Smitfrand-c, Zlob.homepagemonitor и Vcodec.intcodec в одном флаконе

И дня непрошло как избавился от рассылки руткитом, как новая напасть. СпайБот детектирует Smitfrand-c, Zlob.homepagemonitor и Vcodec.intcodec, успешно лечит. После перезагрузки компа проверяешь спайботом - сначала всё оК, но через пару минут вирус обнаруживает себя. Появляются якобы системные окошки (System Protection Center, Installing Updates) об обнаружении spywere и предложением даунлодить их ПО. Проявление вируса можно купировать удалив прцесс svcost.exe, инициированный от имени пользователя, забирающий до 90% ресурса процессора. Всего видно 6-8 процессов с таким именем, запущенных пользователем, SYSTEM, LOCAL SERVICE, NETWORK SERVICE. Куре от ДрВеб, АВЗ ни чего не находят, даже если ткнуть в экзешник с гадостью. В АВЗ ток срабатывает эвристика на название vxgame*.exe. Логи аттачу.

1. Пришлите согласно правилам файлы:
c:\windows\system32\msmapi32.exe
c:\program files\rsprint\printmon.exe
C:\WINDOWS\system32\intr32.dll
C:\WINDOWS\system32\cpadvai.dll
C:\Program Files\Sable\WINNT\startnt.bat
C:\WINDOWS\system32\3339_32.dll
C:\WINDOWS\system32\ipv6mons.dll
C:\Program Files\expektMPP\MPPoker.exe
C:\Program Files\Windows XT\Party\PartyPoker.exe
C:\WINDOWS\System32\ventmon.dll
C:\WINDOWS\system32\vxgame*.exe

2. Базы AVZ не обновлены - может быть, он уже ловит обитающую на компьютере заразу

3. Необходимо почистить файл HOSTS

Отправил.
-Ещё добавил VXH8JKD*.exe - они создаются вместе с vxgame*.exe и на них ругается СпайБот: Smitfrand-c
-C:\WINDOWS\system32\cpadvai.dll был удален кем-то ещё во время борьбы с руткитом, на его отсутствие при загрузке один раз ругался msmsgs.exe
-ipv6mons.dll удалён давно, Куре распознал в нём Troyan.PWS.Tanspy
-C:\Program Files\expektMPP\MPPoker.exe в калоге нет
-C:\Program Files\Windows XT\Party\PartyPoker.exe уже успел снести вместе с кталогом

Извиняюсь, C:\Program Files\expektMPP\MPPoker.exe, этот есть, отправил
-C:\Program Files\Sable\WINNT\startnt.bat - вроде кряк, давно стоящий
-C:\WINDOWS\system32\3339_32.dll вроде тоже удалял в период борьбы с руткитом [url]http://www.virusinfo.info/showthread.php?t=6476[/url], там куча завирусованных файлов была создана с 17-20 до 17-30 11.10.06, я все созданные в это время и удалил

[quote=Зайцев Олег]13. Необходимо почистить файл HOSTS[/quote]

Как?
Есть :
hosts.inc и hostsD.inc в C:\Documents and Settings\Слава\Local Settings\Temp\CRY2EDC.tmp

hosts.inc и hostsD.inc в C:\Documents and Settings\Слава\Local Settings\Temp\CRYAE3.tmp

hosts.inc и hostsD.inc в C:\Documents and Settings\Слава\Local Settings\Temp\CRY2EDC.tmp\Active.zip

hosts.inc и hostsD.inc в C:\Documents and Settings\Слава\Local Settings\Temp\CRYAE3.tmp\Active.zip

hosts в C:\WINDOWS\system32\drivers\etc

hosts.ics в C:\WINDOWS\system32\drivers\etc

lmhosts в C:\WINDOWS\system32\drivers\etc

C:\WINDOWS\system32\drivers\etc
Вот об этом файле речь.
В норме там должны быть строки начинающеся с #. Это просто текстовый комментарий. И всего одна строка по делу:
127.0.0.1 localhost

Всякие другие строки или сам юзер пишет по своему желанию, или "зверьки" прописывают.
Если есть строки, прописанные "зверьками", то стереть их.

Файл смотреть и править можно любым текстовым редактором. Блокнот вполне подойдёт.

Палыч
Там столько всего понаписано.... Сделал копию файла и оставил с одной описанной вами строкой.

Вот логи после обновлённого AVZ, кстати cpadvai.dll теперь виден. Может отослать?

[quote=mostor]Вот логи после обновлённого AVZ, кстати cpadvai.dll теперь виден. Может отослать?[/quote]
конечно же отослать

[QUOTE=mostor]Вот логи после обновлённого AVZ, кстати cpadvai.dll теперь виден. Может отослать?[/QUOTE]
Да, пришлите
C:\WINDOWS\system32\cpadvai.dll
и эти тоже:
c:\program files\google\googletoolbar1.dll
C:\WINDOWS\system32\win_f.dll