Был заблокирован Windows

[Диана1]

С неделю назад при переходе с Оперы в Эксплорер поймала вирус-вылезло окно о том,что заблокирован Windows и что надо прислать смс по указанному номеру.С подсказки зашла через безопасный режим,нашла Ваш сайт,выполнила все рекомендации (DrWeb нашел целую кучу вирусов-и червей и троянов.Почти все вылечил,а те,что не смог не уверенна,что не вернулись обратно.Правда,последующая проверка Касперским выявила,что вирусы "помещены в карантин DrWeb).К тому времени окно вылезать перестало,но закапризничал NOD32-никакое сканирование не делает,выдает "NOD32-on-demand scanner-обнаружена ошибка".Значок антивируса присутствует, обновление было. Помогите,пожалуйста!

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Eset\nod32r.dll','');
 QuarantineFile('C:\Documents and Settings\Diana\DoctorWeb\Quarantine\A0160966.exe','');
 DeleteFile('C:\Documents and Settings\Diana\DoctorWeb\Quarantine\A0160966.exe');
 DeleteFile('C:\Documents and Settings\Diana\DoctorWeb\Quarantine\A0160974.exe');
 DeleteFile('C:\Documents and Settings\Diana\DoctorWeb\Quarantine\A0160981.exe');
 DeleteFile('C:\Documents and Settings\Diana\DoctorWeb\Quarantine\A0165251.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\qqplkn.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 3, 3, true);
 BC_DeleteSvc('abp470n5');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=44516

3. Выполните http://virusinfo.info/showthread.php?t=43700

4. Повторите логи.

[Диана1]

Не удалось выполнить п.3. Сделала reg-файл. В ответ пишется:"не удалось импортировать.Не все данные были записаны в реестр.Некоторые разделы были заняты системой или другими процессами".А с regedit'ом я не знакома.

[Aleksandra]

А с regedit'ом я не знакома.

Пуск -> Выполнить -> regedit

Дальше все подробно расписано. Спрашивайте если возникнут вопросы.

[Диана1]

Исправить в regedit не получилось. В ответ: "Ошибка при записи нового значения параметра".

[Bratez]

Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\BITS', 'ImagePath', '%SystemRoot%\system32\svchost.exe -k netsvcs');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'ImagePath', '%SystemRoot%\system32\svchost.exe -k netsvcs');
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи.

[Диана1]

Ошибка:Not enough actual parameters в позиции 3:17.

[Aleksandra]

Выполните скрипт в AVZ:

begin
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\BITS', 'ImagePath', '%SystemRoot%\system32\svchost.exe -k netsvcs');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'ImagePath', '%SystemRoot%\system32\svchost.exe -k netsvcs');
 SetAVZPMStatus(true);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

Повторите логи.

[Диана1]

После перезагрузки появился мастер настройки нового оборудования и запросил диск или выход в интернет. В regedit по-прежнему стоит %fystemRoot...

[Bratez]

Ждем новые логи!

[Диана1]

Высылаю новые логи.

[Bratez]

В логах ничего подозрительного не видно.
На Мастер оборудования не обращайте внимания, это из-за драйверов AVZ, чуть позже удалим. Очень интересно, почему же не удается исправить этот fystemroot. Заархивируйте файл C:\WINDOWS\system32\config\SYSTEM (который без расширения) и загрузите по ссылке для карантина.

[Диана1]

У меня в config стоит systemprofile (просто system нет). Присылать его?

[Bratez]

Плохо искали.
systemprofile - это папка, а нужен файл system.
Он там есть, его не может не быть.

[Диана1]

Нашла,только архивировать не получается-"процесс не может получить доступ к файлу, так как этот файл занят другим процессом".

[Bratez]

Да, действительно, так просто не получается... Ну хорошо, попробуйте в regedit посмотреть разрешения для подраздела, в котором исправляете параметр (bits, wuauserv). Должен быть включен полный доступ группе администраторов.

[Диана1]

Нет. Там в окошках "полного доступа" не проставлены галочки ни на "разрешить", ни на "запретить". И на "чтении" тоже.

[Bratez]

Значит нужно поставить разрешение.

[Диана1]

Получилось исправить fystemroot. NOD теперь будет нормально сканировать или эти изменения касаются только самой системы?

[Bratez]

Теперь будет работать автообновление Windows, если оно у вас включено. К Ноду эти службы отношения не имеют.