посмотрите пож-та логи, cureit нашел несколько троянов

[lodyr]

вроде все работает, но иногда подтормаживает, а пару месяцев назад стащили пароль от почты

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

var j:integer; NumStr:string;
begin
for j:=0 to 999 do
 begin
    if j=0 then
        NumStr:='CurrentControlSet' else 
        if j<10 then
            NumStr:='ControlSet00'+IntToStr(j) else
            if j<100 then
                NumStr:='ControlSet0'+IntToStr(j) else
                NumStr:='ControlSet'+IntToStr(j);
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
  end;
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
  begin 
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
  end;
 end;
ExecuteRepair(1);
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.

3. Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) - - (no file)
O4 - HKLM\..\Policies\Explorer\Run: []

4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[lodyr]

вот логи
есть еще проблемка, не запускаются всякие административные штучки, хотя пользователь принадлежит группе администраторов, пишет отказано в доступе, из под встроенной учетной записи Администратор все запускается

[Aleksandra]

Выполните скрипт в AVZ:

begin
ExecuteRepair(6);
RebootWindows(true);
end.

[lodyr]

Александра, спасибо большое, скрипт выполнил, больше ничего не требуется?
логи не нужны?

[Aleksandra]

Ничего зловредного в логах нет. Что с проблемами?

[lodyr]

так все работает, за исключением всяких административных прог
пользователь с правами админ, не возможно запустить gpedit.msc, пишет отказано в доступе,
если через mmc запускать оснастки, то все работает

[Aleksandra]

Пуск -> Выполнить -> cmd -> gpedit.msc

Что пишет?

[lodyr]

появляется окошко C:\WINDOWS\system32\gpedit.msc Отказано в доступе.

[Aleksandra]

Можете показать содержимое веток реестра

HKEY_CLASSES_ROOT\.msc
HKEY_CLASSES_ROOT\MSCFile

и, если будут

HKCU\Software\Classes\.msc
HKCU\Software\Classes\MSCFile

для пользователя, у которого воспроизводится проблема.

[lodyr]

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\.msc]
@="MSCFile"

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\MSCFile]
@="Microsoft Common Console Document"
"EditFlags"=dword:00100000
"FriendlyTypeName"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,\
  00,6f,00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,\
  32,00,5c,00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,\
  00,2c,00,2d,00,31,00,33,00,30,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\DefaultIcon]
@="%1"

[HKEY_CLASSES_ROOT\MSCFile\Shell]

[HKEY_CLASSES_ROOT\MSCFile\Shell\Author]
@="&Author"
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
  2d,00,31,00,33,00,33,00,35,00,31,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Author\Command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
  00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,6d,00,\
  63,00,2e,00,65,00,78,00,65,00,20,00,2f,00,61,00,20,00,22,00,25,00,31,00,22,\
  00,20,00,25,00,2a,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open]
@="&Open"
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
  2d,00,31,00,33,00,33,00,34,00,39,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open\Command]
@="%SystemRoot%\\System32\\mmc.exe \"%1\" %*"

[HKEY_CLASSES_ROOT\MSCFile\Shell\RunAs]
@="R&un as..."
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
  2d,00,31,00,33,00,33,00,35,00,30,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\RunAs\Command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
  00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,6d,00,\
  63,00,2e,00,65,00,78,00,65,00,20,00,22,00,25,00,31,00,22,00,20,00,25,00,2a,\
  00,00,00

[HKEY_CLASSES_ROOT\MSCFile\shellex]

[HKEY_CLASSES_ROOT\MSCFile\shellex\IconHandler]
@="{7A80E4A8-8005-11D2-BCF8-00C04F72C717}"

для пользователя значений нет

[Aleksandra]

Вот reg-файл, который нужно сохранить и запустить.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open]
@="&Open"
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
  2d,00,31,00,33,00,33,00,34,00,39,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open\Command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
  00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,6d,00,\
  63,00,2e,00,65,00,78,00,65,00,20,00,22,00,25,00,31,00,22,00,20,00,25,00,2a,\
  00,00,00

[lodyr]

Александра, спасибо большое, почти все заработало
осталось только
пуск-программы-администрирование-локальная политика безопасности
при выполнении выскакивает окошко "Ошибка открытия хранилища политик IPSEC: не удается открыть указанный файл (80070002)"
наверное не хватает еще кусочка реестра

[Aleksandra]

1. Cделайте резервную копию раздела реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\IPSec\Policy\Local

Резервная копия нужна для возможности отката!

2. Удалите полностью этот раздел из реестра.
3. Выполните команду regsvr32 polstore.dll (Пуск -> Выполнить... введите указанную команду и нажмите ОК).
4. Включите отображение скрытых файлов и папок.
5. Проверьте есть ли в папке Temp файл IPSec.tmp, если есть - удаляйте (по умолчанию папка временных файлов располагается в %UserProfile%\Local Settings\Temp). Можно даже удалить все содержимое этой папки.

[lodyr]

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services]

в реестре есть только такие ветки, в папке windows nt ничего нет
%UserProfile%\Local Settings\Temp здесь нет файла IPSec.tmp

[Aleksandra]

Пункт 2 выполняли? Если нет, то выполните.

[lodyr]

так пункт 2 выполнить не получится, так как нет этой ветки в реестре
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\win dows\IPSec\Policy\Local
есть только
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows NT]
но в ней нет
IPSec\Policy\Local

[Aleksandra]

Вы хорошо все посмотрели?

[lodyr]

я всю ветку импортировал и выложил в посте
сейчас еще поиском посмотрю

поиском тоже нет IPSec\Policy\Local

могу выложить ветку HKEY_LOCAL_MACHINE\SOFTWARE\ в архиве 2.4 mb, если не много будет

[Rene-gad]

Давайте сэкономим траффик и почитаем эту тему: http://social.technet.microsoft.com/...-1d8e89844673/ Особенно последнее сообщение
Попробуйте распаковать и запустить файл из аттача.