Помогите почистится, подозрение на руткит

Подхватил заразу из интернета. Ни с того, ни с сего windows firewall запросил разрешения выйти в интернет для приложения "explorer" (не iexplore). Отказал. В таск менеджере тем временем обнаружился процес 5C.tmp, громко хрустя винтом. Убил процесс. Спустя немного завелся еще один - builder.exe. Снова убил. Запустил AVZ - посмотреть чё к чему. Лог AVZ был весь сплошь красным, вероятно от столь низкого падения нравов :) Основные притензии - перехват функций ядра, коды руткита. Всего этого не было месяц назад - вот тема [url]http://virusinfo.info/showthread.php?t=88551[/url]
Пожалуйста помогите.

На всякий случай прикладываю еще два лога AVZ - первого и второго сканирования. И архив с упомянутыми файлами 5С.tmp и builder.exe (ко всем именам файов и папок добавлены собаки в начале и в конце, пароль на архив - virus)

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('mkdrv', 4);
DeleteService('mkdrv');
DeleteFile('D:\WIN2003\mkdrv.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end. [/code]Компьютер перезагрузите вручную

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Скрипт выполнил, карантин загрузил.

Но это не всё. К счастью, сегодня проснулся Semantec и стал ловить при входе в систему в юзерском темпе файлы вида XX.tmp . Он их удаляет безвозвратно, так что прислать их не могу, но кое какие следы все-же остаются - прилагаю пару архивов с подозрительными вещами из пользовательской временной директории. Да, забыл сказать, Semantec обзывает то, что он ловит Backdoor.Sheedash . Первый приложеный архив - вход в систему до выполнения скрипта, второй - после перезагрузки сразу после выполнения скрипта.

Новые логи готовлю.

Вот новые логи

И дополнительно - после выполнения скрипта количество фраз про руткит в логах AVZ не уменьшилось к сожалению. Вот они - первое и второе сканирование.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFileMask('D:\Documents and Settings\victor\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
DeleteFileMask('D:\Documents and Settings\victor\Local Settings\History\History.IE5', '*.*', true);
QuarantineFile('D:\Program Files\Internet Explorer\rasadhlp.dll','');
DeleteFile('D:\Program Files\Internet Explorer\rasadhlp.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]

Карантин высылаю. Новые логи сделал. AVZ по прежнему кричит про руткит :(

[QUOTE=polword;724713]
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=Blue][B]MBAM[/B][/COLOR][/URL][/QUOTE]
еще такой лог сделайте

Да, конечно, просто отвлёкся от процесса. Лог этого инструмента мне очень нравиться, просто руки чешутся этих бяк покрошить - D:\Program Files\Outlook Express\rasadhlp.dll (уже был в прошлый раз) и D:\Documents and Settings\victor\Application Data\Paezg\veik.exe . А вот этот файл D:\Documents and Settings\victor\Start Menu\Programs\Startup\syscron.exe не вижу почему то...

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url]
[CODE]Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{2f6c500e-6990-d785-af13-dac2bfcb3008} (Spyware.Passwords.XGen) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Files Infected:
D:\Documents and Settings\victor\Application Data\Paezg\veik.exe (Spyware.Passwords.XGen) -> No action taken.
C:\Program Files\Internet Explorer\@@@rasadhlp.dll@@@2010-09-20_22-55 (Spyware.Passwords.XGen) -> No action taken.
C:\Program Files\Outlook Express\@@@rasadhlp.dll@@@2010-09-20_22-55 (Spyware.Passwords.XGen) -> No action taken.
C:\Program Files\Mozilla Firefox\@@@rasadhlp.dll@@@2010-09-20_22-55 (Spyware.Passwords.XGen) -> No action taken.
C:\WINDOWS\system32\vfp8rrus.dll (Malware.Packer.Gen) -> No action taken.
D:\Documents and Settings\victor\Start Menu\Programs\Startup\syscron.exe (Spyware.Passwords.XGen) -> No action taken.
D:\Program Files\Internet Explorer\@@@rasadhlp.dll@@@2010-09-20_22-55 (Spyware.Passwords.XGen) -> No action taken.
D:\Program Files\Outlook Express\@@@rasadhlp.dll@@@2010-09-20_22-55 (Spyware.Passwords.XGen) -> No action taken.
D:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
D:\Program Files\Outlook Express\rasadhlp.dll (Trojan.PWS) -> No action taken.[/CODE]

Выполнено. Вот новые логи.
Единственное, что напрягает, это строчки в логе AVZ:
----------
обнаружена подмена PID (текущий PID=0, реальный = 3760)
Маскировка драйвера: Base=EE5B6000, размер=131072, имя = "\SystemRoot\system32\DRIVERS\nvcap.sys"
----------
Раньше (в здоровом состояние) этого не было.

[QUOTE='semen20100922;725082']Единственное, что напрягает, это строчки в логе AVZ:[/QUOTE]AVZPM отключите

В логах чисто

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\win2003\\mkdrv.sys - [B]Rootkit.Win32.Qhost.m[/B] ( DrWEB: Trojan.NtRootKit.9769, BitDefender: Trojan.Generic.5008328, AVAST4: Win32:Malware-gen )[/LIST][/LIST]