Помогите определить и ликвидировать заразу

Есть машина, ко мне она попала с симптомами "загружается раб. стол и сразу идет завершение сеанса", загрузила с ERD commander, исправила реестр - в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit вместо C:\WINDOWS\system32\userinit.exe, было \\.\globalroot\systemroot\system32\userinit.exe, восстановила userinit.exe, он отсутствовал, проверила liveCD dr.web, нашел 2 трояна (правда не могу сказать какие). система грузится, только в реестре постоянно восстанавливается путь \\.\globalroot\systemroot\system32\userinit.exe, как бы не меняла (загружается с правильным путем, а после закрытия реестра опять не правильный). это немного напрягает, боюсь как-бы userinit.exe опять не исчез. помогите найти заразу.

[ATTACH]202367[/ATTACH]

[ATTACH]202368[/ATTACH]

[ATTACH]202369[/ATTACH]

hijackthis не удалось запустить с правами администратора, стоит ХР HE, и под администратором пускает только в безопасном режиме

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
[B]- [URL="http://virusinfo.info/showthread.php?t=4905"]Системное восстановление[/URL]!!! Это ВАЖНО![/B]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/I]
- Включите Антивирус и Файрвол
- Подключите ПК к интернету/локальной сети
- Прикрепите новые логи к новому сообщению в этой ветке.

интернета на той машине нету, файрвол выключен, каспер выгружен, но в диспетчере задач висит какой-то avp.exe, один из 3 обычных, который мне завершить никак не удалось, система не дает; скрипт выполнила, темпы, кэш, корзину почистила

[ATTACH]202372[/ATTACH]
[ATTACH]202373[/ATTACH]
[ATTACH]202374[/ATTACH]

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,
[/code]
Перезагрузите компьютер и повторите лог HijackThis.

[QUOTE='Teyry;553832']каспер выгружен, но в диспетчере задач висит какой-то avp.exe[/QUOTE]
Это сервисная часть антивируса Касперского, она просто так не выгружается.

Фиксю, перегружаю, до видимой загрузки KAV в трей запускаю HijackThis в первый раз [ATTACH]202417[/ATTACH]

второй раз запускаю HijackThis [ATTACH]202418[/ATTACH] - опять появляется строка
F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,

Тему можно закрыть, потому что машину пришлось отдать, экспериментировать больше не на чем. Всем большое спасибо