да, троян смутировал после создания предыдущего образа, так что скрипт был бесполезен.
---------------------
выполните скрипт из [B]этой же сессии[/B]

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[CODE]
;uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
addsgn A7679BF0AA028C1A4BD4C64D7B881261848AFCF689AA7BF1A0C3C5BC5055­9D14704194DE5BBD625C73C0C49F75C4C32EF4CA743C10DA3BE4AC965B2F­C706AB7E 8 Caphaw

zoo %SystemDrive%\USERS\LBOGDANOVA\APPDATA\ROAMING\SKYPE\LARISA-BOGDANOVA2\CHATSYNC\5F\EUDCEDIT.EXE
bl 60F1D7C80372AFAB186465A9A849F290 352256
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart
[/CODE]
перезагрузка,

еще раз войдите в безопасный режим, и сделайте новый образ для контроля.

не уходите с форума, пока окончательно не проверим систему.
------------

Новая проблема в массовом порядке присутствует в темах на форумах безопасности - автоматическая подмена DNS. Разовое исправление настроек DNS в сетевых подключениях не решает проблему, точнее решает, но лишь на некоторое время. Такие вот сигналы SOS в киберпространстве сейчас актуальны.

"Каждый раз происходит подмена DNS на 37.10.116.201,8.8.8.8.Систему проверил CureIt, нашел Java/Eploit.Agent.NMD. Получается, что я ставлю автоматически получать адрес DNS, через некоторое время прописываться в ручную на 37.10.116.201,8.8.8.8."

"Добрый день! В последнее время стали подменяться DNS сервера выданные DHCP сервером, т.е. сервер выдает одно, а на компьютере DNS сервера заменяются на другие."

"Каждый день, в 14 часов происходит подмена DNS на 27.10.116.201. Систему проверял CureIT и Kaspersky Virus Removal Tool, угроз не обнаружено. Сканировал систему HijackThis, фиксил строчки с данным DNS, эффект ровно такой же, как бы я в ручную поставил автоматическое присвоение DNS, хватает ровно на сутки."

[B]решение[/B]

[url=http://forum.esetnod32.ru/forum9/topic2687/]получаем образ автозапуска в uVS[/url] и тщательно изучаем раздел задач планировщика. Для автоматизации можно создать критерий поиска, содержащий подстроку
"37.10.116.201,8.8.8.8" или "DNS"

в итоге, в образе автозапуска найдется следующая запись.

[QUOTE]Полное имя C:\WINDOWS\SYSTEM32\WBEM\WMIC.EXE
Имя файла WMIC.EXE
Тек. статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске

Удовлетворяет критериям
SETDNSSERVER (ЗНАЧЕНИЕ ~ SETDNSSERVER)(1)

Сохраненная информация на момент создания образа
Статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске
File_Id 4A5BC7A78D000
Linker 9.0
Размер 566272 байт
Создан 14.07.2009 в 03:47:53
Изменен 14.07.2009 в 05:39:55
Тип файла 64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись Действительна, подписано Microsoft Windows

Оригинальное имя wmic.exe.mui
Версия файла 6.1.7600.16385 (win7_rtm.090713-1255)
Описание WMI Commandline Utility
Производитель Microsoft Corporation

Доп. информация на момент обновления списка
SHA1 071A645A88E4236281E58B90A5D50A2AC80E26E5
MD5 FD902835DEAEF4091799287736F3A028

Ссылки на объект
Ссылка C:\WINDOWS\TASKS\AT2.JOB
Значение "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8.  8)  

Ссылка C:\WINDOWS\SYSTEM32\TASKS\AT2[/QUOTE]

Теперь вы точно знаете, что делать с файлами C:\WINDOWS\TASKS\AT2.JOB, C:\WINDOWS\SYSTEM32\TASKS\AT2

