virusscan
http://virusscan.jotti.org/ru/scanresult/d985e0280d43e398d7c0ffe8f0e4c1b1796e6d27
и размер для трояна приличный
[QUOTE][B]Размер файла: 1169224 байт[/B]
Тип файла: PE32 executable for MS Windows (console) Intel 80386 32-bit
MD5: aeec0405a1c587562275ab20cc6e3521
SHA1: 750d74424e8fca55094bbcd264970da6e59ddc09 [/QUOTE]

по идее, надо бы его в основные вирлабы заслать, чтобы проанализировали.

это фильтр в uVS по результату на VT. в инфо выводится только детект тех антивирусов, которые есть в этом списке.

[QUOTE]C:\USERS\ROOT\APPDATA\ROAMING\HVGB5Z69HR.EXE
SHA1: 750D74424E8FCA55094BBCD264970DA6E59DDC09
Хэш найден в базе проверенных файлов, файл помечен как проверенный
--------------------------------------------------------
C:\USERS\ROOT\APPDATA\ROAMING\HVGB5Z69HR.EXE
Дата: 2012-06-27 [2010-05-04 00:51:17 UTC ( 2 years, 2 months ago )]
Имя: server.e123456
Детектов: 0 из 8
Файл был чист на момент проверки.
--------------------------------------------------------
[/QUOTE]
а ну , понятно. у меня фильтр по списку проверяемых антивирусов. файл подозрительный конечно, но не факт (100%), что вредоносный.

ты удалил его из списка sha1 и проверил?

Арвид, вот это я не понял, откуда?
[QUOTE]www.virustotal.com 2012-06-27 [2010-05-04 00:51:17 UTC ( 2 years, 2 months ago )]
TheHacker W32/Behav-Heuristic-CorruptFile-EP
F-Prot W32/Damaged_File.B.gen!Eldorado
TrendMicro-HouseCall TROJ_GEN.R47H1LD
Comodo Heur.Corrupt.PE
Commtouch W32/Damaged_File.B.gen!Eldorado
AVG Suspicion: unknown virus [/QUOTE]
у меня по хэшу - чисто. причем в списке sha1 разработчика.

ну, по любому - на форуме главный всегда админ.

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[CODE];uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn A7679BF0AA022C524BD4C68176881261848AFCF689AA7BF1A0C3C5BC5055­9D24704194DE5BBDAE92A2DD78F544E95CBA5D9FE82BD6D7D01C6D775BAC­CA621233 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\678E.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\6E63.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\84BC.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\DEDC.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\EB59.EXE
addsgn 9AFC6EDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC5840­FEBD143FB714BF22AE5BB9AB5FBC461649FA7DDFE97255DAB02C2D77A42F­91345725 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\12CF.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\64B4.EXE
addsgn 9AEC6EDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC78BC­97785DD40B17939EA650D464D854461649FA7DDFE97255DAB0AC2D77A42F­8F697A16 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\24DA.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\50CQRSBUILD.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\50CQRSBUILD.EXE
addsgn 9A146FDA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BC99B9­3FA16E2D5E1CAFB575789E3FEEF6461649FA7DDFE97255DAB0AC2D77A42F­8073761B 8 Dorkbot.0705
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5AF6.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5X6WKWYQVTGGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\5X6WKWYQVTGGGG.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\ADX0Z9REF84QGGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\ADX0Z9REF84QGGGG.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GH5UUX5YEZ44GGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GH5UUX5YEZ44GGGG.EXE
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\JYYHRZZGGGG.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\JYYHRZZGGGG.EXE
chklst
delvir
deltmp
delnfr
CZOO
restart
[/CODE]
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------

в мбам удалите все найденное, перегрузите систему,
еще раз выполните быстрое сканирование
-----------
новый образ сейчас гляну.
+
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

adddir %SystemDrive%\USERS\ROOT\APPDATA\ROAMING
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GCXUXA.EXE
crimg
[/code]
без перезагрузки,
добавьте образ автозапуска, который будет автоматически создан этим скриптом

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
[code]
;uVS v3.75 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn 9AA062DA5582A28DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC7641­CE146085DB12913ECF233DE92076461649FA7DDFE97255DAB02C2D77A42F­94724712 8 Trojan.Siggen4.8760 [DrWeb]
zoo %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\RUNDLL32.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\RUNDLL32.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\BOT.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\D370EA.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\DDXUXX.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\EXPLORER.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\GCXUXA.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\7 9\L3.LNK
delall %SystemDrive%\USERS\ROOT\MNLSLEXI.EXE
delall %SystemDrive%\USERS\ROOT\APPDATA\ROAMING\SVCHOST.EXE
addsgn 9AE456DA5582A28DF42BAEB12CC81205158AFCF6C9FA1F7885C3C5BCE49D­99C6102BCB10BE82434ADFB5CF88461649FA7DDFE97255DAD9494303EC4A­97745634 8 Dorkbot
zoo %SystemDrive%\USERS\PUBLIC\R-344233-5553-2-32\WINLOGON.EXE
bl 466B64DDCF76EE8AEDEEFF738E612EBE 274432
delall %SystemDrive%\USERS\PUBLIC\R-344233-5553-2-32\WINLOGON.EXE
adddir %SystemDrive%\USERS\ROOT\APPDATA\ROAMING
chklst
delvir
delref HTTP://WWW.SMAXI.NET
delref HTTP://SEARCH.CONDUIT.COM?SEARCHSOURCE=10&CTID=CT1060933
deltmp
delnfr
czoo
regt 5
regt 12
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: ZOO_2011-12-31_23-59-59.rar/7z)  отправить в почту [email protected], [email protected]  
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/