- антивирус и файрвол.;[/FONT]
[FONT=Verdana]- восстановление системы;[/FONT]
[FONT=Verdana]- выполните скрипт[/FONT]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\FYDDOS.dll','');
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
DeleteFile('C:\WINDOWS\System32\FYDDOS.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\W32Time\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[FONT=Verdana]Компьютер перезагрузится[/FONT]
[FONT=Verdana]После выполнить:[/FONT]
[FONT=Verdana]- включите антивирус и файрволл[/FONT]
[FONT=Verdana]- подключите ПК к интернету/локалке[/FONT]
[FONT=Verdana]- закачайте карантин по ссылке [B][U][COLOR=red]Прислать запрошенный карантин [/COLOR][/U][/B]в шапке Вашей темы (Приложение 3 правил).[/FONT][FONT=Verdana][/FONT]
[FONT=Verdana] [/FONT][FONT=Verdana]Повторите действия, описанные в п. 2 Диагностики и новые логи прикрепите к новому сообщению[/FONT]

Готово

В логах чисто, что с проблемой?
Файл hots сами правили? Если нет, то выполните такой скрипт
[CODE]begin
Executerepair(13);
RebootWindows(false);
end.
[/CODE]
Компьютер перезагрузится
Рекомендую обновить Windows XP SP2 до Windows XP SP3, возможно потребуется активация, а также Internet Explorer v6.00 до Internet Explorer v8.00

[QUOTE=shapel;496653]В логах чисто, что с проблемой?
Файл hots сами правили? Если нет, то выполните такой скрипт
Рекомендую обновить Windows XP SP2 до Windows XP SP3, возможно потребуется активация, а также Internet Explorer v6.00 до Internet Explorer v8.00[/QUOTE]
В[B] C:\WINDOWS\system32\i[/B] чисто теперь, но проблема с ошибкой [B]General Host Process for Win32 Services [/B]и последующим выбиванием инета осталась, при пинге пишет [B]заданный узел не доступен [/B]пингую ip а не dns-имя.
Хосты правил сам, но перепроверю, на наличие подозрительных записей.
Обновиться попробую вечером, если повезет вытянуть апдейтер.

[size="1"][color="#666686"][B][I]Добавлено через 9 часов 44 минуты[/I][/B][/color][/size]

Вернулся домой,а в [B]C:\WINDOWS\system32\i[/B] опять они были, kav все вычистил, кроме батника [B]d.bat[/B]
[CODE]for %%i in (*.exe) do start %%i[/CODE]
В
[B]C:\WINDOWS\system32\drivers[/B]
Есть файлы с последним изменением сегодняшним числом, это нормально?
ujm2mjcx.sys
utm2mjcx.sys
fidbox2.dat
fidbox2.idx
fidbox.dat
fidbox.idx

Сегодня всю ночь собираюсь дома ковыряться, так что буду рад любым советам.

[QUOTE=alidml;496655]проблема с ошибкой [B]General Host Process for Win32 Services [/B]и последующим выбиванием инета осталась[/QUOTE]
Ну дык:
[code]Platform: Windows XP SP2 (WinNT 5.01.2600)[/code]
SP3 + все последующие заплатки безопасности с большой верятностью спасут отца русской демократии.

Делайте новые логи

[QUOTE=shapel;497001]Делайте новые логи[/QUOTE]
Как раз этим и занимался.

В hosts чисто.

[QUOTE=pig;497000]Ну дык:
[code]Platform: Windows XP SP2 (WinNT 5.01.2600)[/code]SP3 + все последующие заплатки безопасности с большой верятностью спасут отца русской демократии.[/QUOTE]
Выкачиваю, теперь еще лекарство искать придется =(

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ltdrunsrv.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин

[QUOTE=shapel;497058]Выполните скрипт
Пришлите карантин[/QUOTE]
Если получиться, после прошлых логов и перезагрузки трояны все таки поднавернули avp
[IMG]http://virusinfo.info/attachment.php?attachmentid=173819&stc=1&d=1256926145[/IMG]
Вроде убиваются, но в инет с того компа я больше не пойду...

p.s 40% sp3 стянул

Карантин закачал

Карантин пуст, еще раз выполните скрипт надо проверить эту ltdrunsrv.dll

[QUOTE=shapel;497117]Карантин пуст, еще раз выполните скрипт надо проверить эту ltdrunsrv.dll[/QUOTE]
Повторил скрипт и залил карантин.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

SP3 докачал и заливаю на комп, апдейтиться можно? )

Итак, карантин успешный, новый зловред!
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\LtdSrv\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\ltdrunsrv.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE] [FONT=Verdana, sans-serif][SIZE=2]Компьютер перезагрузится[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению[/SIZE][/FONT]

[QUOTE=shapel;497233]Итак, карантин успешный, новый зловред!
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\LtdSrv\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\ltdrunsrv.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE] [FONT=Verdana, sans-serif][SIZE=2]Компьютер перезагрузится[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению[/SIZE][/FONT][/QUOTE]

За это время проапдейтился до SP3 и IE8

Скрипт выполняться не хочет, пишет: [B]Too many actual parameters в позиции 5:12[/B]

Сейчас вообще все еще страшней, только подключаю инет и звери начинают лезть, в диспетчере задач примерно как на том скрине, что я выкладывал выше =(
Это при включенном kav8 и уже на sp3.

Модифицируете скрипт?

Скрипт поправлен

Выполнился вот так:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\LtdSrv\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\ltdrunsrv.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повис на моменте перезагрузки, когда уже отключился диспетчер задач, и остался только фон рабочего стола, пришлось резетить, так же рядом в [B]C:\WINDOWS\system32\[/B] есть [B]ltdlogsrv.dll[/B] с похожим временем последнего изменения.

Догрузился.
Логи сейчас сделаю.

Ок. Сделайте новые логи и прикрепите к новому сообщению

Готово, гадостей при подключении инета нету, да и проактивная касперского вроде нормально заработала, что в логах?