Критерий поиска можно уточнить до ЗНАЧЕНИЕ ~ SETDNSSERVER

©, chklst.ru

сейчас это идет в массовом порядке

http://virusinfo.info/showthread.php?t=151770
http://virusinfo.info/showthread.php?t=150577
http://virusinfo.info/showthread.php?t=151837
http://virusinfo.info/showthread.php?t=151824
http://virusinfo.info/showthread.php?t=151766
http://virusinfo.info/showthread.php?t=151751
и здесь
http://virusinfo.info/showthread.php?t=151521

http://virusinfo.info/showthread.php?t=151968

http://virusinfo.info/showthread.php?t=151952

[B]Zloydi[/B], здесь задачи запускаются по замене DNS
http://www.adminplanet.ru/t9573.html

[QUOTE]Полное имя C:\WINDOWS\SYSTEM32\WBEM\WMIC.EXE
Имя файла                   WMIC.EXE
Тек. статус                 ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске
                           
Удовлетворяет критериям    
SETDNSSERVER                (ЗНАЧЕНИЕ ~ SETDNSSERVER)(1)
                           
Цифр. подпись               Действительна, подписано Microsoft Windows
                           
                       
Ссылки на объект            
Ссылка                      C:\WINDOWS\TASKS\AT1.JOB
Значение                    "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8.8)
                           
Ссылка                      C:\WINDOWS\TASKS\AT2.JOB
Значение                    "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8.8)
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\AT1
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\AT2
[/QUOTE]

я думаю, для начала надо научиться применять эти инструменты практически при решении проблем.

pe explorer
http://www.heaventools.ru/pe-explorer.htm

explorer suite
http://www.ntcore.com/exsuite.php

не вижу смысла обсуждать это здесь . Иначе получится один большой офтоп. А раздел предназначен не для офтопа, а для оказания помощи пользователям. Что мешает тебе открыть тему на АМ?

Сравни: чистый rpcss.dll

[QUOTE]Length Of Struc: 0394h
Length Of Value: 0034h
Type Of Struc:   0000h
Info:            VS_VERSION_INFO
Signature:       FEEF04BDh
Struc Version:   1.0
File Version:    5.1.2600.5755
Product Version: 5.1.2600.5755
File Flags Mask: 0.63
File Flags:      
File OS:         NT (WINDOWS32)
File Type:       DLL
File SubType:    UNKNOWN
File Date:       00:00:00  00/00/0000

    Struc has Child(ren). Size: 824 bytes.

Child Type:         StringFileInfo
Language/Code Page: 1033/1200
CompanyName:        Microsoft Corporation
FileDescription:    Distributed COM Services
FileVersion:        5.1.2600.5755 (xpsp_sp3_gdr.090206-1234)
InternalName:       rpcss.dll
LegalCopyright:     © Microsoft Corporation. All rights reserved.
OriginalFilename:   rpcss.dll
ProductName:        Microsoft® Windows® Operating System
ProductVersion:     5.1.2600.5755

Child Type:         VarFileInfo
Translation:        1033/1200
[/QUOTE]

и rpcss.dll ( Win32.Patched)

[QUOTE]Length Of Struc: 0394h
Length Of Value: 0034h
Type Of Struc:   0000h
Info:            VS_VERSION_INFO
Signature:       FEEF04BDh
Struc Version:   1.0
File Version:    5.1.2600.5755
Product Version: 5.1.2600.5755
File Flags Mask: 0.63
File Flags:      
File OS:         NT (WINDOWS32)
File Type:       DLL
File SubType:    UNKNOWN
File Date:       00:00:00  00/00/0000

    Struc has Child(ren). Size: 824 bytes.

Child Type:         StringFileInfo
Language/Code Page: 1033/1200
CompanyName:        Microsoft Corporation
FileDescription:    Distributed COM Services
FileVersion:        5.1.2600.5755 (xpsp_sp3_qfe.090206-1316)
InternalName:       rpcss.dll
LegalCopyright:     © Microsoft Corporation. All rights reserved.
OriginalFilename:   rpcss.dll
ProductName:        Microsoft® Windows® Operating System
ProductVersion:     5.1.2600.5755

Child Type:         VarFileInfo
Translation:        1033/1200
[/QUOTE]

а если в разных системах у регедит будет различное чисто иконок? тогда под каждую систему свой критерий будет?

Владимир Цыбин, с вами все ясно.