Словил Trojan.DownLoader.35206, теперь не могу удалить

После обновления баз DrWeb'a SpiderGuard изловил Trojan.DownLoader.35206, который маскировался под C:\Windows\system32\Iexplorer.exe. Я его удалил, почистил ветку Run реестра, из которой запускался вирь, но после перезагрузки все восстанавливается как было и SpiderGuard опять его ловит. Проверил все диски DrWeb'ом, а он ничего не нашел, т.к. Iexplorer.exe уже удален spider'ом. Как мне избавиться от этой гадости?
P.S. запрошенные файлы отправил, но где они что-то не вижу.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\WINDOWS\system32\IntEdReg.exe','');
QuarantineFile('C:\WINDOWS\system32\Iexplore.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил

[size="1"][color="#666686"][B][I]Добавлено через 31 минуту[/I][/B][/color][/size]

Карантин получен, там только IntEdReg.exe - он чистый.
Остальных двух в системе нет.

Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [iexplorer] C:\WINDOWS\system32\Iexplore.exe
O21 - SSODL: UpdateCheck - {4938E36F-C244-4502-AFA6-27D05E40BF42} - C:\WINDOWS\system32\mstmdm.dll (file missing)
[/code]
Перезагрузитесь и повторите лог HijackThis.

Вот новый лог HijackThis [url]http://virusinfo.info/attachment.php?attachmentid=22451&d=1194709647[/url]

Ссылка не работает. Прикрепите через "Управление вложениями".

А вот так?

Так все ОК.
И действительно, этот Iexplore.exe опять торчит в автозапуске!
Давайте попробуем удалить таким скриптом:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Iexplore.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новые логи, начиная с п.10 правил.

После выполнения скрипта результат такой же. Вот логи.

Попробуем так.
Сначала пофиксьте:
[code]
O4 - HKLM\..\Run: [iexplorer] C:\WINDOWS\system32\Iexplore.exe
[/code]
Затем, не перегружаясь, выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\Iexplore.exe');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\Iexplore.exe');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Затем повторите лог hijackthis и syscheck

Попробовал и так, ситуация не изменилась, логи прикладываю. А можно прокомментировать скрипты, а то складывается впечатление, что боремся со следствием, а не с причиной появления этого Iexplore.exe?

отключите антивирус ... и выполните операции из поста 8 ... повторит лог hijackthis

Сделайте лог AVZ как написано тут:
[url]http://virusinfo.info/showpost.php?p=115905&postcount=1[/url]

[quote=V_Bond;149410]отключите антивирус ... и выполните операции из поста 8 ... повторит лог hijackthis[/quote]

сделал
[quote=AndreyKa;149412]Сделайте лог AVZ как написано тут:
[URL]http://virusinfo.info/showpost.php?p=115905&postcount=1[/URL][/quote]
сделал avz_sysinfo.zip в безопасном режиме

Мистика! Но по-моему восстанавливается только ключ автозапуска, а самого файла таки нет. Что за программа Intense Registry Service? -
[code]
O4 - HKLM\..\Run: [Intense Registry Service] IntEdReg.exe /CHECK
[/code]
Может это она реестр восстанавливает?

Закройте все программы.
Отключитесь от Интернета.
Выполните скрипт через меню Файл:
[code]
begin
SearchRootkit(true, true);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\DRIVERS\kbdclasy.sys','');
QuarantineFile('C:\WINDOWS\system32\slicedisk.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(false);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил).

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

DeAL, как временную меру можно настроить Spider Guard на действие для зараженных объектов - Лечить. Тогда файл будет удаляться, а не блокироваться как сейчас.

[quote=Bratez;149494]Мистика! Но по-моему восстанавливается только ключ автозапуска, а самого файла таки нет.[/quote]
Если Вы про файл Iexplore.exe, то его сразу после каждой перезагрузки удаляет SpiderGuard, но он каждый раз восстанавливается, т.е. его какая-то гадина создает заново.
[quote=Bratez;149494]Что за программа Intense Registry Service? -
[code]
O4 - HKLM\..\Run: [Intense Registry Service] IntEdReg.exe /CHECK
[/code]Может это она реестр восстанавливает?[/quote]
А это что я не знаю, если это не виндовый файл - могу удалить.
[quote=AndreyKa;149496]Закройте все программы.
Отключитесь от Интернета.
Выполните скрипт через меню Файл:[/quote]
Карантин выслал.
[quote=AndreyKa;149496]
DeAL, как временную меру можно настроить Spider Guard на действие для зараженных объектов - Лечить. Тогда файл будет удаляться, а не блокироваться как сейчас.[/quote]
Так у меня после загрузки выскакивет окно спайдера, где есть выбор лечить, удалить, переименовать и т.д., я жму удалить, что он и делает успешно, но затем вирь вновь появляется и спайдер его блокирует.
Вот часть лога спайдера:
[QUOTE]11-11-2007 13:28:59 [PS] C:\WINDOWS\system32\Iexplore.exe - инфицирован Trojan.DownLoader.35206
11-11-2007 13:28:59 [PS] C:\WINDOWS\system32\Iexplore.exe - доступ к файлу запрещен
11-11-2007 13:30:55 [BG] D:\Program Files\Internet\ReGetDx\regetdx.exe - ошибка распаковки
11-11-2007 13:32:37 [BG] C:\WINDOWS\system32\Iexplore.exe - инфицирован Trojan.DownLoader.35206
11-11-2007 13:33:08 [BG] C:\WINDOWS\system32\Iexplore.exe - удален[/QUOTE]

Закройте все программы.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\DRIVERS\kbdclasy.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

C:\WINDOWS\system32\DRIVERS\kbdclasy.sys - Trojan-Downloader.Win32.Agent.dph (KAV)

[quote=AndreyKa;149518]Закройте все программы.
Выполните скрипт через меню Файл:
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.
[SIZE=1][COLOR=#666686][B][I]Добавлено через 1 минуту[/I][/B][/COLOR][/SIZE]
C:\WINDOWS\system32\DRIVERS\kbdclasy.sys - Trojan-Downloader.Win32.Agent.dph (KAV)[/quote]
Скрипт выполнил, похоже проблема решилась. Окончательные логи прикладываю.
Всем принявшим участие огромное спасибо.

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Iexplore.exe','');
DeleteFile('C:\WINDOWS\system32\Iexplore.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Сейчас должно удалиться...

[quote=rubin;149555]Сейчас должно удалиться...[/quote]
Дык его уже нету и не восстанавливается :). А в логах AVZ остался автозапуск из реестра, который я затем пофиксил в HijackThis.

Тогда все чисто
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что Вам не требуется?

[quote=rubin;149567]Тогда все чисто
>> Службы: разрешена потенциально опасная служба ...
Что Вам не требуется?[/quote]
Я слабо разбираюсь в этих службах, но думаю что ничто из перечисленного мне не нужно, если они не влияют на работу в инете (диал-ап) и локальной сети на 2 компа.

тогда выполните такой скрипт ..
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\kbdclasy.sys - [B]Trojan-Downloader.Win32.Agent.dph[/B] (DrWEB: Trojan.NtRootKit.453)[*] \\2007-11-11\\bcqr00001.dta - [B]Trojan-Downloader.Win32.Agent.dph[/B] (DrWEB: Trojan.NtRootKit.453)[*] \\2007-11-11\\bcqr00002.dta - [B]Trojan-Downloader.Win32.Agent.dph[/B] (DrWEB: Trojan.NtRootKit.453)[/LIST][/LIST]