лог мбам чистый,
выполните сканирование в ESET NOD32 [B]только оперативной памяти.[/B]
лог сканирования добавить на форум.

[B]Roman2795,[/B]
в предыдущем сообщении я запросил лог сканирования в малваребайт. читаем все внимательно.

да, этот вариант Carberp с самозащитой, поэтому либо: антируткитной утилиткой tdsskiller лечить
либо,
выполнять скрипт из Live.CD
--------
[QUOTE]06:53:44.0968 0768 Actual detected object count: 2
06:54:15.0609 0768 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - skipped by user
06:54:15.0609 0768 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Skip
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 - copied to quarantine
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - will be cured on reboot
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 - ok
06:54:15.0625 0768 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - User select action: Cure
[/QUOTE]
судя по логу, tdsskiller очистил зараженный загрузчик.
---------
сделайте новый образ автозапуска,
новый лог tdsskiller

сделайте
1.
лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
2.
образ автозапуска в [B]безопасном режиме[/B]
http://forum.esetnod32.ru/forum9/topic2687/

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
deltmp
delnfr
fixvbr C: 5
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
1.
Скачайте, распакуйте и запустите TDSSKiller:
http://support.kaspersky.ru/faq/?qid=208636926
Если программа найдет файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\NETPROTOCOL.EXE
delall %SystemRoot%\APPPATCH\CNTMQI.EXE
delall %SystemDrive%\DOCUME~1\ADMIN\LOCALS~1\TEMP\329991.EXE
deltmp
delnfr
restart
[/code]
перезагрузка,  пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно [URL=http://forum.esetnod32.ru/forum9/topic682/]быструю проверку системы в малваребайт[/URL]

это удалите в мбам,
[QUOTE]Обнаруженные файлы: 2
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
[/QUOTE]
далее,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
addsgn A7679B19B92AF4F20BD4AE3821247A05B3F9C39C5B90AD90B9F1C5BCD312­7D1F4997AB571B4E96212BC6474616FE18D57DDF6BB6458C3969C11FA475­B0D9729B 8 tr.Carberp
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\HNILFNNOZJU.EXE
bl 4070D469E8C6FCDD2F63BF9DA9687A84 163840
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\HNILFNNOZJU.EXE
chklst
delvir
deltmp
delnfr
CZOO
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
архив, из каталога uVS, созданный после скрипта (например: 2011-12-31_23-59-59.rar/7z)  отправить в почту [email protected], [email protected]  
------------
далее,
сделайте дополнительно [URL=http://forum.esetnod32.ru/forum9/topic682/]быструю проверку системы в малваребайт[/URL]

сделайте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

betwinservicexp сам по себе безопасен (это легальная программа), в данном случае бэкдор использует его для терминального доступа к рабочему столу, сам бэкдор мы удалили. посмотрите, возможно ли его деинсталлировать в через установленные программы.