неубиваемый winhelp32

[grayer]

Собственно ситуация уже неоднократно здесь описывалась, из трея исчезли почти все иконки. В загрузке msconfig показывает трижды winhelp32, отключить который не удается. Cure из DrWeb проблемы видит, но вылечить не может (даже при загрузке с чистой версии XP-PE).
Прочитаные посты позволяют надеяться, что мой случай излечимый, но запускать чужие срипты у вас рекомендуется. Может быть посмотрите логи и посоветуете, что можно сделать?

[Гриша]

Отключите антивирус и интернет!

Скачать,меню,File,появится аналог проводника,найти:

c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\system32\winhelp32.exe
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
 DeleteService('VIDEO');
 QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
 DeleteService('BrowserTrkWks');
 QuarantineFile('srv.exe','');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('srv.exe');
 DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('VIDEO');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[grayer]

Спазибо, за оперативный ответ.
Выполнил все по инструкции, только файл c:\windows\system32\winhelp32.exe (упомянутый трижды) у меня не нашелся ни разу. Видимо, он стерся в ходе предыдущих чисток. Вирус не удалился, все осталось, как было.
Карантин выслал, логи ниже, есть ли какие-нибудь предложения?

[kps]

Вам нужно зайти в AVZ => Файл => Мастер поиска и устранения проблем
Найти и устранить проблему "Некорректный элемент автозапуска"

Потом в IceSword force delete для файла C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys, если он будет.

Потом скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
 DelBHO('7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки сделать новые логи.

[grayer]

Ничего не помогает. После перезагрузки все остается как было (предупреждая очевидный вопрос сообщаю что востановление отключено). Мастер устранения проблем работает странно: сообщает что проблема "Некорректный элемент автозапуска" успешно устранена, но если опять включить поиск проблем, то вновь появляется "Некорректный элемент автозапуска". Так должно быть? Это и в обычном и в защищенном режиме загрузки.

[kps]

Так не должно быть. Файл video.sys присутсвовал? Сделайте новые логи.

[grayer]

На очередной иттерации вирус устранился, огромное спасибо за помощь. Теперь буду востанавливать загрузку. Еще один вопрос msconfig показывает, что winhelp32 присутствует в автозагрузке, но в нормальном виде то есть галочку загрузки с него можно снимать и он не загружается. Хотелось бы удалить строку с winhelp32 из автозагрузки как это сделать? Лезть в реестр или есть другой способ?

[kps]

Попробуйте пофиксить его автозагрузку в HiJackThis. Сделайте новые логи.

[grayer]

Привожу последние логи

[Aleksandra]

Ничего зловредного в логах нет.

Пофиксите в HijackThis:

O20 - AppInit_DLLs: vmmreg32.dll

[kps]

Еще один вопрос msconfig показывает, что winhelp32 присутствует в автозагрузке, но в нормальном виде то есть галочку загрузки с него можно снимать и он не загружается.

Зайдите в regedit, откройте ключ реестра
HKEY_LOCAL_MACHINE\Software\Microsoft\Shared Tools\MSConfig\startupreg
Там найдите и удалите ключ, котрорый остался от зловреда, тогда запись в msconfig должна пропасть.

[grayer]

Спасибо, вечером все проделаю. Пока пытался избавится от Symantec, он не деинсталируется ни своими ни предлагаемыми на сайте средствами.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\video.sys - Rootkit.Win32.Agent.cbs (DrWEB: Trojan.NtRootKit.138
  2. c:\\windows\\system32\\vmmreg32.dll - Trojan-PSW.Win32.Agent.kkq (DrWEB: Trojan.Siggen.172)
  3. c:\\windows\\system32\\webmin\\video.bkp - Rootkit.Win32.Agent.cbs (DrWEB: Trojan.NtRootKit.138
  4. c:\\windows\\system32\\webmin\\vmmreg32.bkp - Trojan-PSW.Win32.Agent.kkq (DrWEB: Trojan.Siggen.172)