Остатки winhelp32.exe + может быть, что-то еще?

[maydond]

Нашел на компе приставучий winhelp32.exe, в итоге избавился от всех его явных проявлений в system32, в реестре и т.п. В процессах вроде не висит, в автозагрузке не прописан.

Но остался какой-то еще косяк - постоянно, с периодами от минуты до 10 минут, появляется черное окошко типа CMD, что-то быстро мелькает и пропадает. После этого в папке C:\Documents and Settings\%user_dir%\Cookies появляется один или несколько файликов с именами типа "abcd.exe", где a,b,c,d - случайные буковки. Файлы или нулевого размера, или 4 кб.
Антивирусник на них не ругается.

Логи частично вчера успел сделать, но не все, сорри, вечером попробую сделать остальное.

[Rene-gad]

Внимание !!! База поcледний раз обновлялась 12.12.2007 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Даже если у Вас есть HijackThis скачайте его заново, чтобы убедиться что у Вас последняя версия (2.0.2)
Восстановление системы: включено
Подправьте и сделайте 3 новых лога.
Старые удалите (Мой Кабинет/Вложения)

[maydond]

Новые логи

Кстати иногда файлики не появляются по часу, а потом - с новой силой. Закономерности не обнаружено

[V_Bond]

выаолните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Xnu41.sys','');
 DeleteService('Xnu41');
 DeleteService('Wuc63');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wuc63.sys','');
 DeleteService('Upd57');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Upd57.sys','');
 DeleteService('Tbe57');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Tbe57.sys','');
 DeleteService('avmfeymx');
 DeleteService('cvldv');
 DeleteService('Virtual Memory Protector');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\avmfeymx.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\cvldv.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\avmfeymx.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\cvldv.sys');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Tbe57.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Upd57.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wuc63.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Xnu41.sys');
 DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[maydond]

Скрипт прогнал

Прокся рабочая блокирует запароленые архивы Поэтому извиняйте уж, прислал карантин без пароля...

Новые логи:

[Rene-gad]

Антивирус выключать надо на время выполнения лечения.
В логах чисто.
Сервис Пак 3 поставить и Джаву обновить.
Незапароленный архив со зловредами будет убит на входе в Вирлаб

[maydond]

Спасибо!!
(а антивирусную службу вроде бы стопил перед лечением, хотя может и забыл)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-1482476501-1644491937-682003330-1013\\helper.exe - IRC-Worm.Win32.Small.bd (DrWEB: Trojan.DownLoad.3716)