Подозрение на Trojan.Win32.Krotten.fq

при включении на экране приветствия вижу такое окно:
DANGER
Если ты хочешь восстановить нормальную работу своего компьютера не потеряв ВСЮ информацию!
И с экономив деньги, пришли мне на e-mail [email][email protected][/email] номер и код автроризации карты пополнения
счёта WebMoney номиналом в 10$ или 500 руб. Вот две ссылки(адреса ссылок). Там ты можешь найти
свой регион и город, где тебе удобнее купить карточку webmoney. В ответ в течении суток на свой
e-mail ты получишь файл для удаления этой программы.

ОК

На ноуте XP. в системном трее вместо часов - Б***Ь
В панель управления, в диспетчер задач, в реестр зайти немогу, пишет типа ограниченная версия или заблокировано администратором.
В безопастном режиме в XP тоже самое!

Подскажите что делать? Вот на Касперском нашел инфу...
_http://forum.kaspersky.com/lofiversion/index.php/t62160.html

попробуйте это ... [url]http://virusinfo.info/showthread.php?t=12713[/url]

Чето не выходит запустить авз.
Не с чего. Флешку не дает увидеть зараза.

Попробуйте переименовать AVZ в IEXPLORE.exe и запустить. Получилось?

Да дело в том что не могу на комп закинуть его. Флешки нельзя подключить.

А скачать на больном компьютере не получается?

Загружусь с диска. Windows PE Mini CD. И в этой оболочке запущу. Пойдет так?

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

lsass.exe вирус!!!

В PE перекиньте AVZ с флэшки на винчестер. Перезагрузитесь в больную систему и делайте логи.

winivstr.exe Trojan.Fakealert.452

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Так и сделал. Но прежде в РЕ запустил CureIt. Cейчас пока проверяет. Логи дам.

CureIt лучше тоже из-под больной системы запускать, чтобы реестр сразу выправлял.

CureIt не запускается из больной с-мы.
AVZ переименованный запустился. Логи скоро прикреплю.

HiJackThis не запускается никак. И как 1.bat не идет.
Логи АВЗ прилагаю.

Ребята!!! И че делать?
Выполнить этот скрипт?
[QUOTE]var
i : integer;
begin
for i := 1 to 8 do
ExecuteRepair(i);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
RegKeyStrParamWrite('HKCU','Control Panel\International','sTimeFormat','H:mm:ss');
DeleteDirectory('%SysDisk%\Windows 91');
DeleteDirectory('%SysDisk%\Windows 98');
ExecuteFile('attrib', '-R -H -S "'+NormalDir('%SysDisk%')+'Windows"', 0, 3000, true);
ExecuteFile('attrib', '-R -H -S "'+NormalDir('%SysDisk%')+'Program Files"', 0, 3000, true);
RebootWindows(true);
end.[/QUOTE]

для начала выполните этот ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\WinSxS\Manifests\explorer.exe','');
QuarantineFile('C:\WINDOWS\Provisioning\Schemas\lsass.exe','');
DeleteFile('braviax.exe');
DeleteFile('cru629.dat');
DeleteFile('C:\WINDOWS\Provisioning\Schemas\lsass.exe');
DeleteFile('C:\WINDOWS\WinSxS\Manifests\explorer.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(7);
ExecuteRepair(8);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...

Винда запустилась нормально после скрипта но в карантине пусто. Прогоню теперь все с нуля заново и дам логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Но в часах по прежнему висит слово БЛ--Ь. Могу его убрать в региональных настройках панели управления.

выполните скрипт ...
[code]
begin
RegKeyStrParamWrite('HKCU','Control Panel\International','sTimeFormat','H:mm:ss');
DeleteDirectory('%SysDisk%\Windows 91');
DeleteDirectory('%SysDisk%\Windows 98');
ExecuteFile('attrib', '-R -H -S "'+NormalDir('%SysDisk%')+'Windows"', 0, 3000, true);
ExecuteFile('attrib', '-R -H -S "'+NormalDir('%SysDisk%')+'Program Files"', 0, 3000, true);
RebootWindows(true);
end.
[/code]

Выполнил все скрипты.
Прилагаю новые логи + HijackThis удалось запустить.
Из проблем осталось невозможность подключить флешку.

Еще папка Documents and Settings скрыта.

[size="1"][color="#666686"][B][I]Добавлено через 31 минуту[/I][/B][/color][/size]

Вроде нашел файл который запустили и все это началось после этого. Прислать?

Пришлите в архиве с паролем "virus"

выполните скрипт ...
[code]
begin
ExecuteFile('attrib', '-R -H -S "'+NormalDir('%SysDisk%')+'Documents and Settings"', 0, 3000, true);

RebootWindows(true);
end.
[/code]
для нормальной работы флешек необходимо переустановить драйвера на чипсет ...