winhelp32.exe в автозагрузке... логи+

перепробовала уже все из способов, которые тут описаны.. ничего не помогает, остался только один выход.. но я надеюсь на вашу помощь.. интернет работает еле-еле.. на машине чехарда.. антивирусник не активен.. жуть..

логи:
[url]http://narod.ru/disk/1993687000/hijackthis%20(copy%206).log.html[/url]
[url]http://narod.ru/disk/1993688000/virusinfo_syscure%20(copy%205).zip.html[/url]
[url]http://narod.ru/disk/1993689000/virusinfo_syscheck%20(copy%206).zip.html[/url]

помогите пожалуйста хоть чем-нибудь..

Сейчас на машине стоит Avira Antinvir Personal и Fd-Aware.
В автозагрузке постоянно прописывается этот файл и не один он. Из реестра удаляется и опять там появляется..
Все утилиты в один голос говорят, что вируса нет... >:(

AVZ => Файл => Мастер поиска и устранения проблем, найдите и устраните проблему "Некорректный элемент автозапуска".

Потом [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Сделайте новые логи. Их лучше к Вашему сообщению прикрепить, чем выкладывать на файлообменник.

сейчас сделаю,
к сожалению не могу прикреплять здесь файлы, у меня пишет ошибку в недостаточности прав... поэтому и выкладываю в файлообменник..

[size="1"][color="#666686"][B][I]Добавлено через 31 минуту[/I][/B][/color][/size]

[url]http://narod.ru/disk/1994651000/hijackthis%20(copy%207).log.html[/url]
[url]http://narod.ru/disk/1994652000/virusinfo_syscure%20(copy%206).zip.html[/url]
[url]http://narod.ru/disk/1994653000/virusinfo_syscheck%20(copy%207).zip.html[/url]

Проблему с некорректным элементом автозапуска исправляли?
Исправьте, потом [url=http://virusinfo.info/showthread.php?t=4491]пофиксите в HijackThis[/url]:
[code]O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe[/code]

Сделайте новые логи.

вот новые логи
[url]http://narod.ru/disk/1995120000/virusinfo_syscure%20(copy%207).zip.html[/url]
[url]http://narod.ru/disk/1995121000/virusinfo_syscheck%20(copy%208).zip.html[/url]
[url]http://narod.ru/disk/1995122000/hijackthis%20(copy%208).log.html[/url]

но мне кажется что гадость не убита.. сканер от лавасофта показывает изменения реестра сразу после загрузки компьютера... :(

[U]тут у человечка та же проблема..[/U]
[I]Мастер устранения проблем работает странно: сообщает что проблема "Некорректный элемент автозапуска" успешно устранена, но если опять включить поиск проблем, то вновь появляется "Некорректный элемент автозапуска". Так должно быть?[/I]

повторяется все один в один.. у меня тоже в AVZ при поиске пишет снова и снова "Некорректный элемент автозапуска", хотия я его исправно удаляю.. даже делаю очистку компьютера через програмку "очистить логи"...

остается.. только формат.. :(
можно еще поглумиться поставить другую ОС поверх, стирая предыдущую, может удалит и этот вирус при переустановке..?

Пуск/Выполнить... набрать msconfig, нажать ВВОД , Автозапуск - Все отключить, Службы - Виндовс-Службы не показывать, остальные - отключить.
Перегрузитесь, сообщение об изменении автозагрузки подтвердите,
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки повторите логи от п. 10 правил.

у меня после отключения всего из автозагрузки и потом перезагрузки, в автозагрузке все выскакивает по новой.. это так и должно быть?
иду делать.

сделала все и новые логи вот:
я пристегнула, может получилось..
а если нет, то файлы есть и тут
[url]http://narod.ru/disk/1995665000/virusinfo_syscheck%20(copy%209).zip.html[/url]
[url]http://narod.ru/disk/1995666000/hijackthis%20(copy%209).log.html[/url]

давайте убьем эту гадость!!!

[QUOTE=SHER;267035]давайте убьем эту гадость!!![/QUOTE]За что и боремся :) В логе Хайджека сейчас гадов не видно. А теперь, плиз, повключайте все, что в msconfig поотключали и повторите еще эти последних 2 лога, плиз

конечно :)
сейчас все сделаю!!!

подключила все что было в автозагрузке и сделала логи:

Похоже, нам удалось снять маскировку.

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe
[/CODE]
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteService('VIDEO');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

новые логи..

Удалось найто файлы с помощью IceSword а?
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL], если получится
[CODE]O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe[/CODE]
После перезагрузки - новый лог Хайджека.

все, что нашла с помощью IceSword выслала в карантин.

[B]пофиксила[/B], но похоже гадость умирать никак не хочет.. :?
в автозагрузке по-прежнему висит winhelp32.exe

[U]Посмотрела реестр,[/U] в нем
[I]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce[/I]
[B]теперь все чисто[/B], только то, что мне нужно.

А вот в
[I]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce[/I]
[B]Windows Help Service C:\WINDOWS\SYSTEM32\winhelp32.exe[/B]
этот проклятущий [U]автозапуск прописан[/U], мало того, [U]если удалить[/U] его отсюда, он [U]через секунду появляется опять[/U] на старом месте...

так и должно быть или гадость еще пытается брыкаться?
Но теперь радует: появление языковой панели и даже работает сканер от антивируса, значок сети появился :)

Прикрепите пожалуйста новый лог AVZ.

лог

По-моему только запись в реестре осталась... Посмотрите в IceSword в меню File, присутсвуют ли на диске файлы, перечисленные в рамочке в посте номер 13?

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
ExecuteSysClean;
RebootWindows(false);
end.[/code]

После перезагрузки сделайте новые логи (3 лога) по правилам.

