На компьютере-сервере засел вирус [not-a-virus:Server-FTP.Win32.SFH.hp ]

Интересно...
Скачайте [URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL] и сохраните его на рабочем столе. Запустите его (в Windows Vista/7 необходимо запускать по правой кнопке мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в файле [B]C:\AdwCleaner[R1].txt[/B]. Прикрепите отчет к своему следующему сообщению.

По поводу сбоя в запуске файлов qibin.vbe, ma.vbe - можно цитату из журнала событий?

а где этот журнала событий отыскать? в администрировании?

Да, там.
Поищите в AVZ ("Сервис" -> "Поиск данных в реестре") всё, где упоминается [B]qibin.vbe[/B] и [B]ma.vbe[/B], по отдельности, поиск для каждого значения, отметьте все ключи, и [U]не удаляя[/U] их, экспортируйте ("Создать reg файл с отмеченными ключами"). Затем эти файлы упакуйте в архив и прикрепите к своему следующему сообщению.

Сделано,

Запустите повторно [B]AdwCleaner (by Xplode)[/B] (в ОС [B]Windows Vista/7[/B] необходимо запускать по правой кнопке мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Delete"[/B] и дождитесь окончания удаления.

[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог Gmer[/URL].

Готово
Покопался в журнале событий, вот что выдает


Тип события: Предупреждение
Источник события: EventSystem
Категория события: (54)
Код события: 4353
Дата: 17.07.2013
Время: 12:10:08
Пользователь: Н/Д
Компьютер: INETSERV
Описание:
Система событий COM+ попыталась запустить событие EventObjectChange::ChangedSubscription, однако получила обратно неверный код возврата. Значение HRESULT: 80040201.


Системе событий COM+ не удалось создать копию подписчика {D3938AB0-5B9D-11D1-8DD2-00AA004ABD5E}. StandardCreateInstance было возвращено значение HRESULT 8007041F.

Неполный лог Gmer получился. Попробуйте так.
Отключите временно антивирус, запустите Gmer. Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

* Sections
* IAT/EAT
* Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save).

Готово

Что с 2345.com и другими проблемами?

все без изменений, к сожалению

Стартовая во всех броузерах появляется?

Нет, судя по всему, такая фигня только с эксплорером, в мозилле и хроме такого не повторяется

Есть у меня чувство, что это из-за "Конфигурации усиленной безопасности Internet Explorer ". Попролбуйте её на время отключить и вручную вычистить эту стартовую.

Если отключаю конфигурацию (в 2003-м сервере насколько я понимаю это возможно только через панель управления, установка-удаление и далее галочку убираю), то ссылка пропадает сама собой, но стоит установить конфигурацию обратно и перезагрузиться, то ссыль появляется обратно.
Ну и по прежнему выдается "Не удается найти файл сценария ma.vbe и qibin.vbe"

Стартовую найдите и удалите в редакторе реестра.
Что касается ma.vbe и qibin.vbe - что-то не получается найти что-либо связанное с ними... Предупреждение выдаётся периодически, или только при загрузке?

Да в том то и дело, что вычищал из реестра, а после перезагрузки системы как будто и не делал этго. все обратно восстанавливается.

Тоже пробовал погуллить по этим файлам и ничего(((( может программные какие-то из установленных уже прог.
Сообщение это выдается только при загрузке.

Сделайте лог OTL by OldTimer как описано [URL="http://safezone.cc/forum/showthread.php?t=12019"]здесь[/URL].

а какой из скриптов выбрать? у меня server 2003 sp2 стоит

Для 32-разрядных систем.

Готово