вирус в папке keys и файле keylog.txt

Nod32 выдает несколько раз в день уже 3 дня:
URL: besprutaness.com/knok.php.?id=system!homee...servis pack3
ip: 193.105.174.51.80

Проблема началась с того, что стали вылезать собщения езета о блокировки какого-то адреса и IP (выше), паричем в событиях или угрозах инфо об этом нет. Проверила полной проверкой cureit. НИ ОДНОГО НЕ НАШЁЛ! СВЕЖИЙ!. Потом malwarebytes нашёл 1 папку keys+1 файл keylog.txt + 201 (!!!!!!!!!!!!!!!!!!) троян в реестре. всё удалила. перезагрузила. исчез раб стол. исправила с помощью avz 9 и 16 пункта, но не с первого раза, ругался. Езет всё это время не обновлялся, на др веб, вирус инфо и т.д. не заходил. После перезагрузки раб стол появился, но перестал загружаться avz - мигает и всё. В безопасном режиме тоже, пробовала скачать предложенные на до конфах "альтернативные" avz, пробовала переименовывать - бесполезно. Всё время вылезает сообщение езета о блокировке всё того же адреса и IP. Каждый раз после перезагрузки пустой файл keylog.txt и папка keys в common files/wm на месте, файл убивается, папка нет, каждый раз опознаётся как вирус при помощи malwarebytes. На ночь поставила в безопасном режиме полное сканирование cureit - ничего не нашёл. После перезагрузки опять нет раб стола, но загрузился avz, но пункт 9 и 16 выполнить не дал. Статического маршрута к сайту антивируса не нашёл. Опять перезагрузка - езет обновился, avz опять не открывается, на вирусинфо и т.д не заходит, езет выдаёт сообщ о блокировке опять этого адреса. На данный момент имею только лог от последнего лечения malwarebytes. Помогите!!!!!!! ой, а как файл лога из malwarebytes присоединить????

логи по [URL="http://virusinfo.info/pravila_old.html"][COLOR="blue"]правилам[/COLOR][/URL] сделайте, посмотрим

[QUOTE=polword;691488]логи по [URL="http://virusinfo.info/pravila_old.html"][COLOR=blue]правилам[/COLOR][/URL] сделайте, посмотрим[/QUOTE]
я не могу зайти на вирусинфо и посмотреть правила, avz как я писала не открывается даже после переименования, скачивания полиморфной версии, в безопасном режиме и т.д. вот присоединяю сообщение езета на всякий случай

1.скачайте [B]Live CD[/B] с возможностью поиска и исправления в реестре. Например, [B]ERD Commander[/B].
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - [B]erdregedit[/B]
4.Посмотрите в реестре:
[I][B]ветка[/B][/I]
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
[/QUOTE]
[I][B]параметр[/B][/I]
[QUOTE]userinit[/QUOTE]

[I][B]параметр[/B][/I]
[QUOTE]shell[/QUOTE]

а также
[I][B]ветка[/B][/I]
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/QUOTE]

[I][B]параметр[/B][/I]
[QUOTE]AppInit_DLLs[/QUOTE]

Содержимое этих параметров напишите в своем сообщении

я пока без live cd в реестр зашла - это что-то меняет?
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

userinit - C:\WINDOWS\system32\lftoyo.exe
shell - explorer.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

AppInit_DLLs пусто

в параметре [B]userinit[/B] напишите [B]C:\WINDOWS\system32\userinit.exe,[/B]
перезагрузитесь и попробуйте сделать логи

[QUOTE=polword;691520]в параметре [B]userinit[/B] напишите [B]C:\WINDOWS\system32\userinit.exe,[/B]
перезагрузитесь и попробуйте сделать логи[/QUOTE]

сделала. Результат 0. АВз мигает и пропадает, keylog.txt и папка keys на месте

Распакуйте файл [url=http://virusinfo.info/attachment.php?attachmentid=262860&stc=1&d=1282477051]run.zip[/url] в папку с AVZ. Запустите файл run.bat.
Сделайте логи AVZ по [url=http://216.246.90.119/pravila.html]Правилам[/url].

