Проблема с сетевым червём - рассылка спама с компьютера - никак не поборем :(

[Alex99rus]

Здравствуйте!
В нашей локальной сети есть компьютер на котором стоят все клиент-банки, на него не был поставлен антивирус, так как:
а) нам было не рекомендовано ставить дабы не было лишнего возможного гемороя с банк-клиентами
б) человек клялся и божился что никуда всё равно не заходит в интернете и т.д. (женщина лет 40).

Некоторое время назад мы стали получать письма о недоставке получателям, письма якобы отправленные с наших адресов. В ходе поисков выяснилось, что на том компьютере сидит какой-то червяк:

1) Установили Symantec Corporation 9-ку, он геройски нашёл пару троянов и вирус, вроде убил их и загнулся потом сам - кое-как смогли его более-менее корректно удалить.
2) После этого просканировали Ad-Ware - она нашла ещё парочку "вредоносных программ", удалила их.
3) Сделали он-лайн сканирование Panda-ой - всё ок.
4) Установили теперь Symantec Endpoint Protection - он говорит всё ОК, но...

При включённой его Сетевой защите всё ок, как только её выключаешь - начинается рассылка, причём
судя по логам какая-то программа на компьютере слушает 2000-какой-то порт, как только защита отключается - происходит "снюхивание" её с удалённым хостом (разные внешние айпишники) и на компьютер через 53 порт валятся письма, которые он рассылает уже сам через 25 порт.
То есть компьютер как почтовый "зомби" под управлением других машин рассылает спам...

Кто-нибудь с таким сталкивался?
Посоветуйте какую-нибудь утилитку или ещё что... (Антивирус и Ad-Ware говорят что всё зашибись )
Вообщем - что делать?

По инструкции просканировал AVZ и HijackThis - выкладываю логи...
Едиственное не просканировал CureIT! от DrWeb, так как ссылка на скачивания видимо уже устарела...

[Bratez]

Выполните скрипт в AVZ:

begin
 BC_QrFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
 BC_QrFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_QrFile('C:\DOCUME~1\OLGA-K~1.GOR\LOCALS~1\Temp\winlogon.exe');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\system32\ntos.exe');
 BC_DeleteSvc('ctl_w32');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('ip6fw');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteFile('C:\DOCUME~1\OLGA-K~1.GOR\LOCALS~1\Temp\winlogon.exe');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пофиксите в HijackThis:

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\OLGA-K~1.GOR\LOCALS~1\Temp\winlogon.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe

Перезагрузитесь еще раз.
Пришлите содержимое карантина согласно приложению 3 правил.
Сделайте новые логи.

[Alex99rus]

Выполнил скрипт.
Пофиксил в HijackThis.
Выкладываю содержимое карантина и новые логи...

[moderated карантин нужно присылать в соответствии приложения 3 правил]

[Bratez]

Вах! Карантин не к сообщению, а сюда:
http://virusinfo.info/upload_virus.php?tid=15128

[Alex99rus]

ой, извините, закачал по ссылке...

[Bratez]

Лечение прошло успешно.
Выполните еще такой скриптик:

begin
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'userinit');
end.

и посмотрите, нужно ли вам что-то из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Лишнее отключим.

[Alex99rus]

да, спасибо, вроде помогло
даже Symantec-овский сетевой фаервол теперь нормально работает - через сеть всё ходит... А видимо когда был червяк - при включённом сетевом фаерволе блокировался вообще весь трафик.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\administrator.gorbushka\\local settings\\temp\\184125.exe - Rootkit.Win32.Agent.pp (DrWEB: BackDoor.Bulknet.100)