первый копируется в C:\WINDOWS\system32\wmdrtc32.dll и хз 4е дальше делает (рас4итан имхо на заражение флешек, а если просто его запустить выдает ошибку)

второй в автостарте прописывается, и отстукивает на

http://217.20.117.18/manna.txt?1dd072
http://217.20.117.18/ip.php
http://89.149.227.194/utest/?jutr=29050&oo=2&1e8896=d5bc1a&ra=0

http://217.20.117.18/manna.txt
там какие-то китайские логи)

при отстуке на
http://217.20.117.18/ip.php
скрипт выдает на выходе айпи с котрого поступил гет-запрос

ссылка в тему с описаниями и 4то делать если заразился сабжем:
http://aborche.livejournal.com/1300.html
http://vil.nai.com/vil/content/v_145407.htm

Да это бинарный код, то бишь зашифрованные пассы, я так пологаю.

Кстати он тока отстукивает на эти ссылки, или ещё им передаёт что?

ну вот и передает в параметрах какие-то данные
http://89.149.227.194/utest/?jutr=29050&oo=2&1e8896=d5bc1a&ra=0

спасибо, каспер все вылечил, но как я его подхватил осталось для меня загадкой.. =\

отключи автозапуск со всех видов носителей и всё будет ок
p.s. + еще скажу что вирус поражает файлы, так что возможен был запуск пораженного объекта