Троян вымогатель, не загр рабочий стол

[SlavonBG]

Приветствую. Подцепили троянчик этот, коды не подходят. После логона видим только его окно. Windows 7. Сделал вот что:

Загрузился с ERD Commander. Там в Редакторе нашел ветки:

ветка
Код:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр
Userinit
C:\WINDOWS\system32\userinit.exe,
параметр
Shell
explorer.exe
ветка

Код:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
параметр
AppInit_DLLs пустой.
-
Никаких "левых" параметров в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon не нашел, сравнивал со здоровым компом. Смотрел в ERDCommander через "Управление компьютером" что запускается с виндой - ничего подозрительного, только файлы драйвера звука, нод32 и C:\WINDOWS\system32\rdpclip.exe

Подскажите куда еще посмотреть через ERDCommander плиз?

[regist]

Загрузился с ERD Commander. Там в Редакторе нашел ветки:

а вы подцепились к реестру заражённой машины? у меня есть подозрения, что вы смотрели в реестре LiveCD

[light59]

Ещё

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

проверьте

Как работать с системным реестром, загрузившись с LiveCD

[SlavonBG]

Исправил. В том же ERDcommander нажал "восстановление системных файлов". Он исправил 5 файлов, перезагрузился и баннер исчез

Добавлено через 6 минут

Да все проверил, все RUN'ы. Сейчас через msconfig уже под виндой глянул - тоже кроме дров, нод32 ничего нет. Вроде все отлично)

[light59]

Он не файлы правил, а записи в реестре, наверно.
А сам зверь сидит у вас на диске, хоть и не активный, но...

Вопросов больше нет?

[SlavonBG]

Спасибо, больше нет вопросов. Вирь уже найдем Куреитом