Ну что вот и финал битвы,сливаю все что знаю ....

1)http://socksps.ru/ - тут первый ботнет

2)http://tohopoho.com/b/auth.php - второй ботнет ... досит злого

3)http://donccapone.com/tmp/check.php и http://se-code.net/ip/ - связаны вместе ... походу еще один

4) 89.149.242.192/a/a.php?contextid=983583474356&uid=10850084583858382 037&v=011f03041a040c&o=117e690c1462575d1d696913116 658455448424134615b555f150c1a1d190b050905143a28016 c41791f0e141e1e0d1e19171e6a57141b5846403d210137263 83639324a59671815 - и еще один на последок

UPD: http://95.211.8.97/ редирект на http://clarafin.info/stat2.php - вроде тоже отсюда,по мнению нескольких людей, любезно предоставил Понч

PS Огромное спасибо Government за зараженную машину.
Пончу за принятие в обсуждении и помощь.