Мгновенный выход из системы

Здравствуйте,
принесли компьютер
Включил, симптомы следующие:
после захода под логином юзера или админа, следует мгновенный выход из системы обратно в окно логона.
загрузился под livecd, прогнал drweb, он нашел несколько троянов, кучу adware.
Я эти дела поудалял, но в систему зайти все равно не могу, даже в safe mode.
AVZ под livecd не работает, логи приложить не могу.
Попробовал подменить со здоровой системы userinit.exe и explorer.exe не помогло
Насколько я понял, в системе стоит KIS 6, но какой версии базы не знаю
Как и куда копать дальше?
Спасибо

UPD: По совету уважаемого V_Bond (на forum.kaspersky.com), проверил состояние userinit.exe, но пока ничего не дало :(

1. Попробуйте подменить еще winlogon.exe.
2. Работать с реестром больной системы из-под LiveCD умеете?

[QUOTE=Bratez;216199] 2. Работать с реестром больной системы из-под LiveCD умеете?[/QUOTE]

Немного не понял, а в этом случае какие-то особые приемы существуют?

[quote=drALEX;216203]Немного не понял, а в этом случае какие-то особые приемы существуют?[/quote]
Дело в том, что если вы просто запустите regedit под LiveCD, то вы увидите реестр самой Live Windows, но не реестр вашей больной системы. Не все знают, как подцепить неактивный реестр.

Ага, понял, нет, я подцепил реестр системы.

подмена winlogon.exe не помогла

1. Откройте HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
и проверьте значение параметра Userinit - должно быть:
[b]C:\WINDOWS\system32\userinit.exe,[/b]

2. Раскройте "крестик" для ключа
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
и гляньте, нет ли там подразделов по имени "userinit.exe" или "winlogon.exe"?

1 пункт: именно так и прописано
2 пункт: userinit.exe отсутствует, winlogon.exe - есть

[quote=drALEX;216233]winlogon.exe - есть[/quote]
Экспортируйте эту веточку в файл для исследования и удалите из реестра. Не забудьте выгрузить куст, чтобы изменение сохранилось. Попробуйте запустить вашу Windows.

То же самое!!!

Вы точно уверены, что внесли изменение в реестр целевой системы?

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

Сохраненную веточку реестра упакуйте в зип и приложите сюда.

ДА! Я повторно загрузился через livecd и подветка winlogon.exe отсутствует

Вы все перепутали. То что вы прислали, есть ветка
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
которая [b]необходима[/b], ее удалять нельзя!
Однако ж нет худа без добра ;)
Откройте блокнотом этот reg-файл, найдите (ближе к концу) такой блок:
[code][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32]
"DLLName"="WLCtrl32.dll"
"StartShell"="WLEventStartShell"
"Impersonate"=dword:00000000
"Asynchronous"=dword:00000000

[/code]
и удалите его. Файл сохраните. Потом импортируйте обратно в реестр больной системы. Опять же не забудьте в конце выгрузить куст. Будьте предельно внимательны, это критически важная ветка реестра.

Сделал всё, как указано. Система ведет себя точно также :O

Сделал восстановление виндоуз.
Прогнал АВЗ и касперского , сидело дополнительно несколько троянов.
Сейчас полёт нормальный.
Спасибо за помощь

логи лучше сделать ... есть подозрения у вас не чисто ...

[QUOTE=V_Bond;216787]логи лучше сделать ... есть подозрения у вас не чисто ...[/QUOTE]

Компьютер уже уехал к хозяину. :)

Хозяин - барин, конечно...

[QUOTE=pig;217122]Хозяин - барин, конечно...[/QUOTE]

Не, ну вы правы, конечно :), стоило ещё раз не торопясь, посмотреть.
Но чел, увидевши, что открываются его любимые картинки, ждать наотрез отказался, и счастливый ускакал.
Скорее всего вернется :D