Падает служба "Брандмауэр Windows"

При попытке повторного ручного запуска пишет, что "Не удалось запустить службу. Ошибка 5: отказано в доступе", хотя запуск ведется из-под административной учетной записи :?
В журнале событий пишется следующее:
[CODE]
Ошибка приложения svchost.exe, версия 5.1.2600.2180,
модуль netapi32.dll, версия 5.1.2600.2756, адрес 0x0000a510.
[/CODE]
Win XP SP2

[url]http://virusinfo.info/showthread.php?t=1235[/url]

Ой, прошу прощения... вот логи.

Пришлите virusinfo_cure.zip по ссылке [url=http://virusinfo.info/upload_virus.php?tid=8477]Прислать запрошенные файлы[/url].
И для начала пофиксите в HijackThis:
[code]O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - [url]http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab[/url][/code]

Пофиксил. Файл прислал

C:\WINDOWS\system32\rsvp32_2.dll - Trojan.Spambot (Dr.Web). Как и предполагалось.

AVZ - Файл - Выполнить скрипт:
[code]begin
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\rsvp32_2.dll');
ExecuteSysClean;
ExecuteRepair(14);
RebootWindows(true);
end.[/code]

Будет перезагрузка. Возможно, пропадёт интернет. Если это случится, впыолнить такой скрипт:
[code]begin
ExecuteRepair(14);
RebootWindows(true);
end.[/code]
Если интернета по-прежнему не будет, выполнить этот скрипт:
[code]begin
ExecuteRepair(15);
RebootWindows(true);
end.[/code]

Потом сделайте новые логи.

Скрипт выполнил. Файл успешно удален, причем обошлось без пропадания интернета. Во всяком случае, C:\WINDOWS\system32\rsvp32_2.dll не существует.

Пара вопросов - у меня Dr Web 4.33 и сканер Spider, но почему-то эту гадость пропустил. Наверно, из-за настроек. Подскажите плиз, как его настроить, чтоб систему не очень тормозил, но и чтобы отлавливал вири? И еще - AVZ в виде резидентного сканера имеет смысл использовать?

Похоже новые гости :
[code]
begin
QuarantineFile('C:\WINDOWS\system32\browsemu.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\flwzx.dll','');
end.
[/code]
Пришлите, посмотрим .
насчёт дрвеб, ступайте в тему по нему . насчёт авз - это не предоставляется возможным.

C:\WINDOWS\system32\browsemu.dll не добавляется в карантин. Пишет следующее:
[CODE]Ошибка карантина файла "C:\WINDOWS\system32\browsemu.dll", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "C:\WINDOWS\system32\browsemu.dll", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Выполнен карантин файла C:\WINDOWS\SYSTEM32\flwzx.dll[/CODE]
Поэтому прислал только один файл

эх , хотел без перезагрузки , не получиться :(
а если так?
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\browsemu.dll','');
RebootWindows(true);
end.
[/code]
если не получиться попробуйте в ручную, хоть из safe mode :) запоролив конечно с паролем virus и прислать.

Все то же. Даже из safe mode (без поддержки сетевых подключений). Более того, в system32 этого файла нет, в настройках папки стоит "показывать все файлы"! На всякий случай сделал поиск по всему каталогу Windows (поиск везде, и в скрытых, и в системных), нету этого файла.
Ща запущу проверку Dr. Web - пока писал этот пост, вылезло предупреждений 10 от Spydera, что вирус BackDoor.Generic.1138 сидит в "Моих документах"

C:\WINDOWS\SYSTEM32\flwzx.dll --> Здравствуйте.

В присланном Вами файле обнаружено новое вредоносное программное обеспечение.
Backdoor.Win32.Agent.akp
Его детектирование будет включено в очередное обновление антивирусных баз.
Благодарим за оказанную помощь.
---------
С уважением, Гаврильченко Роман
Вирусный аналитик
ЗАО "Лаборатория Касперского"
Выполнить:
[code]begin
SetAVZGuardStatus(True);
BC_QrFile('C:\WINDOWS\system32\browsemu.dll');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\flwzx.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки файл карантина выслать по приложению 3 Правил и файл boot_clr.log приложить сюда.

Все выполнил.
Теперь еще стал "вылетать" один из svchost :( и после этого служба валится 100%

Запустите [B]AVZ[/B]. [B]Сервис - Поиск данных в реестре[/B]. Введите "browsemu.dll" без кавычек. Нажать на [B]Пуск[/B]. По окончании поиска сохраните протокол и прикрепите к сообщению.
Затем тоже самое с flwzx.dll
Интересно куда гадость прописалась.

Логи

Ну что же,попробуем почистить :

Сохраните сперва ваш реестр во избежание :)

[url]http://support.microsoft.com/kb/322756/ru[/url]

Запустите повторный поиск как я писал в #14. По окончании поиска выберите закладку "Найденные ключи" отметьте, то что нашёл- нажмите удалить отмеченные ключи. Перезагрузитесь.

Удалил. Вроде ничего не сломалось :)
В реестре заново они не прописались

Тогда давайте новые логи.

Вот логи. svchost опять накрылся... :( через 2 минуты после запуска компа

UPD: посмотрел, в настройках глобальных правил в Outpost у меня откуда-то оказалось правило разрешать данные по 139 порту по IP-протоколу... убил его, посмотрим теперь, что будет с svchost

svchost все равно вылетает...