Супер Вирус-вымогатель полностью поразил систему.

Всем привет.
Вот столкнулся по собственной глупости с этим вирусом..если я правильно понял это модификация Trojan.Win32.Agent.il (KAV), Trojan.Griven (DrWeb) [URL]http://virusinfo.info/showthread.php?t=3584[/URL] ..только он походу намного сильнее.
Симптомы теже самые что у тех вирусов, при входе в систему пишет окно с вымогательством денег за что якобы вышлют программу лечилку(в чем сильно сомневаюсь) и просят 500 рублей или 10 долларов выслать на эмейл через пополнение счета.
При входе в систему блокируются все служюы(диспетчер, все exe файлы и еще дургие разрешения, побит винрар архиватор(винзип ток и выручает), командная строка, сильно обрезано меню пуск, проводник), виесто часо неценз слово, рабочей стол изуродован, вобщем условно говоря работает только интернет эксплорер для того чтоб мог отправить эмейл с пополнением(опера тож не фурычит..), отличается от предыдущих модификаций своей большей предусмотрительностью к способам лечения(не работает командная строка, экзешника), с очень большими мучениями всеже удалось запустить авз, при помощи хорошего совета переименовать его в IEXPLORE. После того как удалось его запустить сделал обновление, сделал сканирование системного диска(ничего не обнаружил по сути из опасного) и выполнил как советовалось в предыдущих модификациях полное восстановление в авз, это был полный крах [QUOTE]все это финита ля комедиа..вирус безсмертный, который учитывает все возможные способы атаки..
кароче запустил я авз и просканил систему, ничего не нашло..ну я как было написано выполнил полное восстановление, перегрузил комп и что..тоже самое только еще хуже..системе еще хуже стало..даже ИЕ не запускался, а рабочий стол вообще полностью черный стал..я уж думал идти вешаться, но решил еще проверить 2-й аккаунт(у меня их слава богу было 2) и там все по сути тоже самое что и до этого было..но хоть ИЕ как и раньше работает..вобщем пройдя снова кучу этапов мучений добрался до авз(ох как это было не просто..) ...вобщем не знаю че даж делать..уже стремно чето жать..потому что это последний аккаунт..и если и сейчас что-то не так случится то потом даж в инэт не смогу зайти..походу создатели вируса(ох добраться бы до них :diablo:) в последней модификации все предусмотрели и то что произошло с предыдущим аккаунтом(пользователем) было наказанием за попытку удалить вирус..:([/QUOTE] вот ссылка на тему где есть много про мой бой с вирусом- [URL]http://virusinfo.info/showthread.php?t=3584&page=4[/URL]
Пожалуйста помогите, потому что этот вирус меня уже добил..:?

[B][SIZE="2"]извените паролей на архивах нету т.к. в моей ситуации их очень непросто установить..[/SIZE][/B]

т.к. у меня почему то не работает кнопка добавления файлов пришлось их залить..вот ссылки на них:
[url]http://shareua.com/files/show/960351/hijackthis.log.html[/url]
[url]http://shareua.com/files/show/960361/virusinfo_syscheck.zip.html[/url]
[url]http://shareua.com/files/show/960371/virusinfo_syscure.zip.html[/url]

C:\WINDOWS\WinSxS\Manifests\explorer.exe
C:\WINDOWS\Provisioning\Schemas\lsass.exe
desktop(2).ini

Вот это попробуй засунуть в карантин через AVZ и прислать. Можно их оттуда же и попробовать пристрелить.
Хотя, я бы попробовал сделать это с LiveCd.

Сейчас посмотрю логи AVZ,

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Загрузиться с LiveCd, запустить regedit, подключить удаленный реестр.
Аккуратно удалить след. ключи:
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

После этого м.б. получим доступ к реестру.

[quote=PavelA;212037]C:\WINDOWS\WinSxS\Manifests\explorer.exe
C:\WINDOWS\Provisioning\Schemas\lsass.exe
desktop(2).ini

Вот это попробуй засунуть в карантин через AVZ и прислать. Можно их оттуда же и попробовать пристрелить.
Хотя, я бы попробовал сделать это с LiveCd.

Сейчас посмотрю логи AVZ,

[SIZE=1][COLOR=#666686][B][I]Добавлено через 5 минут[/I][/B][/COLOR][/SIZE]

Загрузиться с LiveCd, запустить regedit, подключить удаленный реестр.
Аккуратно удалить след. ключи:
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

После этого м.б. получим доступ к реестру.[/quote]
слова м.б. страшно смотрятся))т.к. последний аккаунт где мне еще разрешен доступ в инэт, так что все как это сделаю может даже отписаться не смогу))))
сейчас скачаю Windows.LiveCD , правда я им еще не пользовался никогда так что не знаю выйдет ли..

