Не загружается рабочий стол после лечения

Не загружается рабочий стол после лечения. После лечения CureIt из под LiveCD (был найден и удален csrcs.exe и еще что-то, я не запомнил :( ), также был запрещен доступ к реестру и диспетчеру задач (пофиксил в реестре), в безопасном режиме - BSOD (пофиксил), не распаковывался и не запускался avz (ругался на квоты и выкидывал ошибки) - тоже решил. А вот рабочий стол так и не запускается.

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\aliserv3.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\aliserv3.sys');
BC_ImportAll;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(16);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Прислать карантин по Правилам.
сделать заново логи.
Рассказать об изменениях в состоянии.

Выполнил скрипт, правда перед этим кое что повыкидывал из автозагрузки. Рабоч стол запустился. Выскочило сообщение, мол обнаружено новое устройство (Код экземпляра устройства ROOT\LEGACY_UZEXNDG1\0000)

Выполните скрипт в AVZ:
[CODE]begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\kbiwkmielillnr');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\kobhotwmg');
RebootWindows(true);
end.[/CODE]
После перезагрузки повторите лог по п.2 Диагностики и сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].

выполнено. вот логи, правда поставил антвирус и усбгуард :)

чет логи не прицепились, вот они снова

Ок, сейчас посмотрим...

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\kbiwkmwbwewbmu.sys','');
QuarantineFile('C:\WINDOWS\system32\kbiwkmruboedyo.dll','');
QuarantineFile('C:\WINDOWS\system32\kbiwkmrrsobfpr.dat','');
QuarantineFile('C:\WINDOWS\system32\kbiwkmxkuhxxnb.dll','');
QuarantineFile('C:\WINDOWS\system32\kbiwkmgqqltpge.dat','');
QuarantineFile('C:\WINDOWS\system32\kbiwkmwsp.dll','');
QuarantineFile('C:\WINDOWS\system32\ntjrjnsz.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\kbiwkmwbwewbmu.sys');
DeleteFile('C:\WINDOWS\system32\kbiwkmruboedyo.dll');
DeleteFile('C:\WINDOWS\system32\kbiwkmrrsobfpr.dat');
DeleteFile('C:\WINDOWS\system32\kbiwkmxkuhxxnb.dll');
DeleteFile('C:\WINDOWS\system32\kbiwkmgqqltpge.dat');
DeleteFile('C:\WINDOWS\system32\kbiwkmwsp.dll');
DeleteFile('C:\WINDOWS\system32\ntjrjnsz.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Services\kbiwkmielillnr');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\kbiwkmielillnr');
RegKeyDel('HKLM', 'SYSTEM\ControlSet003\Services\kbiwkmielillnr');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Services\kobhotwmg');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\kobhotwmg');
RegKeyDel('HKLM', 'SYSTEM\ControlSet003\Services\kobhotwmg');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\kobhotwmg');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Повторите лог gmer.

готово
а вот еще eset4 отреагировал когда скрипт выполняли
04.09.2009 17:00:26 Защита в режиме реального времени файл C:\WINDOWS\system32\Drivers\vdexndg1.sys вероятно модифицированный Win32/Agent троянская программа очищен удалением - изолирован MICROSOF-C0C53D\KACH Событие произошло в новом файле, созданном следующим приложением: D:\avz4\avz.exe.

Сохраните текст ниже как cleanup.bat в ту же папку, где находится wkz4tg0l.exe (gmer)
[CODE]wkz4tg0l.exe -del file "C:\WINDOWS\system32\ntjrjnsz.dll"
wkz4tg0l.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kobhotwmg"
wkz4tg0l.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kobhotwmg"
wkz4tg0l.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

есть такое дело
уже после лога gmer прибил HKLM\SYSTEM\ControlSet001\Services\kobhotwmg\ и HKLM\SYSTEM\ControlSet003\Services\kobhotwmg\

[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\ntjrjnsz.dll','');
DeleteFile('C:\WINDOWS\system32\ntjrjnsz.dll');
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][COLOR="Red"]Прислать запрошенные файлы[/COLOR][/B]" над первым сообщением темы).

Повторите логи AVZ + гмер.

в карантине ничего нет, логи сейчас приложу, гмер уж очень долго делается

логи авз вот, гмер в процессе
загрузился с лайв сд, нет нигде этого ntjrjnsz.dll

а вот и лог гмера

Ничего плохого

Всем огромное спасибо, считаем что проблема решена

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\kbiwkmruboedyo.dll - [B]Packed.Win32.TDSS.z[/B] ( AVAST4: Win32:Alureon-CU [Rtk] )[*] c:\windows\system32\kbiwkmxkuhxxnb.dll - [B]Trojan.Win32.Agent.cvxd[/B] ( AVAST4: Win32:Alureon-CU [Rtk] )[/LIST][/LIST]