Беспокоит Win32/TrojanDownloader.Carberp.AM и AF после каждой загруки ПК [Rootkit.Boot.Cidox.b ]

Здравствуйте. Замучили Win32/TrojanDownloader.Carberp.AM иWin32/TrojanDownloader.Carberp.AF.*
В системе стоит ESET Smart Security 4, стартует при запуске ОС. Практически сразу после запуска обнаруживает данный вирус с сообщением подобного содержания*Оперативная память = explorer.exe(1720) Win32/TrojanDownloader.Carberp.AM и*Оперативная память = svchost.exe(1824) Win32/TrojanDownloader.Carberp.AF (значения в скобках могут меняться и обоих сообщениях) и сообщается очищено. И так при каждой загрузке. Хотелось бы избавится от заразы "насовсем", а не только до следующей перезагрузки.
Файлы проверок прикладываю, хотя не знаю, все ли сделала правильно, ведь каждый раз антивирус успевал из памяти убить вирусы, а запускались avz и HijackThis уже после удаления вируса из памяти.*

Уважаемый(ая) [B]Shash[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code] begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe','');
DeleteService('DatamngrCoordinator2');
QuarantineFile('C:\WINDOWS\system32\com\svchost.exe','');
DeleteService('Windows');
DeleteFile('C:\WINDOWS\system32\com\svchost.exe','32');
DeleteFile('C:\Program Files\Movies Toolbar\Datamngr\DatamngrCoordinator.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Карантин отправлен. Логи выполнены, прикрепляю.
Заранее благодарю, что откликнулись!

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Обнаруженные файлы: 11
C:\Documents and Settings\Admin\Рабочий стол\adobe_pscs2_keygen.exe (Trojan.Agent.CK) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Рабочий стол\Adobe_Photoshop_CS2_9.0\KEYGEN.EXE (Trojan.Agent.CK) -> Действие не было предпринято.
C:\Program Files\LClock\hidcon.exe (Trojan.Dropped) -> Действие не было предпринято.
C:\Program Files\LouderIt\LConfig.exe (Trojan.Agent) -> Действие не было предпринято.
C:\WINDOWS\system32\hidcon.exe (Trojan.Dropped) -> Действие не было предпринято.
D:\Программы\x_TNod_1.4.0.15\TNod-1.4.0.15-setup.exe (Trojan.Agent.CK) -> Действие не было предпринято.[/code]

Удаление выполнили. После перезагрузки ноут жестко зависал два раза (первый раз не загрузив и рабочий стол, а только обои, второй загрузив стол, но пока вешал софт в автозагрузку, опять завис). В третий раз загрузился уже нормально. ESET все также сообщает о наличии вирусов и их успешном удалении.
Самое неприятное, что пропал с рабочего стола файл лога программы МВАМ, подозреваю, что это может быть как-то связано с перечисленными выше глюками загрузки. То есть файл лога я пока Вам не могу.
КАк быть теперь? Что выполнить, чтобы продолжить обеззараживание ПК. Понимаю, что доставляю хлопоты, но прошу продолжить помощь.

Открыла программу, нашла в ней отчеты. Возможно этот файл, что пропал?

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Выполнили. Программа отработала, лог прилагаю.
Во время работы была выполнена перезагрузка, после которой ESET по-прежнему сообщал о наличии вирусов и их успешной очистке.

Combofix перенесите в папку с английским названием.

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::

File::

Driver::

Folder::
c:\documents and settings\All Users\Application Data\IBank

Registry::


FileLook::
c:\windows\system32\odbcint.dll

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте еще такой лог [url]http://support.kaspersky.ru/viruses/disinfection/5350#block1[/url]

Во время работы программы Combofix было окно с сообщением "Инструкция по адресу 0х10004130 обратилась к памяти по адресу 0х10004130. Память не может быть "read". Нажала ОК. Программа продолжала работать.
TDSSKiller отработала нормально, нашла вирус (или еще какую заразу) и попросила перезагрузки. После перезагруза ESET молчит! Все излечено, можно радоваться?

В корневом каталоге системного диска папку [B]TDSSKiller Quarantine[/B] заархивируйте в формате zip с паролем [B]virus[/B] и загрузите по красной ссылке вверху темы "[B]Прислать запрошенный карантин[/B]".

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::

File::


Driver::

Folder::
c:\documents and settings\All Users\Application Data\IBank

Registry::

FileLook::

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

C:\shash
Эту папку создала вчера я сама, переместив туда копию программы ComboFix. Все равно выполнить проверку этой папки программой?
Карантин отправили.

Поправил немного скрипт. Хотел содержимое папки посмотреть скриптом.

Лог прикладываю.
Во время работы опять было сообщение Инструкция по адресу 0х10004130 обратилась к памяти по адресу 0х10004130. Память не может быть "read". Нажала ОК. Программа продолжала работать.

Все похоже добили :) Лог в порядке. Что с проблемой?

ESET при старте молчит! :), ноут бегает резво. Огромное спасибо за помощь!!!
А то, что удалил ComboFix и сейчас находится в карантине (после своего первого запуска) - неважные файлы для Windows XP SP3 (показать список и расположение файлов?)? Их не надо восстанавливать? Так как, если вылечено, то планирую сносить весь софт, что ставили, в том числе и ComboFix.

Сервисы от Яндекса возможно придется установить заново.

Вот они то как раз мне и не нужны )))
Речь была о dll, например с\windows\system32\Packet.dll или с\windows\system32\wpcap.dll
с\windows\system32\drive\npf.sys и с\windows\system32\drive\etc\hosts.ics

В принципе некритичные файлы для Windows.

Благодарю за помощь!
И огромное спасибо за такой ресурс с подробными мануалами.