Подозрительгая папка "sysuser"

Доброго всем дня!
На днях вылечил с Вашей помощью систему (ещё раз большое спасибо!) и там среди прочего была папка w\system32\sysuser, которая, как я понял, содержала программу/мы для взлома/слежения. И вот теперь встретил такую папку ещё на одной машине. Вызвался помочь, проверил на вирусы по Вашим рекомендациям - в sysuser CureIT нашёл Trojan.HideProc.42 в виде файла Sys2.dll. Будьте добры, посмотрите прилагаемые логи и подскажите, что и как ещё исправить (обновления, это понятно - поставлю:)).

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ExecuteRepair(13);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
DeleteService('MSSystem');
QuarantineFile('C:\WINDOWS\system32\sysuser\svchost.exe','');
DeleteService('ASUSHWIO');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe','');
DeleteFile('c:\windows\tasks\At1.job');
QuarantineFile('C:\Documents and Settings\Valentin\Templates\Brengkolang.com','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
QuarantineFile('C:\WINDOWS\system32\sysuser\sys.dll','');
DeleteFile('C:\WINDOWS\system32\sysuser\sys.dll');
QuarantineFile('c:\windows\system32\sysuser\wssfcmai.exe','');
QuarantineFile('c:\windows\system32\sysuser\system.exe','');
QuarantineFile('c:\windows\system32\sysuser\svchost.exe','');
DeleteFile('c:\windows\system32\sysuser\svchost.exe');
DeleteFile('c:\windows\system32\sysuser\system.exe');
DeleteFile('c:\windows\system32\sysuser\wssfcmai.exe');
DeleteFile('C:\Documents and Settings\Valentin\Templates\Brengkolang.com');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\SPIDERNT','EventMessageFile');
DeleteFile('C:\WINDOWS\system32\sysuser\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
Установите Adobe Acrobat Reader 9.1.3 или удалите старый.

Всё сделал!
Карантин выслал.

[URL="http://virusinfo.info/showthread.php?t=7660"]Очистите[/URL] файл [B]hosts[/B].

Вы каком антивирусом пользоваться собираетесь? У Вас Нортон и Др.Веб.
Удалите какой не нужен, повторите лог по п.2 Диагностики.

Будет DrWeb, Нортона удалил.
Файл hosts очистил. Попытался удалить за ненадобностью ICQ - не получается, ошибка открытия reg.key.
После перезагрузки стала выскакивать такая ошибка: Generic Host Process for Win32 Services - обнаружена ошибка. Приложение будет закрыто. Похоже я что-то не так сделал?:(

Обновления безопасности на Windows надо устанавливать. Лучше начать с [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] (может потребоваться активация).

Файл hosts поправил - ошибка пропала. С ICQ тоже справился.
Вот только система как и предыдущем случае ([URL]http://virusinfo.info/showthread.php?t=52486[/URL]) стала надолго задумываться при перезагрузке/выключении. - 2 мин и более. Изменения в реестре, предложенные уважаемым Rene-Gad-ом влияют лишь на скорость исчезновения ярлыков и элементов интерфейса на "рабочем столе", но "обои" всё-равно висят 2 мин и более. В чём беда?

[CODE]C:\WINDOWS\System32\drivers\ASUSHWIO.sys[/CODE] - пришлите по правилам (приложение 2 и 3).

[QUOTE=Rene-gad;454842][CODE]C:\WINDOWS\System32\drivers\ASUSHWIO.sys[/CODE] - пришлите по правилам (приложение 2 и 3).[/QUOTE]
Что-то нет такого файла на этой машине.

[QUOTE=androstan;455193]Что-то нет такого файла на этой машине.[/QUOTE]ОК, значит я его выдумал 8)

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].

[QUOTE=Rene-gad;455278]ОК, значит я его выдумал 8)

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].[/QUOTE]
Уважаемый Rene-gad, если Вас обидел, то прошу прощения, но указанный Вами файл правда отсутствует:( - AVZ выдаёт ошибку при попытке добавить файл в карантин по списку.
Лог GMER прилагаю.

[QUOTE=androstan;456623]если Вас обидел, то прошу прощения.[/QUOTE]Да нет же :D Ну подумайте сами - мы же не ясновидящие и если видим В ЛОГЕ файл, вызывающий у нас подозрения, то просим его прислать для анализа.
Если бы Вы сказали: Не могу найти файл - другое дело, но утверждать, что его нет Вы не можете, т.к. он виден в логе.:)

Вы в GMER на кнопку SCAN нажимали? Что-то лог очень маленький.

Уважаемый Rene-gad! С некоторым трудом, но всё-таки получилось записать лог GMER-а! ;) Около десятка запусков оканчивались сохранением практически пустого лог-файла, пока не додумался скачать эту прогу ещё раз! Сообщение о том, что найден руткит видел, однако свои ручонки держу при себе:) - жду мнения экспертов.
Кстати про файл C:\WINDOWS\System32\drivers\ASUSHWIO.sys - прошу меня извинить за некорректную формулировку, но удивительно, что программа записавшая файл в лог не видит его при попытке поместить в карантин. Это что, такой юркий "червячок"?!:O

[QUOTE=androstan;458504]Сообщение о том, что найден руткит видел, однако свои ручонки держу при себе[/QUOTE]Это было мудрое решение, т.к. telnet - служба Виндовс. Если она Вам не нужна - можете ее отключить.
[QUOTE]удивительно, что программа записавшая файл в лог не видит его при попытке поместить в карантин. [/QUOTE]Файл может быть не помещен в карантин, если он проходит по базе безопасных файлов.А если поискать его, то м.б. он найдется: АВЗ/Сервис/Поиск файлов?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=AndreyKa;454580]Обновления безопасности на Windows надо устанавливать. Лучше начать с [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] (может потребоваться активация).[/QUOTE]Сделано?

Увы, но файл не находится:( ни при помощи АВЗ, ни из коммандной строки, про эксплорер уж и не говорю. В логах АВЗ он по прежнему присутствует.
Сервис-пак на винду установил.
Кстати, про главный вопрос: что это за папка "sysuser"? - расскажите хоть что зверь её организовал. Нужно ли её удалять? Несмотря на выполненный скрипт, эта папка всё ещё присутствует на своём месте.

- Сделайте лог полного сканирования [URL="http://www.malwarebytes.org/mbam-download.php"]MBAM[/URL].

[QUOTE=Rene-gad;458776]- Сделайте лог полного сканирования [URL="http://www.malwarebytes.org/mbam-download.php"]MBAM[/URL].[/QUOTE]
Вот лог полного сканирования программой МВАМ.

C:\Documents and Settings\Valentin\Local Settings\Application Data\Bron.tok-12-29 - удалите с помощью МБАМ

Папка sysuser в зловредных не видна. А она еще есть? Что в ней лежит?

Во вложении архив с текстовым файлом со списком полного содержимого каталога sysuser (за исключением файла Sys2.dll, который был удалён CureIt - первый пост, он располагался в корне папки + несколько файлов, удалённых при выполнении скрипта в AVZ). Папка имеет аттрибут "скрытая", подпапка Logs и её содержимое было недоступно.

Понятия не имею, куда тут кобылу запрягают :)
Удалите эту папку.