SNAVOK

Все сделап как по описанию:
Вставьте диск с ERD Commander в лоток CD-ROM, перезагрузите ПК;
– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;
– установите загрузку ПК с CD-ROM, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;
– в появившемся меню Мастер восстановления Windows XP выберите Загрузка ERD Commander –> Enter;
– внизу появится строка состояния Starting Winternals ERD Commander;
– после загрузки драйвера видеокарты в появившемся окне нажмите кнопку Skip Network Configuration;
– в окне Welcome to ERD Commander выберите свою ОС –> OK;
– когда загрузится Рабочий Стол, дважды щелкните значок My Computer;
– в окне ERD Commander Explorer раскройте диск, на котором установлена ОС (как правило, C:\);
– удалите оригинальный файл вируса, как правило, он расположен во временном каталоге текущего пользователя Windows – %Temp%\<rnd>.tmp (может иметь атрибуты Скрытый, Системный, Только чтение);
– закройте окно ERD Commander Explorer;
– нажмите Start –> Administrative Tools –> RegEdit;
– в окне ERD Commander Registry Editor найдите раздел [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon];
– исправьте значение строкового REG_SZ-параметра Userinit на C:\WINDOWS\system32\userinit.exe, (если система установлена на диске C:\, если на другом диске, то <буква_диска>:\Windows\system32\userinit.exe,). Вирус устанавливает значение этого параметра %Temp%\<rnd>.tmp;
– в этом же разделе исправьте (при необходимости) значение строкового REG_SZ-параметра Shell на Explorer.exe;
– закройте окно ERD Commander Registry Editor;
– нажмите Start –> Log Off –> Restart –> OK;
– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;
– установите загрузку ПК с винчестера, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;
– загрузите Windows в обычном режиме;"
Выполнил все это только у меня в ERD в реестре вместо системного диска С стоит Х . а вместо WINDOWS -1386 , даже в ветке папок мой компьютер папка 1386. Если меняяю в реестре как требуется и перезагружаю, вирус не пропадает, возвращаюсь в реестр- та же запись что и бала X:\1386\SUSTEM32\userent.exe, Что делать, подскажите! Спасибо

goredey

1. Пуск/Выполнить..., набрать regedit и выделить раздел HKLM.
2. Выберите в меню программы File - Load Hive (Файл - Загрузить куст) и перейдите к папке, где находится реестр вашей Windows (обычно C:\Windows\System32\Config).
3. Выделите файл SOFTWARE без расширения и нажмите Open (Открыть).
4. Введите имя для раздела, который вы загрузили, например, MyHive.
5. Посмотрите Microsoft\Windows NT\Winlogon (в обычном виде это [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]) параметр Userinit должен быть такой C:\WINDOWS\system32\userinit.exe, (с запятой)
6. Не забудьте выгрузить куст

SNAVOK

Все сделал как писали, только послее ввода имени для папки или раздела,(вводил в окошечке) выходит сообщение-предупреждение Cannot Load: X:\1386\system32\config\software: Access is denied " - наверное так "Сообщение о загрузке -доступа нет" и почемуто, вместо диска "С " ERD пишет "Х", а WINDOWS папка "-1386" И еще файл software без точки, иконка как "файл неизвестного типа" , второй файл software в виде блакнота т.е текст

goredey

Грузимся через LiveCD. Запускаем Редактор реестра (Пуск-Выполнит-regedit), шелкаем по ветке HKEY_LOCAL_MACHINE. Далее Файл-Загрузить куст (в редакторе реестра) выйдет окошко, там идем в винт "больной" машины находим папку WINDOWS\System32\config там находим файл software (без расширения) и нажимаем Открыть. Откроется окошко, там задаем любое имя и нажимаем ОК. В ветке HKEY_LOCAL_MACHINE появится папка с заданным именем. Так делали?

SNAVOK

делал все так и окошко высвечивалось и имя набирал. Я уже об этом писал. Что меня смущает, так это ветка "Мой компьютер", там диск стоит под именем X , а не С , папка WINDOWS под именем "1386", а дальше путь как вы и пишите, только создать свою папку в ветке ,под новым именем, не получается ,- выбрасывает предупреждение: Cannot Load: X:\1386\system32\config\software: Access is denied ", писал уже ниже