создайте образ автозапуска с помощью WinPe&uVS
http://forum.esetnod32.ru/forum6/topic2102/

[b]выполнить скрипт в uVS[/b]
скопировать содержимое кода в буфер обмена
закрыть браузеры перед выполнением скрипта
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена

[code]

;uVS v3.73 script [http://dsrt.dyndns.org]

addsgn A7679BF0AA0244100BC4C62D59C80261848AFCF689AA7BF1A0C3C5BC5055­9D14704194DE5BBD625C73E0848F75C4C32EF4CAD4DD51CA3BE4AC965B2F­C706AB7E 8 Spy.Shiz

zoo %SystemRoot%\APPPATCH\SCFLBS.EXE
delall %SystemRoot%\APPPATCH\SCFLBS.EXE
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
delref HTTP://XTREME.WS/
deltmp
delnfr
czoo
restart

[/code]

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
+
выполнить сканирование в [URL=http://forum.esetnod32.ru/forum9/topic682/]Малваребайт[/URL]

перезалейте образ на http://rghost.ru

удалите найденное в МБАМ,
в остальном - чисто.

выполните рекомендации по безопасной работе
http://forum.esetnod32.ru/forum9/topic751/

тема закрыта.

да, вообщем понятно.
uVS может быть закрыт после выполнения скрипта adddir+ crimg, и после нового запуска файлики добавленные в предыдущей сессии через adddir
не попадают в автозапуск,
а поскольку chklst проверяет только список автозапуска (и ничего больше, если не добавлено скриптом), то соответственно delvir "не дотягивается" до файлов из
[QUOTE]%SystemDrive%\USERS\ADMIN\APPDATA\ROAMING [/QUOTE]
тут или удалять по прямому пути надо был через delall, или использовать в текущем скрипте adddir (в примере [B]RP55[/B]) перед проверкой по сигнатурам
(неплохой пример для науки.)

[b]выполнить скрипт в uVS[/b]
скопировать содержимое кода в буфер обмена
закрыть браузеры перед выполнением скрипта
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена

[code]

;uVS v3.73 script [http://dsrt.dyndns.org]

fixvbr C: 5
delref HTTP://WWW.SMAXXI.BIZ
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ГЕОЛИНК\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
deltmp
delnfr
restart

[/code]

перезагрузка, пишем о старых и новых проблемах.

удалите все найденное в МБАм,
перезагрузка,
сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

выполните наши рекомендации применительно к вашей системе
http://forum.esetnod32.ru/forum9/topic751/
(backdoor может еще вернуться, имеет смысл периодически выполнить сканирование для контроля.)

хм, вытравились. даже интересно стало, почему они так долго оставались в системе. должны были быть удалены еще скриптами uVS.

еще раз выполните сканирование  в [B]малваребайт[/B]