Не могу разблокировать порно-блокировщик

Добрый день.
При старте WinXP (и в обычном и в безопасном режиме) вылазит окно с голыми мужиками (уже со снятыми красными труселями). Блокирует дальнейшие действия и предлагает отправить деньги сразу на электронный кошелёк 892847470.
Формы он-лайн служб подбора кодов ответа (ДрВеб, Касперский+ на этом форуме, Есет) предлагают ввести сочетание "№ СМС"+"код запроса" и и на попытки ввода номера кошелька результат не выдают.
При проверке заразного жесткого диска, подключенного к чистому компьютеру, при помощи ДрВеб/CureIt, Virus Removal Tool (Kaspersky), AVZ, MBAM ни чего не обнаруживается.
Логи сделать не получается.

С помощью какого ещё сервиса или какого запроса можно получить код разблокировки, что бы была возможность сделать логи для дальнейшей чистки ?

загрузитесь с заразного диска. попробуйте сделать так:
Нажать на клавиатуре сочетание клавишь WIN + U (Win - клавиша с логотипом Windows), далее выбрать Экранную Лупу-Запустить. Откроется окно, в нем нажать в середине ссылку "Веб-узел Microsoft" - выбрать Браузер - Файл- Открыть - Обзор. Далее идти к диску (флешке) с папкой программы avz. Попробовать сделать логи

После нажатия WIN + U возле указателя мыши только на секунду появляются песочные часы - и всё. Попробовал несколько раз.

Если умеете работать с реестром и считаете себя продвинутым пользователем:
Загрузитесь с какого-нибудь LiveCD -- лучше всего ERD Commander, так как он умеет автоматически подгружать реестр системы, и посмотрите, что сидит в автозагрузке
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Также, насколько я помню, в ERD Commander, есть утилита управления автозапуском, как называется, не помню...

Эта статья тоже может помочь:[url]http://virusinfo.info/showthread.php?t=72176[/url]
Можете также просто, как показано в статье, экспортировать HKEY_LOCAL_MACHINE\SOFTWARE в .reg - файл и прикрепить здесь к своему сообщению, а мы скажем, что нужно подправить.

Попробовал пару сборок ERD Commander - установленная система (и жесткий диск) не подцепляется ни при старте машины, ни в дальнейшем при работе в ERD Commander.
Попробовал LiveCD от ДрВеб - с ним грузится и сканирует нормально, но в нём нет никаких интегрированных инструментов для работы с реестром.

Что ещё можно попробовать ?

[QUOTE='ysb;634273']установленная система (и жесткий диск) не подцепляется ни при старте машины[/QUOTE]
В BIOS'е в разделе main, кажется, есть опция Configure SATA As (или что-то подобное)
Попробуйте выставить режим IDE

[QUOTE=polar_owl;634281]В BIOS'е в разделе main, кажется, есть опция Configure SATA As (или что-то подобное)
Попробуйте выставить режим IDE[/QUOTE]
Спасибо, помогло. Стоял raid-режим.

[QUOTE=polar_owl;634220]Можете также просто, как показано в статье, экспортировать HKEY_LOCAL_MACHINE\SOFTWARE в .reg - файл и прикрепить здесь к своему сообщению, а мы скажем, что нужно подправить.[/QUOTE]
В несжатом состоянии файл получился 27 мб, поэтому ужал в zip, получилось 1,93 мб. Но, даже удалив с форума все свои предыдущие вложения, файл не получилось прикрепить к сообщению - "превышение предела на форуме".
Поэтому вложил файл на рапиду [URL]http://rapidshare.com/files/385190355/HKEY_LOCAL_MACHINE___SOFTWARE__reg.zip[/URL]