[QUOTE=mantikora;212144]слова м.б. страшно смотрятся))т.к. последний аккаунт где мне еще разрешен доступ в инэт, так что все как это сделаю может даже отписаться не смогу[/QUOTE]Если есть возможность - сохраните важные файлы на флешке или внешнем харддиске.

Live cd не могу запустить..т.к. а)не могу скачать через торрент со своего региона т.к. торрент файлы блокированы, а с внешки буду очень долго качать.. б)не могу записать на диск(неро блокирован)
есть ли какие-то варианты решения этой проблемы через авз?

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

кстати еще одна из особеностей вируса, кроме того что не можешь открыть ни одну папку а в моем компьютере нету ни диска С ни Д, то можно выйти через блокнот-открыть добраться до моего компьютера и там все будет видно кроме системного диска С......но я нашел способ лазить по диску С всетаки..но там скрыты папки виндоус, документс и сетингс, програм файлз..
вирус гениальный ничего не скажешь..

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

кстати пока лазил в интернете нашел вот что, может пригодится..

[QUOTE]
Здравствуйте.
Действительно, файл Key.exe - троянская программа Trojan.Win32.Krotten.b, с весьма неприятными свойствами.
Ранее мы детектировали аналогичную программу того же автора. Но эта модификация в отличие от предыдущей не удаляет и не портит никаких файлов на Вашем компьютере, но лишь изменяет некоторые ключи реестра - настройки системы, так, чтобы обычный порядок работы был нарушен. Поэтому для устранения последствий работы этой прогшраммы могу предложить Вам два пути:
1. Наиболее привычный для пользователей - обчная переустановка Windows, с целью восстановиь стандартные настройки системы.
2. Восстановить настройки системы вручную. Для этого понадобится отредактировать некоторые ключи реестра. [B]Необходимо использовать редактор реестра отличный от стандартного regedit.exe, входящего в состав Windows. В интернете таких инструментов для свободного использования много (например, Reg Organizer).[/B]

Запустите редактор на пострадавшей машине и произведите следующие изменеия в ключах реестра: (-> означает "измените значение на", HKULM - HKEY_LOCAL_MACHINE, HKCU - HKEY_CURRENT_USER)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeCaption "DANGER" -> ""
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeText "Если ты хочешь восстановить нормальную работу своего компьютера не потеряв ВСЮ информацию! И с экономив деньги, пришли мне на e-mail [email][email protected][/email] код пополнения счета киевстар на 25 гривень. В ответ на свой e-mail ты получишь фаил для удаления э..." -> ""

HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\LegalNoticeCaption "DANGER" - > ""
HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\LegalNoticeText "Если ты хочешь восстановить нормальную работу своего компьютера не потеряв ВСЮ информацию! И с экономив деньги, пришли мне на e-mail [email][email protected][/email] код пополнения счета киевстар на 25 гривень. В ответ на свой e-mail ты получишь фаил для удаления э..." -> ""


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR 0x1 -> 0x0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\RPLifeInterval 0x1 -> 0x76a700

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowRun 0x0 -> 0x1

HKCU\Software\Microsoft\Internet Explorer\Main\Window title SUCCESS ":::::::::: Мой ПИЗДОРЕЗ ::::::::::" -> "Microsoft Internet Explorer"
HKLM\Software\Microsoft\Internet Explorer\Main\Window title SUCCESS ":::::::::: Мой ПИЗДОРЕЗ ::::::::::" -> "Microsoft Internet Explorer"
HKCU\Software\Microsoft\Internet Explorer\Main\Start Page "http://poetry.rotten.com/uday/index19.html" -> "about:blank"
HKLM\Software\Microsoft\Internet Explorer\Main\Start Page "http://poetry.rotten.com/uday/index19.html" -> "about:blank"


HKCU\Control Panel\Desktop\MenuShowDelay 9999 -> 400
HKCU\Control Panel\International\sTimeFormat "БЛЯДЬ" -> "H:mm:ss"

