И вновь про настырный winhelp32…

В «Автозагрузке» сидят только два файла winhelp32, при перезагрузке компьютера после их предварительного отключения они возникают вновь, как феникс из пепла.
На языковой панели не отображается выбранный на данный момент язык (RU/ENGL).
Internet Explorer временами ведёт себя неадекватно.
Нет возможности корректно установить NOD32 После проверки DrWeb в протоколе из 21 записи в 15 так или иначе присутствует winhelp32. Ему сопутствуют такие бяки как (дословно) «Trojan.NtRootKit.1388» и «Возможно, MULDROP.Trojan».
Won't you please, please help me? Help me, Help me, Ooooooo.

[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]
найдите и удалите правой кнопкой - force delete
[code]
c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\system32\winhelp32.exe
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe
[/code]


авз - мастер поиска и устранения проблем - выбрать все устранить ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\services.exe','');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
DeleteService('dac970nt');
QuarantineFile('C:\WINDOWS\system32\drivers\uieprn.sys','');
DeleteService('VIDEO');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('c:\windows\system32\winhelp32.exe','');
DeleteFile('c:\windows\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\system32\drivers\uieprn.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

После выполнения пункта "Скачайте" попытка установить полученное из "Скачайте" завершилось появлением сообщения следующего содержания :

HKLM\Software\microsoft\Windows\CurrentVersion\Run
RegSetValueEx : сбой; код 5
Отказано в доступе.

Что мне делать дальше?

выполните скрипт ...
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]
затем попробуйте запустить icesword

[COLOR=black]IceSword скачал с этого гуманного сайта. Но пока не воспользовался.[/COLOR]
[COLOR=black]В AVZ запостил указанный скрипт, после нажатия "Запустить" вылезло сообщение следующего содержания :[/COLOR]

[COLOR=black]Ошибка : '.' expected в позиции 6:1.[/COLOR]

[COLOR=black]К прочему веселью перестало получаться выходить во всемирную паутину :?:(.[/COLOR]
[COLOR=black]В данный момент выход в сеть с рабочего компа (есть возможность выполнения ряда предписаний на больной машине, диктуя Ваши рекомендации по телефону или посредством СМС), припасть к домашней клаве удастся после 19.00...[/COLOR]

[COLOR=black]Если не получится прорваться из дома, какие шаги ещё можно предпринять за вечер в отсутствие инета для дальнейшего продвижения к победе над коварным winhelp32 ?[/COLOR]

Выполните все рекомендации из поста номер 2. В скрипте ошибок нет. Рекомендации нужно выполнять, ничего не пропуская, по очереди. Сначала удаление IceSword указанных файлов, потом исправление проблем в AVZ-Файл-Мастер поиска и устранения проблем, потом скрипт, потом выслать карантин и прикрепить новые логи.

К моей радости инет дома фунциклирует :P.
Ещё больше обрадовался, что скрипт из поста 4 прошёл :D.
Затем с помощью IceSwordа удалил указанные в посте 2 файлы, вставил выложенный там же скрипт в AVZ.
Вроде всё делал в точности по инструции.
Теперь высылаю новый набор логов-зипов.

АВЗ -[B]Мастер поиска и устранения проблем[/B] - выбрать все проблемы устранить ...
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteService('VIDEO');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....

В Мастере поиска и устранения проблем выбраны и устранены все возможные проблемы. Далее получены следующие зипы-логи :

пофиксите ...
[code]
O4 - HKUS\S-1-5-19\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O20 - AppInit_DLLs: vmmreg32.dll
[/code]
hijackthis.log повторите ...

Профиксил :O. Высылаю лог.

больше ничего плохого ....

Огромное спасибо!