долечился!

**Antonnio** · 03.12.2007, 17:02

ситуация такая: на машине стоит NOD32, в какой-то момент он начал ругаться на вирус (какой не помню точно) и удалил несколько файлов типа С:\windows.exe из корня диска с:\ после чего комп перегрузили и теперь он не загружается даже в безопасном режиме, доходит до выбора режима загрузки и при любом выборе сразу уходит в перезагрузку.
Подскажите что можно сделать?

PS загрузился с miniXP, грохнул AMON так как были подозрения на него, не помогло, значит вирус забрал с собой какие-то важные для загрузки файлы...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 03.12.2007, 17:08

в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon значение параметра Userinit должно быть ... C:\WINDOWS\system32\userinit.exe

**Antonnio** · 03.12.2007, 17:17

спасибо, исправил, но не помогло... хотя параметр там был другим...

**V_Bond** · 03.12.2007, 17:20

попробуйте накатить windows в режиме восстановления ...

**Bratez** · 03.12.2007, 17:24

Попробуйте восстановить с дистрибутива файлы
C:\WINDOWS\system32\ntoskrnl.exe
C:\WINDOWS\system32\ntkrnlpa.exe
C:\WINDOWS\system32\winlogon.exe

**Antonnio** · 03.12.2007, 17:24

пробовал, тоже не помогло... сейчас попробую с рабочей машины копирнуть важные файлики... не подскажите какие отвечают за загрузку в папке WINDOWS?

отвечал V_Bond... сейчас попробую рекомендации Bratez

**V_Bond** · 03.12.2007, 17:25

можно взглянуть на ваш WINLOGON .exe ? .... посмотрите может у вас их несколько ?и есть не в C:\windows\system32 ...

**Bratez** · 03.12.2007, 17:29

Если я правильно понял, доступ к реестру больной системы у вас каким-то образом имеется? А нелья ли нам получить полный список ключей в
HKLM\Sysem\ControlSet001\Services?

**Antonnio** · 03.12.2007, 17:31

хм... сейчас посмотрел в miniXP - параметр HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon опять "сьехал" на что-то типа D:\i386\system32\userinit.exe, снова исправил...

Добавлено через 49 секунд

Сообщение от V_Bond

можно взглянуть на ваш WINLOGON .exe ? .... посмотрите может у вас их несколько ?и есть не в C:\windows\system32 ...

сейчас попробую вытащить...

**Bratez** · 03.12.2007, 17:34

хм... сейчас посмотрел в miniXP - параметр HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon опять "сьехал"

Дык вы наверно правите реестр самой miniXP, а не вашей системы...

**Antonnio** · 03.12.2007, 17:43

Сообщение от Bratez

Если я правильно понял, доступ к реестру больной системы у вас каким-то образом имеется? А нелья ли нам получить полный список ключей в
HKLM\Sysem\ControlSet001\Services?

да, имеется через miniXP...

правда похоже что это реестр именно miniXP... а не больной машины...

Добавлено через 38 секунд

следствие зашло в тупик

**Bratez** · 03.12.2007, 17:48

Попробуйте записать свежий CureIt на съемный носитель и запустить его под MiniXP. Сделать полную проверку жесткого диска.

**Antonnio** · 03.12.2007, 18:23

Сообщение от Bratez

Попробуйте восстановить с дистрибутива файлы
C:\WINDOWS\system32\ntoskrnl.exe
C:\WINDOWS\system32\ntkrnlpa.exe
C:\WINDOWS\system32\winlogon.exe

эти файлы присутствуют и не изменялись...

Добавлено через 24 минуты

симантек нашел 16 файлов зараженных JS.Exception.Exploit и грохнул их...
cureIt запустить не получается, так как почему-то флешка не определяется...

**V_Bond** · 03.12.2007, 18:27

пришло время попробовать .... http://virusinfo.info/showthread.php?t=14417

**Antonnio** · 03.12.2007, 20:16

Сообщение от V_Bond

пришло время попробовать .... http://virusinfo.info/showthread.php?t=14417

попробую... только меня все время на страницу регистрации выкидывает, хотя я уже зарегистрировался...

Добавлено через 2 минуты

скачал, буду пробовать...

Добавлено через 1 час 33 минуты

сканер DRWeb с этого диска нашел 143 файла, инфицированных Win32.HLLM.Utenti

**V_Bond** · 03.12.2007, 20:20

нужно удалить все созданные вирусом файлы folder.htt и desktop.ini по всему диску
... desktop.ini, однако НЕ удалять те из них, которые находятся: в директории WINDOWS и ее подкаталогах...Program Files и ее подкаталогах.... в каталоге Мои документы...

**Antonnio** · 03.12.2007, 20:26

а как быть с зараженными exe-шниками? там практически все они заражены... и среди них есть пара-тройка очень важных...

**V_Bond** · 03.12.2007, 20:43

DRWeb лечит зараженные файлы ... будем надеятся корректно ...

**Antonnio** · 03.12.2007, 21:43

и все-таки что же такое мог удалить NOD? из-за чего комп сразу срывается в перезагрузку? даже не пишет что "нет такого-то файла" или например "нет операционной системы"...