Вирус system.exe не дает войти в систему под WinXP

Ситуация такая же как и тут: [url]http://virusinfo.info/showthread.php?t=40726[/url]
А именно, при входе в виндовс (без разницы безопасный режим или обычный) появляется окно привествтия винды где надо выбрать учетную запись. Там нарисована моя учетка и учетка под именем "администратор", скорее всего тоже моя - админские права. Обе заблочены вирусом. При клике на них, начинает вроде входить "загрузка личных параметров", и тут же на долю секунды мелькает рабочий стол, и опять это же окно, под названием учетной записи пишется "сохранение параметров" и снова та же картина. В систему не представляется возможным войти. Данная ситуация наблюдается как в обычном, так и в БЕЗОПАСНОМ режиме. Подскажите что делать... перебить не предлагать там много нужной инфы прописанной в реестре которую я потом не переустановлю..

LiveCD от Доктора пробовали?

Нет, можно подробнее как его пробовать? Что именно нужно сделать? Насколько я понимаю для того чтобы предоставить логи и начать лечиться мне надо сначала войти в систему с обычной учетной записью в обычном режиме. Как ЛайфСД от ДрВеб сможет мне в этом помочь?

LiveCD - во первых сделвете проверку на вирусы ...
во вторых проверите наличие C:\WINDOWS\system32\userinit.exe

Если он там есть, то что с ним делать то? Ссылочку на скачивание образа не дадите?

Удалить, [url]ftp://ftp.drweb.com/pub/drweb/livecd/[/url]

Проверил из под livecd. Вирусов не нашел.
Файл userinit.exe нашел и удалил из под висты х64, стоящей на этом же компьютере основной ОС.
Как ходить по компу с помощью проги midnight commander из лайфсд не дорубил - в ней не работают стандартные кнопки alt+F1, alt+F2 для переключения между дисками как в нортон коммандер и фар для доса и винды.
После удаления файла ничего не поменялось, рабочий стол попрежнему не загружается, в систему не пускает.
С последующей перезагрузкой (сначала в винХП, потом в винВиста) файл userinit.exe не восстановлся.
В том же директории есть ещё файл user.exe, может его тоже надо делетнуть?

userinit.exe - системный файл ... ! его наоборот [B]нельзя удалять[/B] ... верните его на место ...
с правкой реестра вам видимо самостоятельно не справиться ...

Таварищ Гриша в ответ на мой пост, цитирую:
[quote] Если он там есть, то что с ним [userinit.exe] делать то? [/quote]
Ответил:
[quote] Удалить [/quote]
Посты №5,6 этой же темы. Кому верить?
Как я могу провести правку реестра когда не могу зайти даже в систему? Для того чтобы сделать логи, получить доступ к реестру, к автозагрузке ко всему прочему мне надо сначала войти в систему...

видимо он ни это имел ввиду ... войти в реестр можно и с LiveCD , загрузив нужный куст...
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon
и проверить значение параметра Userinit... должно быть [U]C:\WINDOWS\system32\userinit.exe, [/U]

можно подробнее как с лайфсд зайти в реестр, просто он на лине основан а я его не юзал ниразу, + англ язык.. Реестр если войду в него то найду 100% тот параметр, в нем малех разбираюсь

Способ реестр править нашел, поюзал зверСД реаниматор. Параметр юзеринит был пустой.
[ATTACH]115513[/ATTACH]Назначил ему значение C:\WINDOWS\system32\userinit.exe Попутно проверил системный раздел - вирусов нет.
Сам файл userinit.exe, я как вы помните делетнул, т.е. указал ему несуществующий путь. Поидее винда должна была бы загнуться, не загрузиться либо бы не запустилась та самая страница логина - но пофиг! Независимо от параметра при последующей загрузке уже непосредственно в зараженную ось ничего не изменилось, в систему попрежнему не пускает.
Дайте плиз живой рабочий userinit.exe, я его закину обратно откуда удалял может поможет, хотя имхо врядли :(

значение ключа должно быть C:\WINDOWS\system32\userinit.exe[B],[/B] - именно так с запятой ...

Userinit.exe от XP SP2 Rus

В систему пустило после того как окончательно отредактировал реестр, скопировал юзеринит.ехе в общем норм. В систему зашло, сначала год был нормальный, потом буквально через минуту опять меняется год на 2070. Ошибки system.exe нет, нод начинает находить кучу троянов в C:\windows\tmp
Нод отключен, сделаны наконец логи.
Кстати сразу же с изменением даты меняется и ключ реестра userinit (обнуляется), поэтому перед каждым входом в систему приходится грузиться с лайфсд и править реестр, помогите плиз :)

Сделайте полную проверку AVPTool и повторите логи...

АВПТулом проверил, лог и скрин (на всякий случай) прикрепил.
[ATTACH]115790[/ATTACH]

Огромное просьбо - пофиксить юзеринит чтобы меня с первого раза в систему пускало и ненадо было ниче предварительно править!

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=
[/CODE]



[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{95289393-33EA-4F8D-B952-483415B9C955}');
TerminateProcessByName('c:\windows\system32\sysmgr.exe');
QuarantineFile('c:\windows\system32\sysmgr.exe','');
QuarantineFile('C:\WINDOWS\TEMP\21745.sys','');
DeleteFile('c:\windows\system32\sysmgr.exe');
DeleteFile('C:\WINDOWS\TEMP\21745.sys');
DeleteFile('C:\Documents and Settings\ArFeRR\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
BC_ImportDeletedList;
ExecuteRepair(16);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=40945"]http://virusinfo.info/upload_virus.php?tid=40945[/URL]
Повторите логи по правилам.

Обновления на windows все стоят?

В Hijackthis не нашел данных строчег, их там нет...
AVZ скрипт выполнен. Карантин прикрепил, (папки Quarantine, Infected) -честно хз какую из них надо поэтому прикрепил обе +)
В С:\Documents and Settings\ArFeRR\Local Settings\temp дофига каких то sys файлов, нод постоянно находит там трояны и удаляет их.
Дата вроде бы не меняется на 2070, ошибок систем.ехе тоже вроде нет. Только этих троянов полно.

Виндовз стоит СП3. Ставился с оригинального диска ВинХП сп2, потом докачал сп3 с винапдейта.

Логи сделал.


Результат загрузки
Файл сохранён как 090307_142139_virus_49b258c36538b.zip
Размер файла 1775865
MD5 a26ae30355fdb04f90daba55eeffe0d6
Файл закачан, спасибо!

В AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделайте полную проверку AVPTool.

Скрипт выполнил, после выполнения скрипта и ребута винды проверил AVPTool'ом, дет на 90% винда зависла, перегрузил reset'ом, (диспетчер задач не запускался), после перезагрузки все по новой, --- изменине даты на 2070, правитсо реестр, дописывается строка C:\windows\system32\system.exe, в юзеринит... Проверил АВПтулом ещё раз, угроз не обнаружено... Разок выбило ошибку "Обнаружена ошибка win32 generic hosts process"...

обновления, вышедшие после SP3 все установлены?

Нет. Только СП3.

ставте ...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\sysmgr.exe - [B]Trojan.Win32.Buzus.aoiv[/B]( DrWEB: BackDoor.IRC.Itan, BitDefender: IRC-Worm.Generic.5864 )[/LIST][/LIST]