посмотрю сегодня систему по методу поиска руткитов в uVS, может еще будут какие  то нюансы замечены.

по сети пробивает. Conficker.
http://ru.wikipedia.org/wiki/Conficker

[QUOTE]RP55 RP55 пишет:
Если TDSS и VBA32 лечат - значит такая возможность есть.   [/QUOTE]
TDsskiller, vba32arkit - это специализированные антируткиты, они заточены на лечение руткитов_буткитов из активной системы.

[B]Scan Log[/B]
[QUOTE]Version of virus signature database: 6884 (20120214)
Date: 15.02.2012  Time: 1:05:59
Scanned disks, folders and files: Operating memory
[B]Operating memory » iexplore.exe(2224) - a variant of Win32/PSW.Papras.CA trojan - unable to clean[/B]
Number of scanned objects: 359
Number of threats found: 1
Number of cleaned objects: 0
Time of completion: 1:06:24  Total scanning time: 25 sec (00:00:25)[/QUOTE]

по uVS. такая возможность всегда есть. пролечить с WinPe&uVS.
по браузерам: Firefox с ошибкой о перемещении user32.dll в памяти.
Картинка после запуска IE:
согласен, есть детект в памяти.
[IMG]http://i054.radikal.ru/1202/dd/2bd99d978527.jpg[/IMG]

Да, но на (загрузчик) в памяти Carberp.A был всегда детект. хоть и без лечения.

лог сканирования ESET Endpoint Security Suite при зараженном VBR (IPL)
[QUOTE]Scan Log
Version of virus signature database: 6883 (20120214)
Date: 14.02.2012  Time: 23:45:35
Scanned disks, folders and files: Operating memory;C:\Boot sector
Number of scanned objects: 332
Number of threats found: 0
Time of completion: 23:45:46  Total scanning time: 11 sec (00:00:11)[/QUOTE]

то о чем пишет VBA32 (по отчету VBA32arkit_beta)
[QUOTE]\Driver\atapi IRP_MJ_INTERNAL_DEVICE_CONTROL 0x8080377E C:\WINDOWS\system32\ntkrnlpa.exe Signed Anomaly detected [/QUOTE]

хм,
[QUOTE]подтверждаю, что в новом варианте Rootkit.Cidox.B есть защита от перезаписи в VBR из активной системы.

23:17:09.0734 0140 TDSS rootkit removing tool 2.7.12.0 Feb 11 2012 16:58:52
23:17:11.0749 0140 ============================================================­
23:17:11.0749 0140 Current date / time: 2012/02/14 23:17:11.0749
23:17:11.0749 0140 SystemInfo:
23:17:11.0749 0140
23:17:11.0749 0140 OS Version: 5.1.2600 ServicePack: 3.0
23:17:11.0749 0140 Product type: Workstation
23:17:11.0749 0140 ComputerName: VM-XP
23:17:11.0749 0140 UserName: safety
23:17:46.0702 1284 ============================================================­
23:17:46.0702 1284 Scan finished
23:17:46.0702 1284 ============================================================­
23:17:46.0718 1584 Detected object count: 2
23:17:46.0718 1584 Actual detected object count: 2
23:18:35.0405 1584 \Device\Harddisk0\DR0\# - copied to quarantine
23:18:35.0405 1584 \Device\Harddisk0\DR0 - copied to quarantine
23:18:35.0405 1584 \Device\Harddisk0\DR0 ( Rootkit.Win32.BackBoot.gen ) - User select action: Quarantine
23:18:35.0421 1584 \Device\Harddisk0\DR0\Partition0 - copied to quarantine
23:18:35.0421 1584 \Device\Harddisk0\DR0\Partition0 ( Rootkit.Boot.Cidox.b ) - User select action: Quarantine
23:19:03.0140 1008 Deinitialize success
[/QUOTE]

по логу uVS

[QUOTE]IPL NTFS [C:]
Дата: 2012-02-14 [2012-02-14 16:30:00 UTC ( 52 minutes ago )]
Имя: vbr_infected.bin
BOO/Cidox.A [AntiVir]
Детектов: 1 из 8
--------------------------------------------------------
Запись загрузчика в VBR:
C:
Ошибка записи [Запрос не был выполнен из-за ошибки ввода/вывода на устройстве. ]
[/QUOTE]

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.74 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delall %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\VBACAP32.1_0
deltmp
delnfr
clrmd
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно [URL=http://forum.esetnod32.ru/forum9/topic682/]быструю проверку системы в малваребайт[/URL]

Возможно, это тот же Carberp с функционалом буткита (Carberp.A), + добавлена защита от перезаписи VBR из активной системы.