не удалось удалить win32/rustock

Добрый вечер!!!
Проблема возникла вчера, при попытке загрузить windows, компьютер перезагружается... и так каждый раз. Поставил диск c livecd, помогло зашел в систему, антивирус сразу обнаружил 23 трояна, 22 были удалены один win32\rustock удалить не возможно... загрузился в безопасном режиме и проверился curetit, удалились еще 2 трояна, но и это не помогло, после загрузки в обычном режиме, антивирус снова нашел win32\rustock удалить не возможно...

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\Temp\930.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe','');
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isee.exe','');
QuarantineFile('c:\Temp\416.exe,c:\Temp\365.exe,c:\Temp\930.exe,c:\Temp\271.exe,c:\Temp\180.exe,C:\Documents and Settings\User\Application Data\cift.exe,C:\Documents and Settings\User\csrss.exe,c:\Temp\3856980.exe,explorer.exe,c:\Temp\545.exe','');
QuarantineFile('c:\Temp\416.exe','');
QuarantineFile('c:\Temp\365.exe','');
QuarantineFile('c:\Temp\930.exe','');
QuarantineFile('c:\Temp\271.exe,','');
QuarantineFile('c:\Temp\180.exe','');
QuarantineFile('C:\Documents and Settings\User\Application Data\cift.exe','');
QuarantineFile('C:\Documents and Settings\User\csrss.exe','');
QuarantineFile('c:\Temp\3856980.exe','');
QuarantineFile('c:\Temp\545.exe','');
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\Temp\930.exe','');
QuarantineFile('c:\Temp\feikd.sys','');
QuarantineFile('c:\Temp\mfmejcwg.sys','');
QuarantineFile('xjwdetvksv.sys','');
QuarantineFile('C:\WINDOWS\system32\02.tmp','');
QuarantineFile('c:\Temp\swscebpwqtmjbed.sys','');
QuarantineFile('c:\Temp\hxjfhh.sys','');
QuarantineFile('c:\Temp\djqmnnhlhkhvk.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
QuarantineFile('c:\Temp\teccwdt.sys','');
QuarantineFile('c:\Temp\lgxxhuuct.sys','');
QuarantineFile('c:\Temp\qeoolabxvncsh.sys','');
QuarantineFile('c:\Temp\gdhdrfewsp.sys','');
QuarantineFile('c:\Temp\prhumqyyzh.sys','');
QuarantineFile('c:\Temp\nvmghkffjatbye.sys','');
QuarantineFile('c:\Temp\vauobrexraegh.sys','');
QuarantineFile('c:\Temp\paqyyokdqtgc.sys','');
QuarantineFile('c:\Temp\jvtxps.sys','');
QuarantineFile('c:\Temp\seiqjsrzrituqrp.sys','');
QuarantineFile('c:\Temp\ldofupl.sys','');
DeleteFile('c:\Temp\ldofupl.sys');
DeleteFile('c:\Temp\seiqjsrzrituqrp.sys');
DeleteFile('c:\Temp\jvtxps.sys');
DeleteFile('c:\Temp\paqyyokdqtgc.sys');
DeleteFile('c:\Temp\nvmghkffjatbye.sys');
DeleteFile('c:\Temp\prhumqyyzh.sys');
DeleteFile('c:\Temp\gdhdrfewsp.sys');
DeleteFile('c:\Temp\qeoolabxvncsh.sys');
DeleteFile('c:\Temp\lgxxhuuct.sys');
DeleteFile('c:\Temp\teccwdt.sys');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('c:\Temp\djqmnnhlhkhvk.sys');
DeleteFile('c:\Temp\hxjfhh.sys');
DeleteFile('c:\Temp\swscebpwqtmjbed.sys');
DeleteFile('C:\WINDOWS\system32\02.tmp');
DeleteFile('xjwdetvksv.sys');
DeleteFile('c:\Temp\mfmejcwg.sys');
DeleteFile('c:\Temp\feikd.sys');
DeleteFile('c:\Temp\930.exe');
DeleteFile('c:\windows\system32\wuaucldt.exe');
DeleteFile('c:\Temp\416.exe,c:\Temp\365.exe,c:\Temp\930.exe,c:\Temp\271.exe,c:\Temp\180.exe,C:\Documents and Settings\User\Application Data\cift.exe,C:\Documents and Settings\User\csrss.exe,c:\Temp\3856980.exe,explorer.exe,c:\Temp\545.exe');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isee.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe');
DeleteFile('c:\Temp\930.exe');
DeleteFile('c:\Temp\416.exe');
DeleteFile('c:\Temp\365.exe');
DeleteFile('c:\Temp\930.exe');
DeleteFile('c:\Temp\271.exe,');
DeleteFile('c:\Temp\180.exe');
DeleteFile('C:\Documents and Settings\User\Application Data\cift.exe');
DeleteFile('C:\Documents and Settings\User\csrss.exe');
DeleteFile('c:\Temp\3856980.exe');
DeleteFile('c:\Temp\545.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-81C01C608512}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
DeleteService('ynyerpadrh');
DeleteService('yldkocnvngczh');
DeleteService('xjwdetvksv');
DeleteService('wsbfaj');
DeleteService('wbynkhylua');
DeleteService('vvtwkazsgbzt');
DeleteService('rynhuqaimtooyhn');
DeleteService('protect');
DeleteService('ocdpgyuoq');
DeleteService('jisehgfcletupls');
DeleteService('hdlymwf');
DeleteService('gwwgnkmuuwy');
DeleteService('gdkindn');
DeleteService('fcqeprnjsvt');
DeleteService('fajdchuc');
DeleteService('eycbzhyqjrp');
DeleteService('ddjurtna');
DeleteService('czbdnnaxxqo');
DeleteService('ctbvyrhjxdarsbm');
DeleteService('aqxjt');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

