Блокер! Спасайте!!!

Прошу ВАШЕЙ помощи в обезвреживании этой заразы!
Словил позавчера на ноуте. Система windows XP home edition service pack3.
Голубой экран с надписью "Ваш компьютер заблокирован за распространение и тиражировании видеоматериалов содержащих элементы педофилии и тд." Предлагалось оплатить штраф в размере 400р на номер МТС.
Сперва пробовал разные коды - ничего не помогло, да это и не важно, потому что сейчас экрана с требованием оплаты штрафа уже нет, компьютер загружается до появления рисунка рабочего стола, затем идет завершение сеанса и возврат к выбору учетной записи пользователя. При загрузке в безопасном режиме (в том числе с поддержкой командной строки), помимо моей учетной записи появляется учетная запись "администратор", при выборе любой из этих записей происходит завершение сеанса и выход в меню выбора учетной записи. При обычной загрузке, появляется только моя учетная запись. Никакие комбинации клавиш (ctrl+alt+del; win+D, win+m, ctrl+shift+esc и т.д. не помогают. При нажатии win+u можно вызвать экранную лупу и клавиатуру, но экран с предупреждением не вылезает, т.к. видимо когда-то давно я уже нажал "не показывать больше этот экран". >:(
Винт снимал и проверял на домашнем компьютере разными антивирусами - NOD32, DR.WEb, не обнаружили вообще ничего, Каспер нашел 3 каких-то вируса, которые удалил, но лучше от этого не стало. Утилита CureIt в усиленном режиме безопасности ничего не нашла. Грузился с live CD Dr.Web, запускал сканер, результат тот же.
Все папки типа Temporary internet files в папках всех пользователей стер нафиг. В папке браузера mozilla firefox стер все файлы, которые подходили по описанию вируса блокера (много цифр.exe)
Загружался с live cd ERD50, пытался править реестр, в ветке HKEY_LOCAL_MACHINE(...)\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon значение shell = explorer.exe
Ситуация по-прежнему не изменилась.
Что еще можно сделать уже не знаю. :(
P.S. Систему сносить очень не хочется...

В ERD:
Пуск - Выполнить - [B]erdregedit[/B]
Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/code]
[B]параметр[/B]
[code]userinit[/code]
[B]параметр[/B]
[code]shell[/code]
[B]ветка[/B]
[CODE]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows[/CODE]
[B]параметр[/B]
[CODE]AppInit_DLLs[/CODE]
Содержимое этих параметров напишите в своем сообщении.

Проверьте размер файлов в WINDOWS\system32:
userinit.exe и taskmgr.exe
и тоже сообщите.

К сожалению, все операции с реестром смогу сделать только чуть позже, (у меня сейчас только винт на руках), а вот файлы userinit.exe и taskmgr.exe - посмотрел. Их нет!! Вообще! :O

[size="1"][color="#666686"][B][I]Добавлено через 59 минут[/I][/B][/color][/size]

[FONT=Verdana][SIZE=2]Итак, докладываю по реестру:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

[B]userinit = с:\windows\system32\userinit.exe,[/B]

[B]shell = Explorer.exe [/B]
(раньше тут [/SIZE][/FONT] [FONT=Verdana][SIZE=2]было что-то типа C:\Documents and Settings\All Users\чего-то_такое_цифры.exe, но я исправил на Explorer.exe, теперь при открытии[/SIZE][/FONT][FONT=Verdana][SIZE=2] в erdregedit этот параметр сохраняется)
[/SIZE][/FONT] [FONT=Verdana][SIZE=2]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
[/SIZE][/FONT] [FONT=Verdana][SIZE=2]
[/SIZE][/FONT][FONT=Verdana][SIZE=2][B]AppInit_DLLs[/B]

[/SIZE][/FONT][FONT=Verdana][SIZE=2]Value name:
AppInit_DLLs

Value data
пустое пространство [/SIZE][/FONT]

[QUOTE='bbcom;786989']а вот файлы userinit.exe и taskmgr.exe - посмотрел. Их нет!! Вообще![/QUOTE]Восстановите их с другой аналогичной системы.
Или с дистрибутива, как здесь описано:
[url]http://virusinfo.info/showthread.php?t=51654[/url]

Nikkollo, спасибо тебе огромное!!! Все заработало! :clapping::beer:
Переписал фалы с другого компьютера и после перезагрузки система нормально загрузилась. Все на своих местах. Сейчас прогоняю NODом на всякий случай.

Логи тоже сделайте:
[url]http://virusinfo.info/pravila.html[/url]

Вот логи. Надеюсь, все правильно сделал...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{6096E38F-5AC1-4391-8EC4-75DFA92FB32F}');
QuarantineFile('C:\Program Files\Mozilla Firefox\null0.7328154910580852.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4969874462-0858853171-330665778-7311\nissan.exe','');
QuarantineFile('C:\Documents and Settings\Lenovo\csrss.exe','');
DeleteFile('C:\Documents and Settings\Lenovo\csrss.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4969874462-0858853171-330665778-7311\nissan.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]

Файл [B][COLOR=black]quarantine.zip[/COLOR][/B] отправил. Повторные логи сделал:

polword, так что, лечение можно считать законченным, или как? :)
А то ведь MBAM нашел 20 зараженных файлов... потереть их или оставить?

Пофиксите в HijackThis:
[CODE]
O4 - HKLM\..\Run: [Shell] "C:\Program Files\Mozilla Firefox\null0.7328154910580852.exe"
[/CODE]

Удалите в MBAM:
[CODE]c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177076.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177077.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177079.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177080.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177084.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177087.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177089.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177092.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177093.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177094.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177100.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177101.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177102.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177103.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177104.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177105.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177106.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177107.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{f3cbcd12-0dd5-47b2-960b-985f1bdef4b9}\RP549\A0177108.exe (Spyware.Passwords.XGen) -> No action taken.[/CODE]

Повторите лог HijackThis и приложите в теме.

Пофиксил. Удалил. Лог прилагаю.

Чисто.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]