Вирус заблокировал все антивирусы и меню Пуск

Добрый день! Помогите пожалуйста с проблемой.
Windows XP, Service Pack 3. IE 7, NOD32
Вирус не дает открыть AVZ, Hijack, kidokiller даже папочки с именем AVZ сразу закрывает, так же как и поисковики с буквами AVZ. Перименование тоже не дает никакого эффекта. Через каждые минут 5-10 вылазиет меню Пуск с предложением выключить компьютер. Кнопка в меню Пуск - Выполнить тоже не работает, сворачивается мгновенно. Работает только Cureit.exe, но он нашел только один вирус в формате pdf. Все это происходит под пользователем с правами Администратора, под вторым пользователем без прав все ок, где я и обновил успешно AVZ и Cureit и зашел на нужные сайты. Но под админом все глухо.

Давайте попробуем сделать так:
- скачайте [URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPtool[/URL]
- установите и запустите его
- откройте вкладку [B][COLOR="Blue"]Ручное лечение[/COLOR][/B]
- Нажмите кнопку [COLOR="Blue"]«Сбор информации о системе»[/COLOR].
- создавшийся лог прикрепите к новому сообщению

Скачал, но он не устанавливается. Под одним пользователем требует права админа, а под админом на выборе языков - вылетает.

1.скачайте [B]Live CD[/B] с возможностью поиска и исправления в реестре. Например, [B]ERD Commander[/B].
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - [B]erdregedit[/B]
4.Посмотрите в реестре:
[I][B]ветка[/B][/I]
[QUOTE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
[/QUOTE]
[I][B]параметр[/B][/I]
[QUOTE]userinit[/QUOTE]

[I][B]параметр[/B][/I]
[QUOTE]shell[/QUOTE]

Содержимое этих параметров напишите в своем сообщении

Все сделал
параметр userinit
c:\windows\system32\userinit.exe,\\?\globalroot\systemroot\system32\pivbepj.exe,\\?\globalroot\systemroot\system32\2hmxdje.exe,\\?\globalroot\systemroot\system32\zbzj6cw.exe,\\?\globalroot\systemroot\system32\w47xkm0.exe,

параметр shell
Explorer.exe, C:\Program Files\Common Files\UniCam SoftWare\svhost.exe

Папочек winlogon оказалось 2 штуки. Одна с большой буквы другая с маленькой в ней только параметр shell. Информация по userinit и shell взята из первой папки.

Придаем такой вид

параметр userinit
[B]c:\windows\system32\userinit.exe,[/B]

параметр shell
[B]Explorer.exe[/B]

[QUOTE='JohnBerk;697001']другая с маленькой в ней только параметр shell[/QUOTE]Эту "папку" удаляем

Пробуем подготовить логи

Все сделал как сказали.
Антивирусы заработали. AVZ открылся и успешно обновился.

Дальше
[QUOTE='thyrex;697043']Пробуем подготовить логи[/QUOTE]

Готово

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\DoctorWeb\Quarantine\sfcfiles.dll','');
QuarantineFile('C:\Program Files\Common Files\UniCam SoftWare\svhost.exe','');
DeleteFile('C:\Program Files\Common Files\UniCam SoftWare\svhost.exe');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\1208.exe','');
DeleteFile('C:\WINDOWS\system32\1208.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systme');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]Смените все пароли[/B]

Сделайте новые логи

Скачайте [url="http://images.malwareremoval.com/random/RSIT.exe"]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.

Логи

RSIT

Пофиксите в HiJack
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{3B088638-4162-456E-94D2-4AFFE6F769DB}: NameServer = 188.92.73.123,188.92.73.124
O17 - HKLM\System\CCS\Services\Tcpip\..\{8636A2D5-C98B-4F45-BD94-3DB96CEE0628}: NameServer = 188.92.73.123,188.92.73.124
O17 - HKLM\System\CCS\Services\Tcpip\..\{A76D16AE-301C-4C81-8638-834ACD4DAD67}: NameServer = 188.92.73.123,188.92.73.124[/CODE]

В [B]исключениях брандмауэра[/B] удалите записи о
[CODE]"C:\DOCUME~1\Admin\LOCALS~1\Temp\460D.tmp"="C:\DOCUME~1\Admin\LOCALS~1\Temp\460D.tmp:*:Enabled:RASS Server"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\464C.exe"="C:\DOCUME~1\Admin\LOCALS~1\Temp\464C.exe:*:Enabled:Microsoft Windows Update Platform"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\4A4D.tmp"="C:\DOCUME~1\Admin\LOCALS~1\Temp\4A4D.tmp:*:Enabled:RASS Server"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\1E8B.tmp"="C:\DOCUME~1\Admin\LOCALS~1\Temp\1E8B.tmp:*:Enabled:RASS Server"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\22AC.exe"="C:\DOCUME~1\Admin\LOCALS~1\Temp\22AC.exe:*:Enabled:Microsoft Windows Update Platform"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\256A.exe"="C:\DOCUME~1\Admin\LOCALS~1\Temp\256A.exe:*:Enabled:Microsoft Windows Update Platform"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\2683.exe"="C:\DOCUME~1\Admin\LOCALS~1\Temp\2683.exe:*:Enabled:Microsoft Windows Update Platform"
"C:\DOCUME~1\Admin\LOCALS~1\Temp\1208.exe"="C:\DOCUME~1\Admin\LOCALS~1\Temp\1208.exe:*:Enabled:Microsoft Windows Update Platform"[/CODE]

Файл C:\Program Files\Common Files\keylog.txt и скрытую папку C:\WINDOWS\system32\lowsec удалите вручную

Выполните скрипт в AVZ
[code]begin
BC_DeleteSvc('sfc');
BC_DeleteSvcReg('sfc');
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи RSIT

C:\Program Files\Common Files\keylog.txt удалил,
C:\WINDOWS\system32\lowsec этой папки при отображении скрытых папок и файлов нет (не обнаружил).
В брандмауэре на закладке Исключения указаных файлов нет. В самой папке C:\DOCUME~1\Admin\LOCALS~1\Temp\460D.tmp..... их тоже не нашел.

thyrex подскажите пожалуйста, что не правильно делаю?

[QUOTE='JohnBerk;697777']C:\WINDOWS\system32\lowsec этой папки при отображении скрытых папок и файлов нет (не обнаружил).[/QUOTE]Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

[QUOTE='JohnBerk;697777']В брандмауэре на закладке Исключения указаных файлов нет.[/QUOTE]Посмотрите ветку реестра [CODE][HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list][/CODE]

направляю mbam-отчет

p.s. заданные файлы по указанному пути в реестре удалил

- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B]
[CODE]
Зараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\javacpl (Spyware.Banker) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.


Зараженные папки:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\Admin\DoctorWeb\Quarantine\avz00001.dta (Adware.TMAagent) -> No action taken.
C:\WINDOWS\innounp.exe (Malware.Packer.Gen) -> No action taken.
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\pdfupd.exe (Trojan.Agent) -> No action taken.
[/CODE]


-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Program Files\Java\jre1.6.0_07\bin\java.exe ','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

Лог mbam после удаления ключей, папок, файлов.

На загрузку карантина пишет ошибку "Такой файл уже был загружен". Поменял имя на quarantine1.zip - пишет тоже самое.

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
- поставте [URL="http://get.adobe.com/reader/otherversions/"]Adobe Reader 9.3[/URL] или удалите старый.