Создайте ключ реестра:
HKEY_CLASSES_ROOT\regfile\shell\open\command "regedit.exe "%1" "
Измените:
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop 0x1 -> 0x0
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktop 0x1 -> 0x0
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive 0x18 - удалите ключ
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose 0x1 ->0x0
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoControlPanel 0x1 -> 0x0
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\StartMenuLogoff 0x1 -> 0x0
[B]HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives 0x414 - удалите ключ
[/B]
HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\DiskSpaceThreshold 0x99 - удалите ключ

Нижеприведенные ключи можно просто удалить:
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserClose 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoNavButtons 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoSelectDownloadDir 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserContextMenu 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserOptions 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserClose 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoNavButtons 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoSelectDownloadDir 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserContextMenu 0x1
HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\NoBrowserOptions 0x1
HKCU\Control Panel\Desktop\WallpaperOriginX "210"
HKCU\Control Panel\Desktop\WallpaperOriginY "187"
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\NoViewContextMenu 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowRun 0x0
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuPinnedList 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuMFUprogramsList 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuSubFolders 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoCommonGroups 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMMyPictures 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuMyMusic 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMMyDocs 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktop 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoControlPanel 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives 0x414
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFavoritesMenu 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSaveSettings 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoUserNameInStartMenu 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoToolbarCustomize 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoThemesTab 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoPrinterTabs 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoPrinters 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoNetHood 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoManageMyComputerVerb 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum\{20D04FE0-3AEA-1069-A2D8-08002B30309D} 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum\{450D8FBA-AD25-11D0-98A8-0800361B1103} 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall\NoAddRemovePrograms 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\NoViewContextMenu 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowRun 0x0
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuPinnedList 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuMFUprogramsList 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuSubFolders 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoCommonGroups 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMMyPictures 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuMyMusic 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMMyDocs 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktop 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoControlPanel 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives 0x414
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFavoritesMenu 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRecentDocsMenu 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogOff 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoClose 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSaveSettings 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoUserNameInStartMenu 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoToolbarCustomize 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoThemesTab 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoPrinterTabs 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoPrinters 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoNetHood 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoManageMyComputerVerb 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum\{20D04FE0-3AEA-1069-A2D8-08002B30309D} 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall\NoAddRemovePrograms 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\NoDispCPL 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr 0x1
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\NoDispCPL 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr 0x1
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools 0x1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\scheldhlp "C:\WINDOWS\system32\scheldhlp.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\LocalServer32 "C:\WINDOWS\system32\oobe\LocalServer32.exe"

[/QUOTE]


если бы это(у меня врое похожий случай) можно было бы как-то адаптировать под код выполнения в авз(которое я могу запустить) то что-то вышло бы..??

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

ура..пройдя через невероятные испытания я все же смог скачать и установить Reg Organizer 4.20, что теперь делать??а то боюсь че-то нето сделать..

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

в ней вроде получил доступ практически к всей системе(даже автозагрузка) ..только бы знать что редактировать..

[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]

редактировать ничего в реестре не могу через рег органайзер пытался удалить HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
..пишет что не возможно выполнить и возвращает как было..вобщем и права доступа к реестру без лайв сд я так понял я изменить не смогу..

Попробуй убить те ключи, связанные с политиками: [CODE]HKLM\Software\Microsoft\Windows\CurrentVersion\Policies[/CODE]

Если трой их не восстановит, то считай полдела сделал.

Дальше из раздела Run удали строчки для запуска поддельных explorer & lsass

что снести всю эту папку??
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies

в ней 5 разделов..
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ratings
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Uninstall

Давай тогда по частям.
Вот этот ключик пропробуй для начала просто грохнуть:
[CODE]HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools 0x1[/CODE]

не выходит, выделил, нажал delete.. Пишет: "AdminApp error occured. Error number 4."

[size="1"][color="#666686"][B][I]Добавлено через 42 минуты[/I][/B][/color][/size]

мда уж с каждым часом все веселее и веселее..ничего не скажешь((
итак решил я еще раз посмотреть что творится под тем пользователем на котором я в авз выполнил восстановление полное..итак нашел пару интересных отличий, итак
[B]минусы[/B]
[B]1[/B] в нем не запускаются уже все типы файлов, кроме медаи файлов. даже блокнот теперь нефурычит, а ворд просто не реагирует на 2-й ной клик..
[B]2[/B] в нем не помогает переименование в IEXPLORER, файлы всеравно не открываются, пишет не прав и т.д.

[B]плюсы[/B][B]1[/B] в нем теперь есть хоть какой-то доступ к панели управления(я на всякий случай создал еще 4-х пользователей с правами администратора)

[B]2[/B] поиск заработал..

