Руткит и КейЛоггер

Доброго времени суток, товарищи!
Оговорюсь сразу, что логи были сделаны на заражённом компьютере удалённо, при помощи программы AMMYY_Admin(не имел возможности непосредственно заниматься с "больным"...).
Изначально на экране монитора появился рекламный баннер CMedia, требовавший отправки смс. Компьютер сильно тормозил, часто рвалось интернет-соединение.
В папке Application Data была обнаружена папка CMedia, после удаления которой баннер пропал. На компьютере был установлен NOD32, базы которого последний раз обновлялись несколько дней назад(до момента заражения). Но в запущенных процессах я его не обнаружил...
Проверка KidoKiller-ом ничего не дала. При экспрес-проверке Gmer-ом выявилась руткит-активность в процессе svchoost.exe. В AVZ был выполнен стандартный скрипт №1(Поиск и нейтрализация Rootkit/MalWare). После выполнения скрипта компьютер стал заметно меньше тормозить, интернет-соединение перестало рваться.
В процессе составления логов AVZ выявил и удалил "monitor.Win32.KeyLogger.ae". HijackThis выявил изменения в файле hosts(исправлю немного попозже). Владельцу компьютера сказал, чтобы сразу после лечения его компьютера(или с другой, незаражённой, машины изменил пароли на всех сервисах, на которые он заходил(Контакт, почта и т.д.)).
Пожалуйста, осмотрите логи и вынесите вердикт по данному делу:)

Здравствуйте,

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]:
[CODE]F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe inqk.hgo bulneyh
[/CODE]

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\svchost.exe');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\inqk.hgo','');
QuarantineFile('c:\windows\svchost.exe','');
QuarantineFile('c:\documents and settings\qwerty\Мои документы\Загрузки\ammyy_admin.exe','');
DeleteFile('c:\windows\svchost.exe');
DeleteFile('C:\WINDOWS\system32\inqk.hgo');
DeleteService('honynspws');
RegKeyResetSecurity('HKLM','SYSTEM\CurrentControlSet\Services\honynspws');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

[COLOR="Red"]Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.[/COLOR]

После перезагрузки:

- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL] приведенным скриптом.
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

Доброго времени суток!:)
Лог Гмер в данный момент делается(уж больно долго...) - выложу его чуть позже. Скрипт выполнил, в Хайджеке пофиксил. Карантин выслал:
Файл сохранён как: 091112_123736_2009-11-12_4afbd76077463.zip
Размер файла: 76753
MD5: f4e43058c8ac5ae848d4dad4304695cb
Bonjour на компьютере нет(как и АйТюнса). Временные папки очищены CCleaner.
Сейчас выкладываю логи AVZ и HiJackThis. Пожалуйста, посмотрите:

Добавляю лог Гмера:

Сохраните текст ниже как cleanup.bat в ту же папку, где находится GMER.exe (gmer)
[CODE]GMER.exe -del file "C:\WINDOWS\system32\enjfbwsu.dll"
GMER.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\honynspws"
GMER.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

Выполнил cleanup.bat. В процессе выполнения вылетела ошибка касаемо файла enjfbwsu.dll(скриншот прилагается). Сейчас буду делать новый лог Гмер.
А что с логами AVZ? Не нужно ли будет переделывать?

[QUOTE=Hamrad;507144]В процессе выполнения вылетела ошибка касаемо файла enjfbwsu.dll(скриншот прилагается). Сейчас буду делать новый лог Гмер.
[/QUOTE]Такое может быть, если файла нет, а запись в реестре осталась. Давайте новый лог гмер, других логов пока не надо.

И снова здравствуйте, товарищи!:)
Вот, посмотрите пожалуйста новый лог от Гмера:

Сохраните текст ниже как cleanup2.bat в ту же папку, где находится GMER.exe (gmer)
[CODE]GMER.exe -del file "C:\WINDOWS\system32\enjfbwsu.dll"
GMER.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\honynspws"
GMER.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\honynspws"
GMER.exe -reboot[/CODE]И запустите cleanup2.bat
Компьютер перезагрузится

Сделать новый лог gmer

cleanup2.bat выполнил. В процессе выполнения вылетела такая же ошибка касаемо enjfbwsu.dll(указанный модуль не найден)...
Новый лог сейчас делается.

Лог сделан... Посмотрите пожалуйста:

Чисто.

Но это прочтите и выполните [url]http://www.kaspersky.ru/support/wks6mp3/error?qid=208636215[/url]

Большое спасибо за помощь!8) Владелец компьютера подтверждает, что всё работает очень хорошо. Виндос постоянно обновляется; сегодня установлен DrWeb.
Тему можно закрывать:) Ещё раз спасибо:)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\svchost.exe - [B]Trojan.Win32.Buzus.cmda[/B] ( DrWEB: Trojan.Winlock.435, BitDefender: Trojan.Generic.2688968, AVAST4: Win32:VB-NPD [Drp] )[*] c:\windows\system32\inqk.hgo - [B]Backdoor.Win32.Bredavi.asu[/B] ( AVAST4: Win32:Oficla-D [Trj] )[/LIST][/LIST]