winlogon перестала пускать в систему.

Комп перестал загружаться в обычном режиме(в safemode загружался). Начал выполнять пункты правил, поставил cureit и запустил проверку.
Он нашел тучу троянов, а именно:
Trojan.DownLoader.62867
Trojan.DownLoader.62734
Trojan.Packed.460
Trojan.Okuks.based
Trojan.NtRootKit.1180
Trojan.PWS.FTPlich.2
Trojan.PWS.LDPinch.1941
Почти все файлы удалил, некоторые предложил перенести(только я не понял куда).
После проверки предложил перегрузиться.
В обычном режиме зугрузится не получилось, получаю BSOD PAGE_FAULT_IN_NOT_PAGED_AREA STOP:0x00000050.
В безопасном загрузился до входа в систему, но ни под администратором, ни под главным пользователем воити не могу. Точнее входит и сразу обратно на экран приветствия выходит. Даже рабочий стол не показывает.

Зашел в биос, отключил protect_memory - BSOD PAGE_FAULT_IN_NOT_PAGED_AREA при загрузки в обычном режиме пропала. но дело так же доходит до экрана "приветствия windows".

Получается avz и hijackthis запустить сейчас не могу, пишу с другого компа. Что можно сделать, чтобы войти в систему?

Есть предположение, что надо заменить файл %WINDIR%\system32\userinit.exe на файл с нормальной системы (%WINDIR% - папка, куда установлен виндовс)

Ага, его(userinit.exe) cureit удалил. Сейчас подумаю, как это лучше сделать.

Получилось добавить userinit.exe.
Но все равно в обычном режиме не загружается до конца. Появляется рабочий стол, а дальше все стоит. Пуск не работает. Ярлыки на рабочем столе не запускаются, мышка ездит.

Высылаю логи, которые сделал в безопасном режиме.

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL] C:\WINDOWS\System32\Drivers\Ulg29.sys - force delete
выполните скрипт ...
[code]
begin
BC_DeleteSvc('ddxgb');
QuarantineFile('C:\DOCUME~1\96EC~1\LOCALS~1\Temp\ddxgb.sys','');
BC_DeleteSvc('Ulg29');
QuarantineFile('C:\windows\system32\Drivers\Ulg29.sys','');
QuarantineFile('C:\windows\system32\baseqpiu32.dll','');
DeleteFile('C:\windows\system32\Drivers\Ulg29.sys');
DeleteFile('C:\DOCUME~1\96EC~1\LOCALS~1\Temp\ddxgb.sys');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ....

В обычном режиме не работает.
Кстате если отключить в msconfig загрузку сервисов и автозагрузку. То обычный режим стартует. Где лучше скрипты выполнять в безопасном или полуобычном режиме?

Высылаю логи

Update: кстате слажу завтра в windows events может там че интересное есть.

сделайте логи в нормальном режиме ...

Получилось загрузиться в обычном режиме без системных служб.

Вот логи

Попробую еще sfc /scannow запустить.

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\clbdriver.sys','');
DeleteFile('C:\WINDOWS\systemroot\system32\drivers\clbdriver.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

карантин закачал, скрипт выполнил.
кстате clbdriver.sys не удалилась. я ее IceSword зафорсделитил.

Потом методом тыка выяснил, что комп плохо грузится только, когда включена служба Plug & Play изготовитель корпорация Майкрософт, только единственное "мой компьютер" долго открывается(фонарик ходит влево-вправо), и флешку, когда вставляешь, она не определяется как новый диск.
Хотя может быть глючит какая-то дочерняя служба от Plug & Play.

Это может быть из-за того, что cureit удалил какой-то файл C:\windows\system32\usb???????.dll ( не помню точно название)?

Высылаю новые логи которые получены в обычном режиме без службы Plug & Play.

Есть смысл поставить SP3?

зловредного ничего не видно ....
SP3 это выход ...

накатил SP3 не помогло.
Обновил с установочного диска. Сломалась загрузка Daemon Tool, но зависать перестало. Видно какой-то вирус поломал Daemon Tool. Так что все ок.

Демон - та ещё штучка. Его лучше было удалить перед обновлением. А сейчас можно попробовать переустановить.

[QUOTE=suvit;245136]
Trojan.PWS.LDPinch.1941
[/QUOTE]
Пароли обязательно смените, они могут быть украдены.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\baseqpiu32.dll - [B]Trojan.Win32.Pakes.cws[/B][*] c:\\windows\\system32\\drivers\\clbdriver.sys - [B]Rootkit.Win32.Clbd.ch[/B] (DrWEB: Trojan.NtRootKit.1297)[*] c:\\windows\\system32\\drivers\\ulg29.sys - [B]Rootkit.Win32.Qandr.hf[/B][/LIST][/LIST]