При входе автоматически не запускается explorer.exe (пустой рабочий стол без значков и панели задач).

[Tathagata]

Помогите с проблемой. Запуск explorer.exe и приложений делаю пока с помощью диспетчера задач. Попытка поставить Symantec закончилась неудачей. Судя по логам AVZ, вирус работает в Kernel Mode. Помогите аккуратно его убрать.

Заранее спасибо.

[light59]

В AVZ -> файл-> Выполнить скрипт

begin
clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twext.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati3inxx.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati3inxx.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\system32\twext.exe');
 DeleteFile('digeste.dll');
 DeleteFile('msansspc.dll');
BC_Importall;
ExecuteSysClean;
 BC_DeleteSvc('tcpsr');
 BC_DeleteSvc('ati3inxx');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке
Повторите логи по правилам.

Добавлено через 11 минут

Отключите восстановление системы!

[Tathagata]

Все сделал по инструкции.

Ситуация с ручным стартом explorer.exe не изменилась.

Карантин выложил. Повторные логи прилагаю.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
 QuarantineFile('C:\WINDOWS\System32\drivers\65471a93.sys','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил

[Tathagata]

Скрипт выполнил. При автоматической упаковке карантина в virus.zip файлы bcqr00001.dta и bcqr00002.dta в него почему-то не попали (только их соответствующие ini). Поэтому сформировал архив самостоятельно с паролем virus.

Добавлено через 2 часа 15 минут

Тему можно закрывать, спасибо.

Удалил следы: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogo2. На всякий случай восстановил userinit.exe (хотя вроде размер, дата и время совпадали). Перезагрузил - все заработало.

Буду благодарен, если подскажете, почему стартовал вход в систему через Winlogo2, а не Winlogon, если userinit.exe не подменялся.

[light59]

в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\drivers\65471a93.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\virtualnetwork\\virtualnetwork.dll - not-a-virus:AdTool.Win32.VirtualNetwork.a (DrWEB: Trojan.AdVirtualNetwork.2)
  2. \\2009-01-28\\bcqr00001.dta - Rootkit.Win32.Agent.gme
  3. \\2009-01-28\\bcqr00002.dta - Rootkit.Win32.Agent.gme