Win32.Backdoor.Agent + Win32.TrojanSpy.Peed

Добрый день.

Необходима срочная помощь. Комп заражен этими двуми вирусами. ДрВэб и AVZ его не обнаруживают никаким образом, хотя у обоих свежие базы. Обнаруживает их только Ad-Aware, но удалить не может, даже при перезагрузке.
Указывает, что вирусы расположены в папке C:\WINDOWS\system32\wsnpoem\
В проводнике эта папка не видна (показывать скрытые - включено), попасть в нее можно только если ввести полный путь в строку. В папке три файла: audio.dll, audio.dll.cla, video.dll. Удалить их не получается даже с помощью программ типа Unlocker и KillBox.
audio.dll.cla удаляется свободно
В автозагрузке три левые записи: ntuser.dat, ntuser.dat.log, ntuser.ini. Отключить их не удается - пишет, что надо быть администратором. Раньше их никогда не было
Проявляется вред от вирусов в заражении всех моих сайтов, хотя пароль к фтп я нигде не храню.
Помощь нужна срочная, потому что завтра уезжаю в отпуск и сайты останутся зараженными и будут распространять заразу.
Прикладываю логи:

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки закачайте карантин по правилам и повторите логи.

Новые логи

В логах проблем не нашел. Уже можете установить СП3, удалить не нужные защитные программы типа Ad-Aware, использувать Файрфокс/Оперу вместо Аванта...
Если мешают остатки Симантека можете ещё скрипт прогнать
[CODE]begin
StopService('SNDSrvc');
DeleteService('SNDSrvc');
SetServiceStart('SNDSrvc', 4);
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe');
RebootWindows(true);
end. [/CODE]и потом ещё раз syscheck-лог повторить.

Спасибо большое. Теперь вируса нет.
СП3 уже скачал, сейчас поставлю. Насчет Файрфокса уже давно решился, но нет времени, вернусь из отпуска - сразу поменяю.
А почему Ad-Aware Вы назвали ненужной программой? Ведь только с ее помощью я и обнаружил вирус.

И еще.
В автозагрузке до сих пор не получается сделать изменения и убрать лишние записи

>>В автозагрузке три левые записи: ntuser.dat, ntuser.dat.log, ntuser.ini. Отключить их не удается - пишет, что надо быть >>администратором. Раньше их никогда не было

[QUOTE=MAzZY;228232]
А почему Ad-Aware Вы назвали ненужной программой?Ведь только с ее помощью я и обнаружил вирус [/QUOTE]
это случайно ...

[QUOTE=V_Bond;228233]это случайно ...[/QUOTE]
Собсно говоря - я эту программу не люблю. То, что она вообще чего-то кроме tracing cookie находит - это действительно случайно :). Кроме того - программа запускает собственную службу. Каждая службя - это минимум один дополнительно открытый порт....Ну оставьте, если привыкли
[QUOTE]В автозагрузке три левые записи: ntuser.dat, ntuser.dat.log, ntuser.ini. [/QUOTE]Где именно в автозагрузке? По Хайджеку не видно ничего такого в автозагрузке.

При запуске команды msconfig. Заблокированы любые изменения
Прикладываю скриншот

[QUOTE=MAzZY;228257]При запуске команды msconfig. Заблокированы любые изменения
Прикладываю скриншот[/QUOTE]Честно говоря - не знаю :O. У меня такого точно нет. Попробую вынести топик на консииум. Загляните через пару дней или даже раньше, если что-то подозрительное заметите.

В регистре эти записи находятся только в одном месте. Больше их нигде нет. Удаление не помогает.
Сильно не беспокоит. Особых симптомов пока не наблюдаю. Поэтому спокойно поеду в отпуск :)
Еще раз большое спасибо за столь оперативную помощь.
Прикладываю скриншот.

[QUOTE=MAzZY;228257]При запуске команды msconfig. Заблокированы любые изменения
Прикладываю скриншот[/QUOTE]
так как на скриншоте и должно быть ... для начала внесите изменения ;)

Не понял. Почему так должно быть?
Я не могу внести изменения никакие - мне отказывает в доступе.

[QUOTE=MAzZY;228292]Не понял. Почему так должно быть?
Я не могу внести изменения никакие - мне отказывает в доступе.[/QUOTE]
т.е вы убираете галку от праграммы которую хотите убрать и....
что пишет ?

Убираю галку, нажимаю ОК, получаю предупреждение
В безопасном режиме тоже самое

а после этого скрипта ?
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.
[/code]

Ничего не изменилось

создайте еще одного пользователя с правами админа ... и попробуйте ...

Эффект тот же.

[QUOTE=MAzZY;228434]Эффект тот же.[/QUOTE]Точно не знаю, но предположитеьно управление этими записями разрешено только тому, кто расшарил папки.

Это не папки, а файлы. Находятся в C:\Documents and Settings\Adminstrator
Поставил право полного доступа на файлы и всю папку для основного пользователя - без изменений

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Какая-то зараза блокирует именно внесение изменений через msconfig.