Помогите, кто может! Комп блокирован

[B]Сразу прошу прощения, что не по правилам. Не могу.[/B]

Комп был блокирован вымогателем. Сразу после входа под пользователем на экране появлялось требование отправить 400 рублей на телефон в Билайне - и больше ничего.

В процессе сканирования на вирусы с LiveCD было обнаружено 4-6 файлов в Windows\system32 и удалены.

Теперь ситуация такая:
- в Safe mode система не грузится, сбрасывается на POST
- В нормальном режиме после входа пользователем вижу только фоновый рисунок рабочего стола и больше ничего. На кнопки не реагирует, на Ctrl-Alt-Del сообщает, что запуск Диспетчера блокирован Администратором
- при попытке зайти утилитой для сброса пароля выходит сообщение, что у тома NTFS неожиданный флаг - 0x4000 и поэтому доступа на запись нет.

Это можно как-то разгрести или остается только спасать данные и переустанавливать систему?

[size="1"][color="#666686"][B][I]Добавлено через 32 минуты[/I][/B][/color][/size]

Нашел кое-какие идеи в инете, пока буду пробовать.
Я бы удалил эту тему, но не нашел кнопки.
Пока прошу гуру этой темой не заниматься.

1.скачайте [B]Live CD[/B] с возможностью поиска и исправления в реестре. Например, [B]ERD Commander[/B].
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - [B]erdregedit[/B]
4.Посмотрите в реестре:
[I][B]ветка[/B][/I]
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
[/QUOTE]
[I][B]параметр[/B][/I]
[QUOTE]userinit[/QUOTE]

[I][B]параметр[/B][/I]
[QUOTE]shell[/QUOTE]

а также
[I][B]ветка[/B][/I]
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/QUOTE]

[I][B]параметр[/B][/I]
[QUOTE]AppInit_DLLs[/QUOTE]

Содержимое этих параметров напишите в своем сообщении

Спасибо за ответ, но я уже написал вчера, что нашел в инете рецепты.
На данный момент управление системой восстановлено, эксплорер работает, диспетчер задач запускается, safe mode работает и я выполнил стандартную процедуру для запроса о помощи. Логи загрузил.

Бросилось в глаза, что на доступ к каким-то антивирусным сайтам прописан статический маршрут. файл hosts имеет нулевую длину, это вроде неправильно. Наверное, еще не вся гадость вычищена.

Насчет ERD commander есть сомнения. Как уже было написано, близкий к этому Live CD (я пытался стереть пароль администратора, но и редактор реестра там есть) отказался править диск из-за неожиданного флага тома NTFS.

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O2 - BHO: Rmn plugin - {47D92EB6-E52C-4cda-92A6-2369963F4913} - jetaccss.dll (file missing)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
DelBHO('{88888888-8888-8888-8888-888888888888}');
DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\msmedia.dll','');
QuarantineFile('\\?\globalroot\systemroot\system32\mqwOCrW.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\fS7MIKN.exe','');
QuarantineFile('C:\WINDOWS\CZASJJJA.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
QuarantineFile('C:\WINDOWS\taskmon.exe','');
DeleteService('Task Monitor');
DeleteFile('C:\WINDOWS\taskmon.exe');
DeleteFile('C:\WINDOWS\CZASJJJA.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CZASJJJA');
DeleteFile('\\?\globalroot\systemroot\system32\fS7MIKN.exe');
DeleteFile('\\?\globalroot\systemroot\system32\mqwOCrW.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\msmedia.dll');
QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Скачайте [B]RSIT[/B] [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета [COLOR="Blue"][B]log.txt[/B][/COLOR] и [COLOR="Blue"][B]info.txt[/B][/COLOR]. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Файл сохранён как 100825_185250_quarantine_4c752e42c21b0.zip
Размер файла 4118
MD5 51197e1c49f67e0a33a7dab4fdab2438

Отсканировал

RSIT

Remote Administrator - сами ставили?
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteService('symavc32');
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
DeleteFile('msansspc.dll');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','system\currentcontrolset\control\securityproviders','SecurityProviders','msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll,');
DeleteFile('C:\WINDOWS\system32\tmp.tmp');
DeleteFile('C:\Program Files\Common Files\keylog.txt');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог [COLOR="Blue"][B]RSIT[/B][/COLOR]
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR]

RAdmin - да, по-видимому, сами. Раньше очень любили эту программу, сейчас сносим. Вот буду после лечения затыкать дыры на компе, и ее удалю тоже.

Кстати, где можно брать свежий скрипт для поиска уязвимостей ScanVuln.txt?

В логах чисто.

Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[B]*[/B] Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]

После обновления:
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
На этом можно считать лечение законченным.

Да, конечно, все это я собирался проделать. Большое спасибо за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]