Помогите, Trojan-Downloader.Win32.Mutant.aim!

Добрый день!
Просим помощи:
Лечимся 3-й день, все безрезультатно, Касперский находит, рапортует об удалении, после перезагрузки результат нулевой, троян реинкарнирует.
Симптоматика - после перезагрузки касперский сообщает следующее:

19.07.2008 13:40:25 Процесс C:\WINDOWS\system32\winlogon.exe, обнаружено: потенциально опасное ПО 'Invader' (модификация).

19.07.2008 13:40:38 Файл C:\WINDOWS\System32\drivers\Winkp83.sys, обнаружено: троянская программа 'Trojan-Downloader.Win32.Mutant.aim'. Пользователь: HOME\MD$, компьютер:localhost.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjp62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjo73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjo38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winaf84.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Gia34.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\TBPanel.SYS','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
DeleteFile('C:\WINDOWS\System32\Drivers\Gia34.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winaf84.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjo38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjo73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjp62.sys');
BC_ImportALL;
ExecuteSysClean;
DelWinlogonNotifyByKeyName('WinCtrl32');
BC_DeleteSvc('Winjp62');
BC_DeleteSvc('Winjo73');
BC_DeleteSvc('Winjo38');
BC_DeleteSvc('Winaf84');
BC_DeleteSvc('Gia34');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=26736[/url] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.

Карантин загрузил
Очистил временные файлы через свойства обозревателя.
как очистить кэш?
Логи создать, как в первом сообщении, 2 в AVZ и один в hijackthis?

Имелось ввиду очистить папки Temp (например C:\Windows\Temp) и кеш браузера в смысле - временные файлы интернета (то, что Вы очистили через свойства обозревателя).

Новые логи создать так же по правилам, как и раньше.

Высылаю логи.

Систему обновить, т.е. установить Сервис Пак 3 + последующие обновления
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Пофиксить для порядка
[CODE]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe (file missing)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe (file missing)
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\[/CODE]
Какие проблемы наблюдаете?

Пофиксили.
На вирусы касперский больше не ругается, все вроде в порядке. Но почти на каждое действие выскакивают окошки с сообщениями типа этого:
19.07.2008 22:48:37 Процесс C:\Program Files\Apple Software Update\SoftwareUpdate.exe (PID: 3360): попытка создания параметры браузера Microsoft Internet Explorer (ключ HKEY_USERS\S-1-5-21-746137067-261903793-839522115-1003\Software\Microsoft\Internet Explorer\URLSearchHooks, значение {EF99BD32-C1FB-11D2-892F-0090271D4F88}, данные ) разрешена.
Мы все разрешаем. Не знаем правильно ли... Может стоит касперского поставить в решим с меньшей защитой?
Систему попробуем обновить позже.
Огромное спасибо за помощь!

Конкретно на тему: Apple Software Update нужно поставить в ручной режим и давать разрешение файрволлу только на тот раз, когда Вы хотите обновить приложения Apple, т.е. каждый раз спрашивать.

Понятно.
А востановление сисиемы уже можно включить? А то она у нас отключена как было предписано инструкцией.

Восстановление можете включать. В логах чисто. Больше проблем нет?

Все чисто :) Проблем нет.
Большое человеческое спасибо! :)

Я опять к вам. Сегодня опять словила вирусы. Теперь кажется поняла где, и в тот раз и в этот раз проблемы начались после посещения одного и того же сайта (на который до этого ходила регулярно уже не один год). Сегодня как только открыла тот сайт начал сразу хрюкать Касперский не перставая, сайт сразу закрыла, Касперскому говорила все лечить, запрещать и удалять. Потом компьютер сам два раза перезагрузился при этом перед перезагрузками усиленно хрюкал Касперский. В итоге загрузила в безопасном режиме, проверила доктором Вебом, потом в обычном режиме опять Касперским, они оба нашли разные вирусы, удалили. Ну и делее опять по вашей инструкции. Прицепляю то что получила. Сейчас Касперский молчит, не хрюкает. Помогите еще раз, посмотрите пожалуйста чего там у меня.

На всякий случай проверим:
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\TBPANEL.SYS','');
QuarantineFile('Beep.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Beep.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=26736[/url] ).

Вот это Вам знакомо?
[code]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 74.60.120.228:1025
O17 - HKLM\System\CCS\Services\Tcpip\..\{D618A7C7-D457-4F0A-B350-B30F7E851685}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F73FCD7A-C068-4630-9F8D-55E5AB4A70B6}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F88111F4-8F28-4736-AE6F-CF0D862B6EB2}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226[/code]
Если незнакомо, то [url=http://virusinfo.info/showthread.php?t=4491]пофиксите в HijackThis[/url] эти строчки.

Вот эти пофиксить обязательно[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{D618A7C7-D457-4F0A-B350-B30F7E851685}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F73FCD7A-C068-4630-9F8D-55E5AB4A70B6}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\..\{F88111F4-8F28-4736-AE6F-CF0D862B6EB2}: NameServer = 85.255.113.132,85.255.112.226
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.132 85.255.112.226[/code]
Это зловредный сервер из Одессы.

Спасибо.
Пофиксила.
Скрипт выполнила. Карантин загрузила.

А Сервис Пак 3 почему не поставили? И почему альтернативный браузер не используете?

Я всегда использую Фаерфокс, а пока лечусь хожу Експлорером как сказано в инструкции.
До Сервис Пака руки не дошли :( каюсь. Уже все утро мужа пинаю по этому поводу, обещал сегодня принести Сервис Пак 2. Третьего нету, а с сайта у нас обновления не ставятся потому как винду мы переустанавливали и ключ уже не подошел и ее поставили так...
А вообще уже приходит мысль переходить с винды на линух.

Присланный файл чистый. Больше в логах ничего подозрительного. Какаие-то проблемы наблюдаются?

Никаких проблем нет :)
Спасибо за помощь!

[QUOTE=Чайник;259062]На этот раз с компьютера соседки у которой тоже вирусов куча. [/QUOTE]
Переносим в отдельную тему: [url]http://virusinfo.info/showthread.php?t=26993[/url]