C:\WINDOWS\SYSTEM32\winhlp32.exe
у меня вот это есть..
вирус не мог изменить имя?
остальное сейчас гляну, юольше ничего, пошла делать скрипт

[QUOTE=SHER;267138]C:\WINDOWS\SYSTEM32\winhlp32.exe
у меня вот это есть..
[/QUOTE]
Его видно в IceSword на диске?

Зайдите в IceSword на закладку Process. Если его там найдете, то нажмите по нему правой кнопкой и выберите "Terminate Process".
Потом зайдите в меню файл и сделайте ему force delete.
Потом выполните вышеуказанный скрипт в AVZ и сделайте новые логи.

этот есть в IceSword на диске
C:\WINDOWS\SYSTEM32\winhlp32.exe
этого нет
C:\WINDOWS\SYSTEM32\winh[B][COLOR="Red"]e[/COLOR][/B]lp32.exe
поздно прочитала, логи сделала сразу перед вашим ответом.

Ваши рекомендации сделать?

новые логи

Рекомендации те не надо выполнять, раз ни одного из этих файлов у Вас нет на диске при просмотре в IceSword.
C:\WINDOWS\SYSTEM32\winhlp32.exe - этого не трогайте, он системный.

Сделайте так:
1) В AVZ включите AVZGuard (в меню).
2) Зайдите в меню Файл - Мастер поиска и устранения проблем и устраните проблему "Некорректный элемент автозапуска"

3) Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

После перезагрузки сделайте новые логи.

новые логи..
что-то у меня постоянно при загрузке пишет в сканере, что произошло изменение реестра..

Извините, а почему у Вас AviraGuard работает? Он блокирует действия АВЗ.
Предлагаю последнюю попытку - медаль за стойкость Вы уже заслужили, я бы на Вашем месте уже бы давно сдался и переустановил систему - а именно:
Удалите Авиру. Полностью, совсем ...
Выполните рекомендации kps отсюда: [url]http://virusinfo.info/showpost.php?p=267152&postcount=23[/url]
Если не поможет - ну не получилось у нас, мы очень хотели, но мы не всесильны...:(
Если Вы будете пытаться дальше воевать - сделайте лог этой тулзой, плиз: [url]http://www.gmer.net/index.php[/url]

Хорошо, у меня была мысля удалить Авиру :)
Скан Авиры я отключала перед процессами.
сделаю то что там прописано и постараюсь логи скинуть.
Ох и горячий же топик получается :>

"Если Вы будете пытаться дальше воевать - сделайте лог этой тулзой.."
еще бы знать что это такое...

Да, похоже из-за Авиры и не удалялась запись, гадов-то на диске уже нет.

Качаю в срочном порядке Каспера..

Итак, финальные логи.. больше же сил не хватает.. но я в них заглянула.. и мне показалось, что чисто.. может только показалось..

Все.. пошла за Каспером... а то стремновато, когда компик пуст...

Кстати.. а как удалить глуканувшую прогу HDDlife? Пишет что нельзя, дескать какой-то файл сетевой недоступен.. переустановка тоже не получается..:>
видимо под шумок что-то удалилось неграмотно... теперь она не работает и не удаляется..

эх рано я радовалась.. в автозагрузке все же стоит этот файл...
так пофиксить его негде, где его можно убрать из автозагрузки, в реестре попробовать? Тогда где?
Так.. а в реестре нигде этого хозяйства я не заметила...
ни в
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
и сопутствующие
ни в
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
и сопутствующие
тогда откуда убрать этот глюк?!

В логах теперь чисто, в том числе в автозапуске. Почему Вы думаете, что это не так?

я смотрю через msconfig там прописан этот файл..
но не активен.
да, у меня не выходит поставить Каспера..
ошибка 1606. Не удается подключиться к сети
и какие-то квадратики...
что бы это значило? Вот по этой же причине не удаляется и программа сканирования жесткого диска...:>
попробовать прогнать восстановление системных файлов?

Зайдите в AVZ - Менеджер автозапуска. Там этот файл прописан? Не должно его там быть, в логах чисто.

там его нет :)
я и не знала, ято это такая интересная программка!
А что теперь делать с антивирусником..? Не устанавливается, модет Виндовс Инсталлер полетел?

То, что у Вас видно его в MsConfig -
Зайдите в regedit.
Откройте ключ реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Shared Tools\MSConfig\startupreg
Найдите там соответсвующую запись, удалите ее и перезагрузите компьютер. Потом проверьте, осталась ли запись в MSConfig.

это всю папку Windows Help Service удалить?
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Help Service

у меня еще там же стоит прога которая уже удалена
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AWMON
это как раз сканер Ад-аваре

Да, удалите ключ реестра - Windows Help Service
Другой тоже можете удалить, программа удалена, а запись осталась.
Потом после перезагрузки посмотрите в msconfig, не осталась ли эта запись о зловреде.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
это прописанов табличке автозагрузки и даже стоит галочка...
что это?
пошла по ключу, там ничего нет...
зашла под другим именем.. не удается поставить антиврусники, может настройки сети полетели?

Глюк какой-то.
Ну а запись о зловреде удалена?

удалила всю дребедень, даже понравилось :D
словом одна проблема осталась.. как установить программы.. похоже этот глюк распространяется на любую прогу... :(
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NvCplDaemon

RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
вот это что за фигня? У меня их в автозагрузе целых две..
под другим пользователем тоже есть. Удалить можно? :D

Спасибо, что помогаете!!!

Вряд ли проблема у Вас здесь MSConfig\startupreg
Ждите, как узнаю решение проблемы с установкой программ - отпишусь.

[QUOTE=SHER;267264]
RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
вот это что за фигня? [/QUOTE]Это панель управления NVIDIA, а не ... как Вы ее обозвали ;)