угу, значит висит в памяти

[QUOTE]Просканированные диски, папки и файлы: Оперативная память
Оперативная память - Win32/Sirefef троянская программа - выбор действия отложен до завершения сканирования
Количество просканированных объектов: 389
Количество обнаруженных угроз: 1
Количество очищенных объектов: 0[/QUOTE]
а после завершения проверки ЕСЕТ не предлагает действие по его очистке?
+

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

OFFSGNSAVE

delall %SystemDrive%\PROGRAM FILES\AVG SAFEGUARD TOOLBAR\VPROT.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\AVG SECURE SEARCH\VTOOLBARUPDATER\18.1.5\TOOLBARUPDATER.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\AVG SECURE SEARCH\SCRIPTHELPERINSTALLER\18.1.5\SCRIPTHELPER.EXE
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
+
добавьте лог gmer
http://forum.esetnod32.ru/forum9/topic733/

ок, значит не в этом драйвере дело. значит не нужен архив. добавьте новый лог журнала обнаружения угроз.

+
выполните в ESET NOD32 сканирование только оперативной памяти, и добавьте лог сканирования
---------
будем думать дальше. что делать.

+
добавьте лог gmer
http://forum.esetnod32.ru/forum9/topic733/

угу, драйвер остался в системе
[QUOTE]09:44:50.0093 0x0a6c avgtp ( ForgedFile.Multi.Generic ) - skipped by user
09:44:50.0093 0x0a6c avgtp ( ForgedFile.Multi.Generic ) - User select action: Skip
[/QUOTE]
образ сейчас гляну, отпишусь, что дальше делаем

выполняем скрипт в uVS (в нормальном режиме):
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]

;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

OFFSGNSAVE

sreg

delref %Sys32%\DRIVERS\AVGTPX86.SYS
ZOO %Sys32%\DRIVERS\AVGTPX86.SYS
deltmp
delnfr
CZOO
areg

[/code]
перезагрузка, пишем о старых и новых проблемах.
(сохранился детект sirefef или нет)

архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z)  отправить в почту [email protected]
------------
далее,

добавьте новый лог проверки в tdsskiller
если этот детект сохранится,
[QUOTE] avgtp ( ForgedFile.Multi.Generic )[/QUOTE]
прибейте его в tdsskiller

+
добавьте новый лог журнала обнаружения угроз.

похоже, tdsskiller тоже не видит Zaccess/Sirefef

1. деинсталлируйте эту программу
[QUOTE]AVG SafeGuard toolbar[/QUOTE]
возможно файлик, который детектирует tdsskiller от AVG
http://www.file.net/process/avgtpx86.sys.html

2. после деинсталляции добавьте новый лог проверки в tdsskiller

3. пробуем найти скрытый объект с помощью загрузочного Winpe&uVS по методу сверки
http://chklst.ru/forum/discussion/12/metod-poiska-rutkitov-v-sisteme-po-faylu-sverki-v-uvs#Item_1

[QUOTE]13.05.2014 2:27:32 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа
13.05.2014 1:23:12 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа
13.05.2014 1:22:08 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Sirefef троянская программа F44FFFF416BF475\Юрий
[/QUOTE]

по образу:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[CODE]
;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
hide %SystemDrive%\PROGRAM FILES\WEBMONEY\WEBMONEY.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://WWW.APEHA.RU

delref HTTP://SEARCH.QIP.RU

; Delta Chrome Toolbar
exec C:\Documents and Settings\Юрий\Application Data\BabSolution\Shared\GUninstaller.exe" -key "Delta Chrome Toolbar" -rmkey -ask

; Java™ 6 Update 39
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216037FF} /quiet

deltmp
delnfr
;-------------------------------------------------------------

regt 12
restart
[/CODE]
перезагрузка, пишем о старых и новых проблемах.

добавьте лог tdsskiller

[QUOTE]Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска. [/QUOTE]

1. добавьте лог обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. добавьте образ автозапуска из безопасного режима системы

3. сделайте проверку в tdsskiller
http://support.kaspersky.ru/viruses/utility#tdsskiller
(пока ничего не удаляйте при обнаружении вредоносных объектов)

это нормально. все процессы подписаны.

судя по списку процессов левых (и лишних) процессов нет, за исключением может быть этого

[QUOTE] spd.exe 0.16 7 260 K 9 384 K 1576 cFosSpeed Service cFos Software GmbH[/QUOTE]

который похоже используется как Интернет Аксселератор (Internet Accelerator)

http://www.cfos.de/en/cfosspeed/cfosspeed.htm

в памяти нет обнаруженных вирусов - это уже хорошо.

[QUOTE]Просканированные диски, папки и файлы: Оперативная память
Количество просканированных объектов: 217
Количество обнаруженных угроз: 0
Время выполнения: 0:30:40 Общее время проверки: 4 сек. (00:00:04)[/QUOTE]

последние угрозы обнаружены сегодня.

[QUOTE]11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING
11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING
11.05.2014 20:17:13 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\KING\AppData\Local\Temp\unfdt.exe модифицированный Win32/Lethic.AE троянская программа очистка невозможна RUSLAN1-PC\KING
[/QUOTE]

понаблюдайте за системой, если появятся новые угрозы, добавьте новый образ автозапуска

+
выполните рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

+
добавьте лог процессов из программы Process Explorer
http://technet.microsoft.com/ru-ru/sysinternals/bb896653.aspx

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/