Вам как, в Hex виде или дизассемблерный код? :d
Говоришь постоянно создается!? скорее всего там либо библиотека присобаченна к текущей задаче из-за этого нельзя завершить работу вируса или тупо в реестре запись стоит, а по вопросу с кокого Ip, надо лог смотреть