[B]3[/B] в нем можно добраться до диска С(но не видно програм файлз, документ и сетингз, виндоус) и даже до рабочего стола, и тут еще одна странность, с рабочего стола почему то работает ярлык интернет эксплорер.......(Internet Explorer), вобщем я уже ничего не понимаю..интересно было бы попробывать какнибудь запустить в этом пользователе редактор регистра(мож чет новое вышло бы сделать..), но покачто не выходит..

вобщем это самый странный вирус что я когда либо видел.........................

Есть мини LiveCD 130Mb попробуй его скачать, или Hirien Boot Cd 60Mb
иначе похоже вряд ли чего получиться.

Второй вариант: снять винт и сходить к другу. Проверить винт с другого компьютера.

урааа))есть прогресс..я решил рискнуть раз уж всеравно нету особого выхода AVZ, и выполнил на этот раз в восстановлении только 1-н пункт-удаление всех Polices текущего пользователя. Перегрузил комп и случилось чудо))итак лучше стал функцонировать этот аккаунт вот что открылось
1)восстановилось меню пуск
2)работает командная строка
3)запускаются всякие программы и даже антивирусы(кроме др веб, на нем почему то старое сообщение с ограничением прав) )

вобщем боюсь терь что-то нажимать и еще что-то делать чтобы не испортить то чего уже достиг..что мне дальше делать чтобы удалить оставшиеся проблемы??

[size="1"][color="#666686"][B][I]Добавлено через 37 минут[/I][/B][/color][/size]

но редактировать регистр всеравно не могу..пишет нет прав доступа..попробывал в восстановлении выполнить еще 3 пункта: разблокировка диспетчера задач, восстановление параметров запуска exe.., восстановление рабочего стола, вместо чего получил то что все вернулось к тому что было до этого..но слава богу смог снова выполнить удаление всех polices и снова вернулся на точ что получил до этого....вобщем какой-то замкнутый круг..что делать..??

давайте сделаем логи ... начиная с пункта 10 правил ...

вот..

кстати у меня теперь еще и со старта начало вылазить такое предупреждение

"---------------------------
!!! DANGER ПРОЧИТАЙ ЭТО ВАЖНО !!!
---------------------------
Где бы вы не скачали эту программу. Единственно верный e-mail адрес [email][email protected][/email] Не видитесь не на какие предлоги под которыми вас просят каким либо другим способом выйти на связь! Вы потеряете и ДЕНЬГИ И ВСЮ ИНФОРМАЦИЮ!!! Распространять мою программу может любой и писать тоже что угодно желая подзаработать. Но дать вам фаил удаления как и изменить настоящий e-mail указанный ТУТ [email][email protected][/email] могу только Я. Перезагрузите компьютер! И почитайте, что необходимо предпринять…
---------------------------
ОК
---------------------------"

выполните скрипт ....
[code]
begin
QuarantineFile('C:\Documents and Settings\MaNtIkOrA(2)\Главное меню\Программы\Автозагрузка\desktop(2).ini','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Visual Styler\Logon Screens\logonui2.exe','');
QuarantineFile('C:\WINDOWS\Provisioning\Schemas\lsass.exe','');
QuarantineFile('C:\WINDOWS\WinSxS\Manifests\explorer.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\TVICHW32.SYS','');
QuarantineFile('C:\Program Files\TVTool 9.5\tvtool.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true)
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
авз Мастер поиска и устранения проблем - выбрать все проблемы устранить ....

итак выполнил сприкт, после чего перегрузил комп..и снова все стало плохо..снова урезан пуск..пропал рабочий стол, нет допуска к файлам..после чего выполнил мастер поиска и устранения проблем..много че он понаходил и вроде написал что успешно их исправил..в итоге всеравно нет допуска к файлам..но зато заработал диспетчер задач..правда я еще не выполнял перезагрузку компьютера..после этого скинул карантин "Файл сохранён как 080407_124058_virus_47fa5caa10666.zip " .
Что теперь делать??Снова авз-файл-восстановление-удалить polices ??

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\Provisioning\Schemas\lsass.exe');
DeleteFile('C:\WINDOWS\WinSxS\Manifests\explorer.exe');
BC_ImportDeletedList;
ExecuteRepair(6);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

урааа))вышло))СПАСИБО!!!!!!!!!!!!!!!!!
ух аж снял камень с души))или даже скорее целый небоскреб..))
все вроде нормально работает..виндовс, програм файлз и время я уже сделал нормальными..так что тут все отлично
единственное что еще остается вопрос, у меня чет не видит флэшку.. и еще хотел спросить могу ли я зайти под своим старым пользователем теперь или вирус может перекинуться??