Найдите этот файл [CODE]C:\Documents and Settings\olga\Local Settings\Application Data\Opera\Opera\temporary_downloads\44a133dc6baefbbedb9ade16147405c0.avi.exe[/CODE] запакуйте с паролем [B]virus[/B] и пришлите по красной ссылке вверху темы [B]Прислать карантин[/B].
В реестре HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Параметр Shell. Присвойте ему значение Explorer.exe
Загрузитесь с жесткого диска

Карантин выслал.
После правки реестра с жесткого диска загрузился.
При диагностике AVZ файл virusinfo_syscure.zip не сформировался.
Прилагаю virusinfo_syscheck.zip и hijackthis.log
Но hijackthis запустился только переименованный в 1.zip.
При родном названии он удалялся ещё на стадии просмотра папки с ним на флэшке или копировании этой папки на жесткий диск. Выполнение в AVZ "восстановления системы - очистка списка игнорирования hijackthis" не помогло.

акройте все программы, выгрузите антивирус, фаерволл
пофиксите В HijackThis:
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
[/CODE]

Выполните в AVZ скрипт:
[CODE]begin
QuarantineFile('imageviewer.exe','');
QuarantineFile('340510867285l.exe','');
DeleteFile('C:\Documents and Settings\olga\Local Settings\Application Data\Opera\Opera\temporary_downloads\44a133dc6baefbbedb9ade16147405c0.avi.exe');
CreateQurantineArchive(GetAVZDirectory+'virus.zip');
ExecuteSysClean;
end.[/CODE]


В папке c АВЗ сохранится [B]virus.zip[/B].
Пришлите его по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы.

Сделайте еще такой лог:[url]http://virusinfo.info/showthread.php?t=40118[/url]

В HijackThis пофиксил.

В AVZ скрипт выполнил (всплывающее окошко было об успехе), но virus.zip сформировался пустым (без файлов) - в протоколе были сообщения:
[I]"Ошибка карантина файла, попытка прямого чтения (imageviewer.exe)
Карантин с использованием прямого чтения - ошибка"[/I] (два раза)
и для второго файла - также.

Лог gmer прилагаю.

Закройте все программы, выгрузите антивирус, фаерволл
Отключите ПК от интеренета, локальной сети.

Выполните в AVZ скрипт:
[CODE]begin
DeleteFileMask(GetAVZDirectory+'log','*.*', true);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('imageviewer.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run-','Windows Image Viewer Service');
DeleteFile('340510867285l.exe');
RegKeyStrParamWrite('HKLM','SYSTEM\CurrentControlSet\Control\SafeBoot','AlternateShell','cmd.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер сам перезагрузится.


Сделайте полный комплект логов (без Gmer)

Скрипт при выполнении останавливается с ошибкой "Failed to set data for 'DisplayName', шаг [14]"

Попробуйте убрать из скрипта строчку:[CODE]RegKeyStrParamWrite('HKLM','SYSTEM\CurrentControlSet\Control\SafeBoot','AlternateShell','cmd.exe');
[/CODE]

Результат тот же

Вы OutPost FireWall отключали?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Давайте попробуем так:[CODE]begin
DeleteFileMask(GetAVZDirectory+'log','*.*', true);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SetAVZGuardStatus(True);
DeleteFile('imageviewer.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run-','Windows Image Viewer Service');
DeleteFile('340510867285l.exe');
RegKeyStrParamWrite('HKLM','SYSTEM\CurrentControlSet\Control\SafeBoot','AlternateShell','cmd.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Отключал/выгружал.
Попробую ещё раз перезагрузиться без его автозагрузки.

p.s. Убрал Аутпост из автозагрузки - результат выполнения скрипта тот же - останов.

p.p.s. переделанный скрипт прошел, начинаю делать логи (непереименованный HijackThis пока по-прежнему удаляется)

Outpost так просто не выключить.

[url]http://virusinfo.info/showthread.php?t=57441[/url]
Здесь есть про OutPost

virusinfo_syscure.zip опять не сформировался.
Прилагаю новые virusinfo_syscheck.zip и hijackthis.log