helper-security.com или "you have a security problem" в трее [Trojan-Downloader.Win32.FraudLoad.cwg, Packed.Win32.Katusha.e ]

Добрый день, возникла проблема, аналогичная [URL="http://virusinfo.info/showthread.php?t=32641"]описанной здесь[/URL]. Симптомы: уведомления, сообщения в трее, самопроизвольные попытки установить интернет-соединение.
Внимательно прочел [URL="http://virusinfo.info/showthread.php?t=1235"]инструкцию[/URL] и пошагово выполнил рекомендованные действия.
- [B]Пункт #2 [/B]раздела «[B]После загрузки инструментов[/B]» выполнялся с помощью AVPTool (лог работы сохранён). Было обнаружено и удалено 4 заражённых объекта. После этого уведомления, сообщения в трее и попытки автоматической установки соединения на какое-то время исчезли.
- В момент выполнения [B]пункта #3[/B] раздела «[B]Диагностика[/B]» симптомы снова появились.
Буду очень признателен за помощь, заранее спасибо.

С уважением, Виктор

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\iKwLqqfh.exe','');
DelBHO('{6E48A90C-F4BD-4E12-9DB4-C520EB9813F1}');
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
DelBHO('{3322083F-5C61-4A51-A49E-F0D6EB9AD555}');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\tlslib.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\hwllib.dll','');
TerminateProcessByName('c:\docume~1\jfeja\locals~1\temp\yyy9760.exe');
QuarantineFile('c:\docume~1\jfeja\locals~1\temp\yyy9760.exe','');
DeleteFile('c:\docume~1\jfeja\locals~1\temp\yyy9760.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\hwllib.dll');
DeleteFile('C:\WINDOWS\system32\msxml71.dll');
DeleteFile('C:\Documents and Settings\All Users\Application Data\tlslib.dll');
DeleteFile('C:\WINDOWS\system32\iKwLqqfh.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
правил

Сделал. Троян себя никак не проявляет, пока. Что можно сделать, чтобы понять сработало или нет?

логи повторите

Вы имеете в виду пункты инструкции [B]1[/B], [B]2[/B] и [B]3 [/B] из раздела "Диагностика"?

да

Сделано.
[B]p.s.[/B] Перед снитием повторных логов было небольшое изменение софтверной конфигурации: проинсталирован "[B]Avast![/B]". Но скрипты и [B]Hijackthis[/B] выполнялись при отключённом антивирусе и файерволе (системный [B]Win XP[/B]).

удалите задания в планировщике ...
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\JFeja\LOCALS~1\Temp\1.tmp.exe','');
DeleteService('UIUSys');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\UIUSYS.SYS','');
DeleteFile('C:\WINDOWS\system32\DRIVERS\UIUSYS.SYS');
DeleteFile('C:\DOCUME~1\JFeja\LOCALS~1\Temp\1.tmp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Сделано. Карантин выложил, логи прилагаю.

пофиксите
[code]
O4 - HKCU\..\Run: [Cognac] C:\DOCUME~1\JFeja\LOCALS~1\Temp\1.tmp.exe
[/code]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\DOCUME~1\JFeja\LOCALS~1\Temp\1.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи

Hjack-ом пофиксил, скрипт выполнил, логи прилагаются.
ps
вы уж извините, за то что так много возни)

В логах чисто...

Значит, побороли:)? Ноут вроде как ведёт себя вменяемо.
Ребята, спасибо вам большое, с наступающим Рождеством.
Виктор.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\jfeja\\locals~1\\temp\\yyy9760.exe - [B]Trojan-Downloader.Win32.CodecPack.cfy[/B] (DrWEB: Trojan.DownLoad.26774)[*] c:\\docume~1\\jfeja\\locals~1\\temp\\1.tmp.exe - [B]Trojan-Downloader.Win32.FraudLoad.cwg[/B] (DrWEB: Trojan.Siggen.1109)[*] c:\\windows\\system32\\ikwlqqfh.exe - [B]Trojan.Win32.Agent.bekv[/B] (DrWEB: Trojan.DownLoad.25695)[/LIST][/LIST]