Сделайте новый комплект логов из под этой же учётки пользователя.

вот..

пофиксите ...
[code]
O4 - Startup: desktop(2).ini
[/code]
logonui2.exe поищите через авз сервис поиск файлов на диске....

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\MaNtIkOrA(2)\Главное меню\Программы\Автозагрузка\desktop(2).ini','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].

Повторите логи. А стандартный скрипт 3 не получается выполнить?

нашел C:\Documents and Settings\All Users\Application Data\Visual Styler\Logon Screens\logonui2.exe но поидее это одна из моих прог чтоб изменить заставку входа..

а насчет пофиксить O4 - Startup: desktop(2).ini не выходит т.к. пишет что

[QUOTE]---------------------------
HijackThis
---------------------------
Unable to delete the file:

O4 - Startup: desktop(2).ini

The file may be in use. Use Task Manager to shutdown the program and run HijackThis again to delete the file.[/QUOTE]
но в процессах я не знаю как он называется..

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=wise-wistful;212409]1.[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [B]приложения 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил [/URL][/B].

Повторите логи. А стандартный скрипт 3 не получается выполнить?[/quote]
получается просто в прошлый раз его не просили я решил что и в этот раз он наверное не нужен..

desktop(2).ini можно и не фиксить (он не вредный) ... раз он есть и используется ...
больше не вижу ничего подозрительного ...

карантин присылать полностью или только Desktop(2).ini secdrv.sys просто чтобы 2 раза не закачивать 15 метров..??

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=V_Bond;212415]desktop(2).ini можно и не фиксить (он не вредный) ... раз он есть и используется ...
больше не вижу ничего подозрительного ...[/quote]
хмм..странно..может проверить видна ли флэшка под другим пользователем на котором раньше сидел до вируса??или лучше не надо т.к. зараза может и этот аккаунт снова заразить??

в карантине все есть ... больше ничего присылать не нужно ...
какие-то проблемы остались ?

[quote=V_Bond;212420]в карантине все есть ... больше ничего присылать не нужно ...
какие-то проблемы остались ?[/quote]
ну вот то что не видит флэшку теперь, ну и не знаю можно ли перейти на другой аккаунт или нет.

можно ....

мм зашел через своего обычного пользователя..все отлично работает и там..но флэшку не видит..(может вирус использовал туже фишку что и при скрытии програм файлз, виндовс..)??

другие usb устройства работают ?

ну принтер работает(через юсб подключен)..а еще давно у меня перестал работать(из за компа и тож какого-то вируса) юсб с телефона..

попробуйте вставить флешку в разьем где подключен принтер ...

нет даже так не видит..хотя когда всавляешь флэшку в любой юсб порт есть "характерный" звук..значит компьютер ее видит но просто не показывает ее мне..мне кажется это эти хакеры добавили что-то в вирус чтобы скрыть от меня визуально как в случае с папкой windows..

вставте флешку ... запустите проводник ...

не всеравно не видит..:dash2::help:

вставте флешку ...
пуск - панель - администрирование - управление компьютером - запоминающие устройства - сьемные зу .... пробуйте переназначить букву флешке

хм..а там нету флэшки...странно значит ее всетаки не скрыли а удалили как таковую..:O :help:

[size="1"][color="#666686"][B][I]Добавлено через 1 час 16 минут[/I][/B][/color][/size]

кстати еще одна проблема..решил поставить обои так они так и остались баговые..т.е. они теперь размещены на левой верхней четверти экрана..ужассс..что делать...:O:?

выполните скрипт ...
[code]
begin
ExecuteRepair(5);
RebootWindows(true);
end.
[/code]

скрипт не совсем помог..после перезагрузки все было по прежнему..но немного покумекав решил попробывать увеличить разрешения экрана, а потом его уменьшить..обои легли нормально..но теперь при смене обоев все время придется производить эту фишку..))
вот ну а флэшки и дальше не существует..:?

[size="1"][color="#666686"][B][I]Добавлено через 43 минуты[/I][/B][/color][/size]

использовал утилиту trojan.plastix, помогло..обои теперь расположены нормально..но во флэшка всеравно не работает

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 35 минут[/I][/B][/color][/size]

[CENTER]:help:[/CENTER]

на другой машине флешка видна ?