вот новые логи

Пофиксите в HiJack
[code]O20 - AppInit_DLLs: 0[/code]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\drivers\zrwctjbs.sys
c:\windows\system32\drivers\tscrnebz.sys
c:\windows\system32\drivers\nqcbopdv.sys
c:\windows\system32\drivers\zjzomdum.sys
c:\windows\system32\drivers\nlwqdtnq.sys
c:\windows\system32\drivers\iumzemun.sys
c:\windows\system32\drivers\rthnsbtf.sys
c:\windows\system32\drivers\xfiuhcwe.sys
c:\windows\system32\drivers\bgafzrwt.sys
c:\temp\vauobrexraegh.sys
c:\windows\system32\vkokok.dll

Driver::
eycbzhyqjrp
ynuxaj
pyscri

NetSvc::
ynuxaj
pyscri

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4237:TCP"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

новый лог

Какой-то оборванный лог ComboFix

Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

новый лог

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите найденное в МВАМ[/URL]

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

новый лог

лог старый, новый сделайте

новый лог

Чисто

Спасибо Вам огромное за помощь!!!
Хотел еще уточнить, в ходе работы, была установлена консоль восстановления, вопрос, можно ли ее удалить и нужно ли ее удалять...?

Она должна удалиться при удалении ComboFix

ComboFix был удален, так, как написано выше... но при старте системы, на пару секунд появляется вариант выбора запустить с консоли восстановления или обычный вариант... это можно как-то убрать или пусть остается, собственно оно не мешает, но все же хотелось узнать...)

Удалите строку
[QUOTE]c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons[/QUOTE]из файла boot.ini

Проблема в том, что файла boot.ini нет, и в скрытых тоже нет(...

на диске С: есть только файл boot.bak, boot.ini.comodofirewall, cmldr

Содержимое [QUOTE='nikemax;660808']boot.bak[/QUOTE] в сообщении выложите

ВОТ

Переименуйте в boot.ini