[QUOTE=AndreyKa;692869]Распакуйте файл [URL="http://virusinfo.info/attachment.php?attachmentid=262860&stc=1&d=1282477051"]run.zip[/URL] в папку с AVZ. Запустите файл run.bat.
Сделайте логи AVZ по [URL="http://216.246.90.119/pravila.html"]Правилам[/URL].[/QUOTE]

ВЫ ПРОСТО СОЛНЦЕ!!!!!!!!!!!!!!!!!!!!
Я тут бьюсь и форумы читаю уже четверный день и ночь, а ваш файлик всё спас.
Итак, до того, как увидела Ваш ответ и запустила run.bat (кстати, у меня блокировалось и выход в панель управления, и соотв восстановление системы до скана в AVZ) - опять подчёркиваю - [U][B]это было до скана AVZ[/B][/U]:
из всех перечисленных везде, где можно программ смогла загрузить только combofix в безопасном режиме ( в нормальной режиме выдал ошибку, ругался, что eset работает, хотя я всё выключила). В безопасном режиме ругался, что нет консоли восстановления, пытался загрузить, но у меня в безопасном режиме инета нет даже с поддержкой сетевых драйверов (инет беспроводной через маршрутизатор).
В ходе проверки и в логе писал, что удалил кроме папки keys и файла keylog.txt ещё пару файлов. После загрузки в нормальный режим папка keys и файла keylog.txt опять на месте, остальных файлов нет. Обновился eset, сразу изолировал из system 32 файл lftoyo.exe (Win32/Spy.Shiz.Nal).
AVZ, Hijack, RSIT, GMER и т.д. по прежнему не грузятся. Ещё обнаружила, что Outlook загружается, потом выдаёт ошибку "Не удаётся запустить Micr Of Outlook. Невозможно открыть окно Outlook".
Кроме лога combofix прилагаю логи программ группы EMSISOFT (до проверки combofix).
Ещё очень странный момент. В анализаторе процессов Process Monitor от Sysinternals вылезает явный зверь monoca32.exe в автозагрузке, в других анализаторах процессов, мониторах автозагрузки, самой автозагрузке и во всём компе даже следов нет.

ТЕПЕРЬ - ПОСЛЕ загрузки и выполнения AVZ: ЗАРАБОТАЛЮ ВСЁ и ВСЕ ПРОГРАММЫ, КРОМЕ OUTLOOK (кто-то его повредил может быть).
Все логи, какие можно прилагаю.

Ещё момент: я тут от отчаяния поставила emsisoft anti-malware. кроме аналога hijack и сканнера на всякую гадость, у неё есть ещё Guard. Во время анализа AVZ я закрыла eset, а этот guard нет. Так он тоже обнаружил и изолировал из system 32 файл lftoyo.ex, который до этого отправил в карантин eset.

Посветуйте плиз, как дочистить всю гадость и вылечить outlook.

СПАСИБО ОГРОМНОЕ!!!!!:clapping:

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://virusinfo.info/pravila_old.html"] как- посмотреть можно тут[/URL]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('c:\windows\system32\ec2dbbcf.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\v1zcyhv.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\r0ttpy5.exe','');
QuarantineFile('C:\WINDOWS\system32\lftoyo.exe','');
QuarantineFile('C:\WINDOWS\system32\51237bcf.exe','');
DeleteFileMask('c:\program files\Common Files\wm', '*.*', true);
DeleteDirectory('c:\program files\Common Files\wm');
DeleteFile('C:\WINDOWS\system32\51237bcf.exe');
DeleteFile('C:\WINDOWS\system32\lftoyo.exe');
DeleteFile('\\?\globalroot\systemroot\system32\r0ttpy5.exe');
DeleteFile('\\?\globalroot\systemroot\system32\v1zcyhv.exe');
DeleteFile('c:\windows\system32\ec2dbbcf.exe');
QuarantineFile('c:\windows\system32\config\systemprofile\Application Data\swqatk.dat','');
QuarantineFile('c:\documents and settings\NetworkService\Application Data\swqatk.dat','');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B])
- Скачайте [B]RSIT[/B] [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета [B]log.txt[/B] и [B]info.txt[/B]. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

сейчас всё сделаю и пришлю. Только один вопрос: "выгрузить антивирус" - это как (пардон). Недостаточно просто в нём отключить защиту и файервол?

[URL="http://virusinfo.info/showthread.php?t=57441"]http://virusinfo.info/showthread.php?t=57441[/URL]

[QUOTE=polword;693064][URL]http://virusinfo.info/showthread.php?t=57441[/URL][/QUOTE]

спасибо, я так и делала. только ещё и файервол отключала

выполняйте скрипт и делайте логи

вроде всё сделала. Только вот забыла отключить восстановление. Скрипт выполнила, потом отключила восстановление и выполнила снова. прилагаю второй

забыла написать, outlook поправила командой Outlook.exe /resetnavpane

В логах подозрительного нет.

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\51237bcf.exe - [B]Packed.Win32.Krap.hr[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Rootkit.38697, AVAST4: Win32:MalOb-DS [Cryp] )[/LIST][/LIST]