Не запускается Firefox, подозрения на руткит

[B]Предыстория:[/B] система WinXP SP2, антивирусник AVG8.5. После лазанья по порносайтам (использовался только Firefox) вместо запуска браузера начал получать окно сообщения Mozilla о неожиданной ошибке и завершении работы.
[B]Что сделано:[/B] снесен AVG с чисткой реестра вручную. Свежим CureIt в безопасном режиме полное сканирование системы - завис на проверке одного из файлов в папке закачек (на диске D:\ ), других проблем не найдено. Загрузился с ERD Commander2007, снова полная проверка системы, файл в закачках убит (какой-то троян, "SMS..." в имени).
сразу после этого, из-под ERD вручную очистил все папки Temp и временных файлов IE (IE8 стоит, правда, без обновлений). Поставлен свежий DrWeb, обновлен, настроен файрволл. Несколько раз сносил и ставил Firefox (3.6.9 и 3.5.12) - без выигрыша, симптомы те же. В интернете по этому поводу ничего вразумительного, поэтому продолжил искать заразу.
AVZ и RSIT стартуют и сразу закрываются, что подтверждает подозрения, при том, что у антивирусника отключил всё, что мог.
Сканирование RootkitRevealer и особенно Gmer дало результаты - логи прилагаю.
Почистить реестр вручную из безопасного режима не удалось. Опять воспользоваться ERD? Пожалуйста, помогите.

P.S. - предыдущее обращение за помощью осталось незавершенным - у клиента рухнул системный раздел на винте - физически, "размер 0 байт", поэтому перестановка системы на новом винте. Но всё равно спасибо всем, кто помогал советом!

Попробуйте [URL="http://www.avptool.ru/"]avptool.ru[/URL], если результат нет - попробуйте [URL="http://virusinfo.info/showthread.php?t=58309"]ComboFix[/URL]

С инструментом от Каспера ничего не вышло - поставиться он поставился, но запускаться отказался, даже с командной строки. ComboFix отработал, лог прилагаю. Ещё анализировал комп утилитой SvchostAnalyzer перед запуском Combofix - показал примерно то же, что и Gmer - есть подозрительный процесс. Прилагаю скриншот

По Гмеру -

- Сохраните текст ниже как [B]1.bat[/B] в ту же папку, где находится [B]GMER.exe[/B](GMER) и запустите этот батник(1.bat):

[CODE]GMER.exe -del service jyzbgkfwr
GMER.exe -del file "C:\WINDOWS\system32\ussppvet.dll"
GMER.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\jyzbgkfwr"
GMER.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\jyzbgkfwr"
GMER.exe -reboot[/CODE]

Компьютер перезагрузится.

После перезагрузки:
- Сделайте новый лог Gmer

Батник выполнил, при этом на каждую выполняемую строку выпадало окно сообщения "запрашиваемый модуль не найден", что для ключей реестра, что для файлов.
Правда, перед этим я немного некорректно запустил батник - открыл Gmer, перешел на вкладку cmd и в верхнем окне прописал имя батника, потом кнопка Run. Gmer ругнулся, перезапустил комп, после этого я уже корректно запустил батник просто из папки программы и получил упомянутые сообщения.
Судя по логам - почистилось.:clapping:Хотя что такое hidserv?
Теперь осталось деинсталлировать каспера и Combofix. Кстати, Rsit и AVZ всё так же себя ведут - стартуют и схлопываются.

Сейчас еще делаю сканирование Mbam - нашел 15 объектов, но лог сохранить пока не может - загрузка скакнула до 100 %. Как смогу - вложу

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\windows\system32\33f5f3b8.exe
c:\windows\system32\kpewku.exe
c:\program files\Common Files\jqyrg4inedzz13m

Driver::
stremu

NetSvc::

Folder::
c:\program files\Common Files\cee1f29

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Userinit"="c:\windows\system32\userinit.exe,"

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Пришлось всё-таки "врукопашную" через ERD чистить реестр:
[COLOR=#000000][COLOR=#333333]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon в параметрах userinit и usrinit были прописаны[/COLOR][/COLOR] файлы 33f5f3b8.exe и kpewku.exe. Параметр [COLOR=#000000][COLOR=#333333]usrinit убил совсем, [/COLOR][/COLOR][COLOR=#000000][COLOR=#333333]userinit - почистил от заразы, соответственно убил эти файлы в system32, кроме этого тут же посмотрел, что модифицировалось примерно в дату и время заражения (по аналогии с явной заразой) - убил еще пару файлов с "кракозябрами" в именах.
При первом запуске Mbam - когда не смог сохранить лог - был вычислен троян ".BHO" и указан кусок пути в реестре: HKCR\AppID\{b0ed4726-....
Так вот, в реестре там прописана fhilib.dll - убил этот путь и ещё один ключ реестра, который ссылался на этот раздел. Но остались ещё упоминания про эту .dll [B]Вычистить или оставить?[/B]
После перезагрузки Mbam отработал, лог сохранил, прилагаю. То, что в нем указано - уже удалил
Начали нормально стартовать AVZ и RSIT, но на выполнение не запускал.
[/COLOR][/COLOR]

Polword, извиняюсь, не увидел ваш пост, сейчас выполню

Выполнено, лог прилагаю

папку c:\program files\Common Files\cee1fc0 удалите вручную
- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

что с проблемой?

И Firefox начал нормально стартовать!! Сейчас деинсталлирую все, что понаставил, посмотрим. Ну и SP3 постараюсь воткнуть.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Удалил. Большое спасибо за помощь!

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

Единственный оставшийся нюанс - система после появления обоев рабочего стола "думает" около 1 минуты, потом появляются все иконки и вроде норм. работает. Видимо, следствие работы Combofix. Посмотрю, что "почикано" - восстановлю, отпишусь

[B]В общем итого:[/B] проблема решилась, всё работает.
[B]Замечания[/B] - после работы ComboFix - система как решето - оч. многие службы не работают. Причем у меня не создался каталог Qoobox с перемещенными объектами (или удалился при деинсталляции и зачистке?)
Пришлось с CD-диска делать восстановление Винды и немного покопаться с восстановлением разных настроек.
Всем, помогавшим в лечении большое спасибо!:094:

[QUOTE='ujin07;707525']у меня не создался каталог Qoobox с перемещенными объектами (или удалился при деинсталляции и зачистке?)[/QUOTE]Именно так