Последствия WinLocker

Какой именно Winlock не знаю, выводит сообщение "internet security обнаружил вредоносное по" и т. д. С помощью загрузки с флешки удалось вылечить заразу (CureIt).

После этого в реестре оказалось отключено много всяких вещей (например Диспетчер задач, редактор рееста: их я включил с помощью локальных политик). Но последствия явно не ушли.
1. Так как KIS не хотел запускаться, удалил его, заново он не устанавливается (после распаковки инсталлятора ничего не происходит)
2. Вылетает svchost при подключенном сетевом кабеле.
3. Ну и вообще система работает так, что по ней кто-то прошелся.

Требуемые логи прилагаю. Спасибо за помощь заранее, не хочу переставлять систему.

Профиксите:
[CODE]
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe
[/CODE]

[CODE] Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/CODE]
Базы обновите и переделайте логи+ сделайте лог гмер.

Все сделал, обновленные базы AVZ, что-то нашли
Gmer очень долго сканировал, в итоге оставил на ночь, с утра он вылетел, система вообще не работало (было сообщение об ошибке вроде нехватки системных ресурсов)

Отключить восстановление системы, защитное ПО.
Профиксить:
[CODE]
O20 - AppInit_DLLs: C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA
[/CODE]

Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\TortoiseHg\THgShell.dll','');
QuarantineFile('L:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA','');
QuarantineFile('C:\WINDOWS\system32\ntmsoprq.msc','');
QuarantineFile('C:\WINDOWS\system32\ovjp.fbo','');
DeleteFile('C:\WINDOWS\system32\ovjp.fbo');
DeleteFile('C:\WINDOWS\system32\ntmsoprq.msc:exaS9La5BA');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится. Карантин прислать согласно приложению 3. Логи переделать + попытаться сделать лог гмер.

Дело в том, что WinLocker судя по всему запретил мне отключать восстановление системы (галочка неактивна)

пропустите это. Выполняйте скрипт, присылайте карантин и делайте запрашиваемые логи

[CODE]QuarantineFile('C:\Program Files\TortoiseHg\THgShell.dll','');[/CODE]

Вопрос еще один по этой строчке. Это нормальная DLL, приложение называется TortoiseHG, которое устанавливается как shell extention,
QuarantineFile не похачит его? Просто положит в карантин?

[QUOTE='Camarada;636903']Просто положит в карантин?[/QUOTE]Да

Все сделал, карантин выслал (не вижу, чтобы он отображался).

[QUOTE=Camarada;638250]Все сделал, карантин выслал (не вижу, чтобы он отображался).[/QUOTE]

Грешу на svchost, который в логе gmer отображается как Service Hidden

Скажите, моя проблема ожидает очереди, или про меня просто забыло, просто уж столько времени ушло на сбор этих логов, хотелось бы, чтобы не зря.

[QUOTE='Camarada;638328']Грешу на svchost, который в логе gmer отображается как Service Hidden[/QUOTE]Грешу на ложное срабатывание. Но не уверен

[QUOTE=thyrex;639051]Грешу на ложное срабатывание. Но не уверен[/QUOTE]

Дело в том, что процссов svchost аж 7 штук, в то время, как более привычно видеть их 6

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Remotemgmt');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Remotemgmt\Parameters');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\Remotemgmt');
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\Remotemgmt');
BC_ImportAll;
BC_Activate;
end.[/code]
Проблема решена?

[QUOTE=AndreyKa;639924]
Проблема решена?[/QUOTE]

Процессов после перезагрузки осталось столько же, инсталл KIS работает по прежнему. Работу с сетевым проводом проверить не удалось пока.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\ovjp.fbo - [B]Trojan.Win32.Agent2.cnil[/B] ( DrWEB: Trojan.Oficla.4, BitDefender: Trojan.Generic.2994233, NOD32: Win32/Oficla.CS trojan, AVAST4: Win32:Oficla-G [Trj] )[/LIST][/LIST]