добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

прав достаточно для установки? пробуйте ставить под администратором

и кстати вопрос.
[QUOTE]Лечил аналогом LiveCD (первым который попался в поиске на "вылечить порнобанер" ;) . После лечения банер не вылазит. Но не получается зайти в систему - происходит постоянное завершение сеанса. [/QUOTE]
какой LiveCD использовали для первоначального лечения?
(трояна он прибил, а ссылку в реестре не исправил.)

[QUOTE]Полное имя C:\DOCUME~1\9335~1\LOCALS~1\TEMP\NTFS_CLEAN.EXE
Имя файла                   NTFS_CLEAN.EXE
Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Удовлетворяет критериям    
CURRENTVERSION.RUN          (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1)   AND   (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
CURRENTVERSION.WINLOGON     (ССЫЛКА ~ \CURRENTVERSION\WINLOGON\)(1)   AND   (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
Инф. о файле                Не удается найти указанный файл.
Цифр. подпись               проверка не производилась
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Автозапуск                  Неизвестный файл использует ключ реестра часто используемый вирусами
                           
Ссылки на объект            
Ссылка                      HKLM\ttracngze\Software\Microsoft\Windows\CurrentVersion\Run­\explorer
explorer                    C:\DOCUME~1\9335~1\LOCALS~1\Temp\Ntfs_Clean.exe
                           
Ссылка                      HKLM\ttracngze\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
Shell                       C:\DOCUME~1\9335~1\LOCALS~1\Temp\Ntfs_Clean.exe
                           
Ссылка                      HKLM\uvs_software\Microsoft\Windows NT\CurrentVersion\Winlogon\UIHost
UIHost                      C:\DOCUME~1\9335~1\LOCALS~1\Temp\Ntfs_Clean.exe
                           
Ссылка                      HKLM\uvs_software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
Userinit                    C:\DOCUME~1\9335~1\LOCALS~1\Temp\Ntfs_Clean.exe
                           
[/QUOTE]

раз полет нормальный, закрываем тему. :).

в приложении список подозрительных при открытии вашего образа.
----------------
давайте все по порядку делаем.

1. вы загрузили систему с Winpe&uVS

далее,

[B]выбрали каталог вашей проблемной системы с жесткого диска?[/B]

если нет, значит еще раз загружаемся с Winpe&uVS

выбираем каталог системы с жесткого диска

затем нажимаем - текущий пользователь.
-------------------
и далее, уже выполняем скрипт из файла, который был в приложении (или по ссылке)

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.80.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24NAQ.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-95590\C2GBSF9.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15555590\CAFEF9.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15559\P444Y129.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-17251\PROXZY12.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-13259\PROXZY129.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-17253\PROXZY13.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-17254\PROXZY14.EXE
delall C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-17255\PROXZY15.EXE
deltmp
delnfr
regt 5
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

выполните в uVS (из под winpe) скрипт из файла.

файл скрипта скачайте отсюда
http://rghost.ru/private/47045070/0517b5245b5c81339313c2e505059d3d
или из прикрепленного файла

после выполнения скрипта перегрузите систему в нормальный режим

пишем результат.

да, согласен, здесь можно отключить только фильтрацию http, pop3

[QUOTE]Tumanbl4 пишет:
В моем случае Нод аналогичным образом реагирует на пинги, генерируемые старой-доброй маленькой программкой-сканером "WS_Ping" - уж что она может пихать лишнего в пакет не знаю. [/QUOTE]
если уверены в этой программе пробуйте исключить ее из фильтрации.

по ac1 выполнить скрипт из файла без перезагрузки, добавить новый образ автозапуска, который будет создан автоматически.

по ac3 выполнить скрипт из файла.
-------------
файлы скриптов в приложенных файлах
(ничего не перепутать)