Неуловимый руткит?

[ne_kodim]

Добрый день.
Помогите, pls, поймать зубатого и вычистить его хвосты. Систма win xp с 3-м сервиспаком.
Проявления:
- блокированные ветки реестра с HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\*
- невозможно установить антивирусы (не хватает прав на доступ к каталогу установки в program files, при мониторе - не хватает прав на доступ к веткам реестра с полиси)
- зацикленная установка апдейтов от микрософт
- "восстанавливающиеся" автозапуски со всех типов дисков (авторанов не обнаружено), запрет на просмотр скрытых и системных файлов
- постоянное обнаружение нового оборудования "универсальный том" при этом кроме мыши никаких внешних 1394/bluetooth/usb-устройств не подключено (установка влияет на микшер звукозаписи ядра системы - пропадает звук до перезагрузки)
МВМ дает чистый лог, руткит ревальер аналогично, ауторанс/хиджак ничего "злобного" не показывают.
Логонсешн дает
C:\Program Files\Sysutil>logonsessions.exe

Logonsesions v1.21
Copyright (C) 2004-2010 Bryce Cogswell and Mark Russinovich
Sysinternals - wwww.sysinternals.com


[0] Logon session 00000000:000003e7:
User name: MYHOMEGROUP\POL$
Auth package: NTLM
Logon type: (none)
Session: 0
Sid: S-1-5-18
Logon time: 14.06.2011 20:18:00
Logon server:
DNS Domain:
UPN:

[1] Logon session 00000000:0000ed58:
User name:
Auth package: NTLM
Logon type: (none)
Session: 0
Sid: (none)
Logon time: 14.06.2011 20:18:00
Logon server:
DNS Domain:
UPN:

[2] Logon session 00000000:000003e4:
User name: NT AUTHORITY\NETWORK SERVICE
Auth package: Negotiate
Logon type: Service
Session: 0
Sid: S-1-5-20
Logon time: 14.06.2011 20:18:02
Logon server:
DNS Domain:
UPN:

[3] Logon session 00000000:00010eda:
User name: POL\Paul
Auth package: NTLM
Logon type: Interactive
Session: 0
Sid: S-1-5-21-117609710-1645522239-839522115-1003
Logon time: 14.06.2011 20:18:05
Logon server: POL
DNS Domain:
UPN:

[4] Logon session 00000000:000003e5:
User name: NT AUTHORITY\LOCAL SERVICE
Auth package: Negotiate
Logon type: Service
Session: 0
Sid: S-1-5-19
Logon time: 14.06.2011 20:18:10
Logon server:
DNS Domain:
UPN:

Скрипт восстановления полисей восстанавливает только до перезагрузки.
С LiveCD запуск куреит и подобных ничего не находит

Gmer стартует с ошибкой LoadDriver("C:/Temp\pxtdapow.sys") error 0xC000003A: Нельзя создать статический подпараметр для временного родительского параметра и C:\Windows\system32\config\system: Процесс не может получить доступ к файлу, т.к. этот файл занят другим процессом

[Info_bot]

Уважаемый(ая) ne_kodim, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[ne_kodim]

Лог MBAM
Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Версия базы данных: 6859

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

15.06.2011 10:19:57
mbam-log-2011-06-15 (10-19-57).txt

Тип сканирования: Полное сканирование (C:\|)
Просканированные объекты: 289482
Времени прошло: 36 минут, 19 секунд

Зараженные процессы в памяти: 0
Зараженные модули в памяти: 0
Зараженные ключи в реестре: 0
Зараженные параметры в реестре: 0
Объекты реестра заражены: 0
Зараженные папки: 0
Зараженные файлы: 0

Зараженные процессы в памяти:
(Вредоносных программ не обнаружено)

Зараженные модули в памяти:
(Вредоносных программ не обнаружено)

Зараженные ключи в реестре:
(Вредоносных программ не обнаружено)

Зараженные параметры в реестре:
(Вредоносных программ не обнаружено)

Объекты реестра заражены:
(Вредоносных программ не обнаружено)

Зараженные папки:
(Вредоносных программ не обнаружено)

Зараженные файлы:
(Вредоносных программ не обнаружено)

HKLM\Security\Policy\Secrets\SAC* "Ошибка при открытии раздела", просмотреть Разрешения -> Безопасность нельзя
аналогично с веткой HKLM\Security\Policy\Secrets\SAI*

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSM AN\* Security mismatch

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены