Не удается разблокировать реестр, последствия вирусов

Добрый день!
Подцепил заразу, картинка на полэкрана с требованием смс для деактивации, изображение пропало- не понял как правда получилось

Далее прогнал НОДом - 1 файл заражен - С:/windows/finish.exe - BAT/DelfilesNag trojan

После этого скачал утилиту с доктора веба - при запуске пишет - ключ лицензии просрочен. обратил внимание что часы встали на 2012 год, причем окно установки не вызывается.
Часы \ дату - установил через командную строку.

Утилита веба заработала.
Нашел FieryAds находился эта фигня на С: в папке с такимже названием - удалено

Теперь - доступа к реестру (regedit) нет - пишет нет прав, часы так окно и не появляется, оиспетчер задач отключен....... ну это пока только что заметил.
........, в политиках возможности 3-х кнопок - не задано, отключение возможности редактирования реестра - не задано.

Загружался в безопасном редактирование реестра так же недоступно, AVZ запускал, разблокировка реестра не помогает

загрузил Reg Organizer, до реестра добрался
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System параметр DisableRegistryTools - стоит 1
0 - ставлю - после перезагрузки все равно 1. получается прочитать могу реестр этой прогой а изменить все равно не дает...


Стоит Win XP SP3

логи прилагаю

Посоветуйте пожалуйста что делать, уже готов систему переставлять, но очень не хотелось бы, слишком много востанавливать после....

Хелперы, посоветуйте лечение, плиз!

Заразы в логах не видно.

Выполните такой скрипт:
[CODE]begin
ExecuteRepair(11);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]
Сообщите, что изменится после перезагрузки?

Да....изменилось все здорово!!!!!!!!!! - повис порнобаннер, и эксплорер запускается и тутже пропадает.
Как дальше? Теперь и эксплорер не работает нормально, а все как было заблочено так и осталось и плюс "хорошая" картинка на весь экран)))) оно конечно здорово, но хотелось решить траблу а не преумножать)))))

Сделайте логи заново, если в нормальном режиме не удается - то в безопасном.

Пока я отвлекся этот комп загрузили с ЛайфСД доктора веба и запустили сканирование. Не помешает в дальнейших разборках?

Нет, не помешает.

Сканирование с лайфСД ничего не выявило - 1 подозрительный (suspicious).
B папке C:\Program Files нарсовался pugins.exe, удалил - баннер исчез, эксплорер заработал.
Скрипты выполнены до удаления файла.
Логи из безопасного.

[b]Отключите восстановление системы![/b]
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,cmd /c C:\WINDOWS\System32\reg.exe ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\system /v DisableTaskMgr /t REG_DWORD /d 1 /f,cmd /c C:\WINDOWS\System32\reg.exe ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\system /v DisableTaskMgr /t REG_DWORD /d 1 /f,C:\vYgXQ\sb.exe
O4 - HKLM\..\Run: [plugin] "C:\Program Files\plugin.exe"
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\netprotocol.dll','');
QuarantineFile('C:\vYgXQ\sb.exe','');
DeleteFile('C:\vYgXQ\sb.exe');
DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvcReg('netprotocol');
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(14);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=67400[/url]).
Сделайте новые логи в нормальном режиме.

Добрый день!
Выполнено, по поводу карантина - карантин есть за 15 число - там куча файлов, в сегодняшнем тока 1 - высылаю сегодняшний.

C:\vYgXQ\sb.exe -- это было отключено в автозагрузке и удалено вручную ранее

C:\Program Files\plugin.exe -- а это было удалено вчера в безопасном после чего пропал баннер, после этого было сканирование ЛайфСД доктора веба

На данный момент ничего не изменилось - окно часов заблокировано, диспетчер и редактор реестра тоже

В карантине [B]netprotocol.dll[/B] - свежая модификация.
Заразы в логах больше не видно.

[QUOTE='Slegs;562767']окно часов заблокировано, диспетчер и редактор реестра тоже [/QUOTE]
Сделано это весьма нетипичным способом.
Судя по этим строкам в логе:
[COLOR="DarkGreen"]Прямое чтение C:\WINDOWS\regedit.exe
Прямое чтение C:\WINDOWS\system32\regedt32.exe
Прямое чтение C:\WINDOWS\system32\taskkill.exe
Прямое чтение C:\WINDOWS\system32\taskmgr.exe
Прямое чтение C:\WINDOWS\system32\timedate.cpl[/COLOR]
на перечисленные файлы отобраны права.

Отключите в Свойствах папки [I]Простой общий доступ к файлам[/I] и сделайте эти файлы на полный доступ группе Администраторов и SYSTEM.

[QUOTE='Bratez;562831']сделайте эти файлы на полный доступ группе Администраторов и SYSTEM. [/QUOTE]
если можно подробнее как это выполнить, что то я торможу

в свойствах папки Простой общий доступ галка снята.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

разобрался, логи повторить после выполнения?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Функции востановлены, весьма благодарен! :)

Если проблем больше нет, логи можно не повторять.

Последний вопрос - стоит включать востановление системы? и создать точку на данный момент?

Огромное спасибо за помощь! раздел поддержки проекта изучил.....

[QUOTE='Slegs;562869']стоит включать востановление системы? и создать точку на данный момент?[/QUOTE]
На ваше усмотрение. Лично я предпочитаю им не пользоваться. Хотя, справедливости ради, могу сказать, что были в моей практике пару случаев, когда оно реально помогло. Если компьютер используется для какой-то важной работы - включите на всякий случай.

Спасибо Вам! Удачи!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\netprotocol.dll - [B]Trojan-Downloader.Win32.Piker.btp[/B][/LIST][/LIST]