Остатки winhelp32.exe + может быть, что-то еще?

Нашел на компе приставучий winhelp32.exe, в итоге избавился от всех его явных проявлений в system32, в реестре и т.п. В процессах вроде не висит, в автозагрузке не прописан.

Но остался какой-то еще косяк - постоянно, с периодами от минуты до 10 минут, появляется черное окошко типа CMD, что-то быстро мелькает и пропадает. После этого в папке C:\Documents and Settings\%user_dir%\Cookies появляется один или несколько файликов с именами типа "abcd.exe", где a,b,c,d - случайные буковки. Файлы или нулевого размера, или 4 кб.
Антивирусник на них не ругается.

Логи частично вчера успел сделать, но не все, сорри, вечером попробую сделать остальное.

[COLOR="Red"][B]Внимание !!! База поcледний раз обновлялась 12.12.2007 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Даже если у Вас есть HijackThis скачайте его заново, чтобы убедиться что у Вас последняя версия (2.0.2)
Восстановление системы: включено[/B][/COLOR]
Подправьте и сделайте 3 новых лога.
Старые удалите (Мой Кабинет/Вложения)

Новые логи :)

Кстати иногда файлики не появляются по часу, а потом - с новой силой. Закономерности не обнаружено

выаолните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Xnu41.sys','');
DeleteService('Xnu41');
DeleteService('Wuc63');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wuc63.sys','');
DeleteService('Upd57');
QuarantineFile('C:\WINDOWS\System32\Drivers\Upd57.sys','');
DeleteService('Tbe57');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tbe57.sys','');
DeleteService('avmfeymx');
DeleteService('cvldv');
DeleteService('Virtual Memory Protector');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\avmfeymx.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\cvldv.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\avmfeymx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\cvldv.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Tbe57.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Upd57.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wuc63.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xnu41.sys');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...

Скрипт прогнал

Прокся рабочая блокирует запароленые архивы :( Поэтому извиняйте уж, прислал карантин без пароля...

Новые логи:

Антивирус выключать надо на время выполнения лечения.
В логах чисто.
Сервис Пак 3 поставить и Джаву обновить.
Незапароленный архив со зловредами будет убит на входе в Вирлаб 8)

Спасибо!!
(а антивирусную службу вроде бы стопил перед лечением, хотя может и забыл)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\s-1-5-21-1482476501-1644491937-682003330-1013\\helper.exe - [B]IRC-Worm.Win32.Small.bd[/B] (DrWEB: Trojan.DownLoad.3716)[/LIST][/LIST]