Нужна помощь в удалении порноинформера умного происхождения

Всем доброго времени суток, столкнулся с порноинформером
1)Информер запускается когда хочет, в основном когда пытаюсь запустить какие либо программы антивирусы (Запускается информер, закрывается антивирус,закрывается информер, в некоторых случаях вообще выключает компьютер сразу после запуска утилит.)
2)Пробовал все возможные утилиты которые находил через поиск по этому сайту и читал правила форума, но ни одну не получилось запустить так как информер сразу же запускается либо выключает компьютер. (переименовывать утилиты не приносили успеха)
3)Заблокированны:реестр, локальная политика безопасности, сайты антивирусов и утилит.
Пожалуйста помогите справиться с вирусом.

надо сделать [URL="http://virusinfo.info/pravila_old.html"]логи по правилам[/URL] и мы Вам поможем

[QUOTE=polword;640013]надо сделать [URL="http://virusinfo.info/pravila_old.html"]логи по правилам[/URL] и мы Вам поможем[/QUOTE]
Не получается запустить утилиту avz в безопасном режиме, в обычном тоже. Удалось сохранить лог hijackthis.

порноинформер на номер 3381?

[QUOTE=polword;640040]порноинформер на номер 3381?[/QUOTE]

Да, он самый, заметил что он сегодня на форуме очень популярен.:>

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]F2 - REG:system.ini: Shell=explorer.exe rundll32.exe srnh.lto iqfnr
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\QxkfNHk.exe,
O4 - HKLM\..\Run: [Generic Host for Win32 Services] L‘|x
<
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\tknkea.dll
O23 - Service: Network Protocol Driver (Netprotocol) - Unknown owner - C:\Documents and Settings\Admin\Application Data\netprotocol.exe (file missing)[/CODE]
Перезагрузитесь. попробуйте сделать теперь логи

Пификсил, сделал новый лог hijackthis. avz по прежнему не получилось запустить.

а логи AVZ пробовали сделать?

[QUOTE=polword;640083]а логи AVZ пробовали сделать?[/QUOTE]

Пробовал, ничего не вышло.

Есть ли у Вас возможность найти и скачать Live CD с возможностью просмотра и правки реестра, например, ERD Commander ?

[QUOTE=DefesT;640099]Есть ли у Вас возможность найти и скачать Live CD с возможностью просмотра и правки реестра, например, ERD Commander ?[/QUOTE]
В системе не получается запустить ERD Commander, компьютер презагружается, думаю через пару часов смогу запустить LiveCD.

Образ ERD Commander записывали на болванку и загружались с созданного диска? Если нет, исправляйтесь

[QUOTE=thyrex;640132]Образ ERD Commander записывали на болванку и загружались с созданного диска? Если нет, исправляйтесь[/QUOTE]
Загрузился с LiveCD, жду дальнейших инструкций :)

Хочу добавить, что вирус отошел вместе с порноинформером, все стало на круги своя, все полностью разблокировалось. Логи AVZ прикрепил ниже.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Documents and Settings\Admin\Application Data\netprotocol.exe','');
DeleteService('Netprotocol');
DeleteFile('C:\Documents and Settings\Admin\Application Data\netprotocol.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

Готово, все сделал.

Эти файлы
[QUOTE]c:\windows\regedit.exe
c:\windows\system32\msgsvc.dll[/QUOTE]проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылки на результат проверки сообщите

[code]<pre>
c:\program files\QIP\Users\428199584\RcvdFiles\394908422_Настенка\Электричка .exe
</pre>[/code]В этом файле уберите лишний пробел перед расширением

[B]c:\windows\System32\sfcfiles.dll[/B] восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Все сделал.
[QUOTE=thyrex;640878]Ссылки на результат проверки сообщите[/QUOTE]
1)[url]http://www.virustotal.com/ru/analisis/32050f5a1815d3df17a326238d638f1dc976edc8601ebe9705edfda214e64ad5-1257430275[/url]
2)[url]http://www.virustotal.com/ru/analisis/cee5fd42b2946b32c0bcecf5cb8c45d996355197f332f59720a92724ea90004b-1271871139[/url]

Обе ссылки с древними результаттами проверки. Нужно было выбрать [B]Повторить проверку сейчас[/B] или что-то подобное. Переделайте

[QUOTE=thyrex;641148]Обе ссылки с древними результаттами проверки. Нужно было выбрать [B]Повторить проверку сейчас[/B] или что-то подобное. Переделайте[/QUOTE]
Исправил.
1)[url]http://www.virustotal.com/ru/analisis/32050f5a1815d3df17a326238d638f1dc976edc8601ebe9705edfda214e64ad5-1274417832[/url]
2)[url]http://www.virustotal.com/ru/analisis/cee5fd42b2946b32c0bcecf5cb8c45d996355197f332f59720a92724ea90004b-1274417987[/url]