Не лечится Trojan.PWS.GoldSpy

В начале Dr.Web диагностировал прикаждом включении "Возможно инфицирован DLoader.Trojan" у файлов C:\Windows\System32\htmlxxxx.dll, где xxxx - случайный набор символов, который менялся при каждом запуске. После удаления приходилось закрывать процесс str_inst.exe, который использовал 99% ЦПУ.
Через несколько дней Dr.Web стал диагностировать при загрузке "C:\DOCUME~1\D97E~1\LOCALS~1\Temp\BITxx.tmp - инфицирован Trojan.PWS.GoldSpy". xx - изменяющееся число.
Не смотря на лечение или удаление, при каждом перезапуске этот зараженный файл появляется снова. Если отключен Интернет (вынут кабель), этот файл не появляется.
Помогите разобраться.

Выполнить в АВЗ скрипт:
[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\AUTOLO~1\AL2DLL.dll','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('c:\windows\csrss.exe','');
DeleteFile('c:\windows\csrss.exe');
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки [URL="http://www.virusinfo.info/showthread.php?t=4491"]"пофиксите"[/URL] в HijackThis [CODE]
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
[/CODE]
Файлы из карантина прислать по правилам через [URL="http://virusinfo.info/upload_virus.php?tid=9657"]эту ссылку[/URL]
Сделайте ещё раз логи с запущенным IE.
O17 - NameServer = 81.200.0.1,81.200.2.222 - эти DNS серверы Вам извесны?

Скрапт АВЗ выполнился.
Файлы отослал.

HijackThis не фиксит
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
Error #5 Invalid procedure call or argument.

81.200.0.1,81.200.2.222 - DNS серверы моего провайдера.
Вирус при загрузке появляться перестал.

Подскажите что делать с HijackThis.

Спасибо.

Сделайте ещё раз логи с запущенным IE.

Спасибо большое, все получилось.
При запуске IE DrWeb нашел во временных файлах еще два файла с вирусами и все удачно вылечил.
HijackThis тоже все пофиксил.
Теперь похоже система полностью чистая.
Еще раз огромное спасибо.

[B]Сделайте ещё раз логи с запущенным IE.[/B]

скрипты выполнил и приложил

Здравствуйте,

AL2DLL.dll

Вредоносный код в файле не обнаружен.

csrss.ex,
csrss.ex.unp - Trojan-PSW.Win32.LdPinch.byv

Детектирование файлов будет добавлено в следующее обновление.

perfc000.dat - Backdoor.Win32.Small.os

Выполните скрипт
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\winlogon.exe','');
QuarantineFile('C:\WINDOWS\smss.exe','');
QuarantineFile('StarOpen.sys','');
QuarantineFile('C:\WINDOWS\system32\ib15.dll','');
QuarantineFile('C:\WINDOWS\ZFTMP\ZMenu8D94.DLL','');
QuarantineFile('C:\WINDOWS\system32\htmlpvcpv.dll','');
QuarantineFile('C:\WINDOWS\system32\htmlhcvhc.dll','');
DeleteFile('C:\WINDOWS\system32\ib15.dll');
BC_DeleteFile('C:\WINDOWS\system32\ib15.dll');
DeleteFile('C:\WINDOWS\smss.exe');
BC_DeleteFile('C:\WINDOWS\smss.exe');
DeleteFile('C:\WINDOWS\winlogon.exe');
BC_DeleteFile('C:\WINDOWS\winlogon.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Пофиксите
[code]O2 - BHO: ib15_27.CBrowserHelper - {1E6CE4CD-161B-4847-B8BF-E2EF72299D69} - C:\WINDOWS\system32\ib15.dll
O4 - HKLM\..\Run: [Microsoft Windows Session Manager Subsystem] C:\WINDOWS\smss.exe
O4 - HKLM\..\Run: [Microsoft Windows Logon Process] C:\WINDOWS\winlogon.exe[/code]
Пришлите карантин.
Сделайте новые логи
[B]Смените все пароли - Pinch их ворует.[/B]

Скрипт выполнил.
Пофиксил:
O2 - BHO: ib15_27.CBrowserHelper - {1E6CE4CD-161B-4847-B8BF-E2EF72299D69} - C:\WINDOWS\system32\ib15.dll
отсутсвовали и поэтому не надо было фиксить
O4 - HKLM\..\Run: [Microsoft Windows Session Manager Subsystem] C:\WINDOWS\smss.exe
O4 - HKLM\..\Run: [Microsoft Windows Logon Process] C:\WINDOWS\winlogon.exe
Карантил выслал, логи приложил

Все чисто. Приложите еще лог хайджека. У вас был Trojan-Spy.Win32.Sters.ao

Подскажите, перестал запускаться виндовый брандмауэр с диагностикой: "вследствии неопределенной ошибки, не удается отобразить параметры брандмауэра Windows".

Попробуйте воспользоваться вот этой утилитой:
[url]http://www.softpedia.com/get/Tweak/Network-Tweak/WinSockFix.shtml[/url]
есть шанс, что поможет.

Спасибо, но к сожалению не помогло.

Пофиксите:
[QUOTE] O2 - BHO: AL2Spy Class - {DC200356-0864-4F66-8964-5D43A19300F5} - C:\WINDOWS\AUTOLO~1\AL2DLL.dll[/QUOTE]

Как вариант, поставьте файервол от стороннего производителя.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\csrss.exe - [B]Trojan-PSW.Win32.LdPinch.byv[/B] (DrWEB: Trojan.PWS.LDPinch.1757)[*] c:\\windows\\system32\\ib15.dll - [B]Trojan-Spy.Win32.Sters.ao[/B][*] c:\\windows\\system32\\perfc000.dat - [B]Backdoor.Win32.Small.os[/B] (DrWEB: Trojan.Proxy.1739)[/LIST][/LIST]