И вновь про настырный winhelp32…

[kalahynec]

В «Автозагрузке» сидят только два файла winhelp32, при перезагрузке компьютера после их предварительного отключения они возникают вновь, как феникс из пепла.
На языковой панели не отображается выбранный на данный момент язык (RU/ENGL).
Internet Explorer временами ведёт себя неадекватно.
Нет возможности корректно установить NOD32 После проверки DrWeb в протоколе из 21 записи в 15 так или иначе присутствует winhelp32. Ему сопутствуют такие бяки как (дословно) «Trojan.NtRootKit.1388» и «Возможно, MULDROP.Trojan».
Won't you please, please help me? Help me, Help me, Ooooooo.

[V_Bond]

скачайте
найдите и удалите правой кнопкой - force delete

c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\system32\winhelp32.exe
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe

авз - мастер поиска и устранения проблем - выбрать все устранить ...
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\services.exe','');
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
 DeleteService('dac970nt');
 QuarantineFile('C:\WINDOWS\system32\drivers\uieprn.sys','');
 DeleteService('VIDEO');
 QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
 QuarantineFile('C:\WINDOWS\system32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 QuarantineFile('c:\windows\system32\winhelp32.exe','');
 DeleteFile('c:\windows\system32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\system32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\uieprn.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[kalahynec]

После выполнения пункта "Скачайте" попытка установить полученное из "Скачайте" завершилось появлением сообщения следующего содержания :

HKLM\Software\microsoft\Windows\CurrentVersion\Run
RegSetValueEx : сбой; код 5
Отказано в доступе.

Что мне делать дальше?

[V_Bond]

выполните скрипт ...

begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.

затем попробуйте запустить icesword

[kalahynec]

IceSword скачал с этого гуманного сайта. Но пока не воспользовался.
В AVZ запостил указанный скрипт, после нажатия "Запустить" вылезло сообщение следующего содержания :

Ошибка : '.' expected в позиции 6:1.

К прочему веселью перестало получаться выходить во всемирную паутину .
В данный момент выход в сеть с рабочего компа (есть возможность выполнения ряда предписаний на больной машине, диктуя Ваши рекомендации по телефону или посредством СМС), припасть к домашней клаве удастся после 19.00...

Если не получится прорваться из дома, какие шаги ещё можно предпринять за вечер в отсутствие инета для дальнейшего продвижения к победе над коварным winhelp32 ?

[kps]

Выполните все рекомендации из поста номер 2. В скрипте ошибок нет. Рекомендации нужно выполнять, ничего не пропуская, по очереди. Сначала удаление IceSword указанных файлов, потом исправление проблем в AVZ-Файл-Мастер поиска и устранения проблем, потом скрипт, потом выслать карантин и прикрепить новые логи.

[kalahynec]

К моей радости инет дома фунциклирует .
Ещё больше обрадовался, что скрипт из поста 4 прошёл .
Затем с помощью IceSwordа удалил указанные в посте 2 файлы, вставил выложенный там же скрипт в AVZ.
Вроде всё делал в точности по инструции.
Теперь высылаю новый набор логов-зипов.

[V_Bond]

АВЗ -Мастер поиска и устранения проблем - выбрать все проблемы устранить ...
выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 DeleteService('VIDEO');
 DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ....

[kalahynec]

В Мастере поиска и устранения проблем выбраны и устранены все возможные проблемы. Далее получены следующие зипы-логи :

[V_Bond]

пофиксите ...

O4 - HKUS\S-1-5-19\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O20 - AppInit_DLLs: vmmreg32.dll

hijackthis.log повторите ...

[kalahynec]

Профиксил . Высылаю лог.

[V_Bond]

больше ничего плохого ....

[kalahynec]

Огромное спасибо!