Блокировка компьютера [Trojan-Ransom.Win32.Gimemo.arva ]

Здравствуйте, при включении компьютера происходит блокировка виндоус баннером с требованием оплатить через терминал. Блокировка происходит до появления рабочего стола. Нажатие комбинаций клавиш Alt+Shift+Del или Alt+Shift+Esc приводит к немедленной перезагрузке компьютера. Учетная запись с ограниченными правам. Вход и проблем в работе под администратором не наблюдается. Есть ограничение с доступом к папке Документ анд сеттингс/Папка с именем пользователя с ограниченными правами - отказано в доступе. Сканирование утилитой, скаченой с Доктор Вэб и антивирусом НОД32 показало наличие и, в последствии, удаление некоторого количество троянов.
Пожалуйста помогите.

Уважаемый(ая) [B]olegr[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Логи сделаны в проблемной учетке?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Логи сделаны в проблемной учетке?

[QUOTE=thyrex;932300]Логи сделаны в проблемной учетке?

[COLOR=silver]- - - Добавлено - - -[/COLOR]

Логи сделаны в проблемной учетке?[/QUOTE]

Нет, в проблемную не могу попасть.

[b][color="Red"]I этап[/color][/b] (выполняется на [b]чистой от вирусов[/b] машине)

1. Скачайте на компьютере, [b]с которого сейчас пишете[/b], образ [url="http://support.kaspersky.ru/faq/?qid=208638415"]Kaspersky Rescue Disk[/url] (около 260 Мбайт)
2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать можно посмотреть по ссылке на скачивание образа). В противном случае записываете образ на болванку, например, с помощью Nero на минимальной скорости

[b][color="Red"]II этап[/color][/b] (выполняется на [b]заблокированной[/b] машине)

1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
2. Вставляете диск в привод (или подключаете флешку) и загружаетесь:
– когда пойдет отсчет времени для входа в меню (10 с), нажмите Enter
– выберите необходимый язык из списка
– нажмите [b]1[/b], чтобы принять лицензионное соглашение
– выберите загрузку в графическом режиме, дождитесь окончания настройки и появления Рабочего стола
3. Запустите [b]Kaspersky Registry Editor[/b]
4. Откроется редактор реестра
– выберите нужную систему (та, которая заблокирована), [b]если у Вас их несколько[/b]
– посмотрите в реестре:
[b]ветка[/B] [color="Red"]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/color]
[b]параметр[/b] [color="Blue"]userinit[/color]
[b]параметр[/b] [color="Blue"]shell[/color]
Значения этих параметров напишите в своем сообщении

Также с помощью этого диска сделайте экспорт веток реестра [B]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run[/B] и [B]HKEY_USERS\[COLOR="#0000FF"]<Имя проблемной учетки>[/COLOR]\Software\Microsoft\Windows\CurrentVersion\Run[/B] в отдельные файлы, заархивируйте и прикрепите к сообщению.

ветка HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
параметр userinit = c\windos\system32\userinit.exe,
параметр shell = Explorer.exe

[quote="olegr;933103"]HKU_run.zip[/quote]
Точно из проблемной учетки?

Попробуйте [URL="http://support.kaspersky.ru/viruses/solutions?qid=208642240#load"]http://support.kaspersky.ru/viruses/solutions?qid=208642240[/URL]

Да, именно эта учетная запись и была проблемной.
Переименовал вот этот файл - "MSMSGS"="C:\\DOCUME~1\\sveta\\LOCALS~1\\Temp\\MSMSGS.exe"
Запустил проверку на вирусы с загрузочного CD диска Kaspersky Rescue Disk, нашел и удалил три вируса, два трояна.
Учетная запись разблокирована. Большое спасибо!

Сделайте логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] (раздел [I]диагностика[/I] п.1-3)
из проблемной учетки.

[quote="olegr;933189"]C:\\DOCUME~1\\sveta\\LOCALS~1\\Temp\\MSM SGS.exe[/quote]
Запакуйте с паролем virus и загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

В проблемной учетной записи (с ограниченными правами) вроде... вроде все работает. Вот, только действо мышкой Пуск-Все программы - не раскрывает список установленных программ.
И, не смог остановить/выгрузить NOD32

Дайте учетной записи административные права и переделайте логи

Новые логи после изменения прав доступа проблемной учетки

Выполните скрипт в AVZ
[code] begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
DeleteFile('C:\DOCUME~1\sveta\LOCALS~1\Temp\MSMSGS.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSMSGS');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Скрипт выполнил, логи сделал. Все работает.
Огромное спасибо!

ProxyServer = 192.168.1.101:3128 известен Вам?

[QUOTE=thyrex;934061]ProxyServer = 192.168.1.101:3128 известен Вам?[/QUOTE]

Да, использую.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\msmsgs.ext - [B]Trojan-Ransom.Win32.Gimemo.arva[/B] ( DrWEB: Trojan.Packed.23312, BitDefender: Gen:Variant.Symmi.2436 )[/LIST][/LIST]