Trojan.Win32.LaSta + Backdoor.Win32.IRCBot.ekt

[broomerr]

У меня на компьютере завелась парочка (ну может больше) троянов, от которых никак не могу избавится.
Те антивирусы что я попробовал (DrWeb, NOD32 и avira) их не видят.
Активность выражается в том что процессы explorer.exe и spoolsvc.exe держат открытыми соединения на внешний IP по портам 6666, 7000 и 7777
на всех дисках пытается создать файл \autorun.inf и \RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
прописывает c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe в автозапуске в реестре и в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}\@StubPath=....

В рамках борьбы с этими троянами было сделано:
1. Запрещено создание записей в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}
2. создан ФАЙЛ с именем c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013
3. на внешнем роутере запрещен выход по портам 6666,7000,7777

Жизнедеятельность троянов это несколько придавило, однако они по прежнему присутствуют (активность по портам)

[drongo]

Пункт 7 правил не выполнен- немедленно выполнить!
Отключить nod32 и инет/сеть- выполнить скрипт в авз:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);

 TerminateProcessByName('c:\windows\system32\spoolsvc.exe');
 QuarantineFile('C:\System Volume Information\_restore{6A20F923-4B67-48E3-BE6E-69A98983B150}\RP148\A0048201.exe','');
 QuarantineFile('C:\Documents and Settings\Папулька\Local Settings\Temporary Internet Files\Content.IE5\QXDRGAF1\dis[2].exe','');
 QuarantineFile('C:\Documents and Settings\Папулька\systems.exe','');
 QuarantineFile('D:\Program Files+\BIRTHDAY\Birthday.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\VMHybrid.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\MTiCtwl.sys','');
 QuarantineFile('C:\WINDOWS\system32\spoolsvc.exe','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\extensions\{B13721C7-F507-4982-B2E5-502A71474FED}\components\NPComponent.dll','');
 QuarantineFile('c:\windows\system32\spoolsvc.exe','');
 DeleteFile('C:\Documents and Settings\Папулька\systems.exe');
 DeleteFile('C:\Documents and Settings\Папулька\Local Settings\Temporary Internet Files\Content.IE5\QXDRGAF1\dis[2].exe');
 DeleteFile('C:\System Volume Information\_restore{6A20F923-4B67-48E3-BE6E-69A98983B150}\RP148\A0048201.exe');
 DeleteFile('c:\windows\system32\spoolsvc.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. -> http://virusinfo.info/upload_virus.php?tid=27835
Повторите логи.

[broomerr]

1. Отключил восстановление системы.
2. Выключил сеть (через панель управления)
NOD32 - "Отключить защиту от вирусов и шпионских программ". Сам NOD32 остался запущенным.

Сделал новые логи
Чуть раньше выслал то что было запрошено из карантина.

[Rene-gad]

Пофиксите

O4 - Global Startup: AutorunsDisabled

Выполните скрипт в авз:

begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(17);
ExecuteRepair(8);
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Сделайте повторные логи по правилам начиная по п.10 правил.
- Прикрепите логи к новому сообщению.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\папулька\\local settings\\temporary internet files\\content.ie5\\qxdrgaf1\\dis[2].exe - Trojan.Win32.Disabler.ar (DrWEB: BackDoor.FireOn.46)
  2. c:\\documents and settings\\папулька\\systems.exe - Trojan.Win32.Disabler.ar (DrWEB: BackDoor.FireOn.46)
  3. c:\\system volume information\\_restore{6a20f923-4b67-48e3-be6e-69a98983b150}\\rp148\\a0048201.exe - Trojan.Win32.Disabler.ar (DrWEB: BackDoor.FireOn.46)
  4. c:\\windows\\system32\\spoolsvc.exe - Trojan.Win32.Agent.yau (DrWEB: Trojan.Packed.162)