Банер на рабочем столе! (новая версия)

[Katerina_87]

Сообщение от goredey

Katerina_87, записывали через UltraISO ?

---------- Добавлено в 23:53 ---------- Предыдущее сообщение было написано в 23:47 ----------

А каким образом вы запускали АВЗ? У вас есть доступ к рабочему столу или через безопастный режим?

Смонтировала образ через Daemon tools lite и записала на флешку.

Доступа к рабочему столу нет, безопасный режим я не нашла, пыталась запускать АВЗ загрузившись с виндовса на флешке.

[goredey]

Katerina_87, попробуйте через прогу

---------- Добавлено в 00:14 ---------- Предыдущее сообщение было написано в 00:02 ----------

Сообщение от Katerina_87

В нете что-то нашла и удалила принудительно файл C:\WINDOWS\system32\userinit.exe

Сообщение от Katerina_87

~Данил~, удалила, но потом восстановила с корзины файл userinit.exe

Значит у вас есть доступ к системным папкам?

[Katerina_87]

goredey, Все равно пишет Disk error.

---------- Добавлено в 00:23 ---------- Предыдущее сообщение было написано в 00:22 ----------

goredey, Когда захожу через виндовс на флешке - то вижу все файлы нетбука, в том числе и системные.

[goredey]

Удалите пропатченый Userinit. После чего запишите на свою флешку здоровый файл отсюда http://file.qip.ru/file/uixql-KG/USERINIT.html и закиньте в Windows-system32
Появиться доступ к рабочему столу. Сделайте логи АВЗ

[Katerina_87]

goredey, Удалила, закинула здоровый файл, перегрузила, но чуда не произошло, банер остался на месте и ничего не поменялось.

[goredey]

Katerina_87,Проверьте значение в реестре

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Значение ключа Shell должно быть таким Explorer.exe, если значение отличается - исправить на правильное.

Правильное значения для Userinit это

C:\WINDOWS\system32\userinit.exe,

+

проверьте эту папку

C:\Documents and Settings\ИМЯ_ВАШЕЙ_УЧЕТНОЙ_ЗАПИСИ\Local Settings\Application Data

[Katerina_87]

УРАА! Все получилось! Описываю что я делала. Скачала ЗДЕСЬ програмку. Загрузится именно с флешки с программой не удалось, поэтому я вошла через флешку с Виндовсом. Открыв флешку с программой пришлось пропустить первых 2 пункта и сразу запустить start.exe в папке uVS, далее все по инструкции. После перезагрузки - банер пропал, появился доступ к рабочему столу и всем файлам, вобщем все вернулось как и было до вируса.
После этого сделала логи AVZ и HiJackThis, вот ссылки:
http://exfile.ru/174005
http://exfile.ru/174007
Жду скрипты!
Всем спасибо за помощь! Особая благодарность goredey за помощь, идеи борьбы с вирусом и моральную поддержку!

[~Данил~]

Katerina_87, выполните скрипт в AVZ (Файл - Выполнить скрипт...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('G:\autorun.inf','');
 DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
 ExecuteRepair(16);
RebootWindows(true);
end.

После перезагрузки обновите базы (файл - обновление баз) и выполните в AVZ стандартный скрипт 2 и выложите файл лога virusinfo_syscheck.zip

[Katerina_87]

Вот http://exfile.ru/174065

[~Данил~]

Katerina_87, так и не обновили базы???

[Katerina_87]

~Данил~, Все, получилось обновить! Вот http://exfile.ru/174116

[Lexer]

такой лог сделайте еще

1. Скачайте установочный файл mbam-setup.exe , скачивающая ссылка находится на странице http://www.malwarebytes.org/mbam-download.php
2. Установите ее по стандартному пути с настройками по умолчанию.
3. Запустите полное сканирование. Сами НИЧЕГО не удаляйте!!!!!
4. По окончании сканирования будет сгенерирован лог.
5. Прикрепите его без переименования к Вашему следующему сообщению.


Как удалять с помощью MBAM указанные в теме элементы?
- Запустите MBAM
- выберите Perform Full Scan (Провести полную проверку)
- нажмите Scan (Проверить)
- после сканирования выберите Ок и далее Show Results (Показать результаты)
- нажмите Remove Selected (удалить выделенные).

После удаления откройте лог и прикрепите его к сообщению.
Сразу же по окончании лечения мы рекомендуем программу удалить.

[Katerina_87]

Все сделала. Вот http://exfile.ru/174163

[~Данил~]

удалите найденное MBAM (оставьте отмеченными ТОЛЬКО эти строчки):

HKEY_LOCAL_MACHINE\SOFTWARE\JetSwap (Adware.JetSwap) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{77D6DDFA-7834-4541-B2B3-A8B0FB0E3924} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\ToolBand.XTTBPos00.1 (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\ToolBand.XTTBPos00 (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{055FD26D-3A88-4E15-963D-DC8493744B1D} (Trojan.BHO) -> No action taken.

c:\WINDOWS\system32\taskmgr.exe (Spyware.Passwords.XGen) -> No action taken.
c:\program files\icqtoolbar\toolbaru.dll (Trojan.BHO) -> No action taken.

[Katerina_87]

Оставила что сказали, остальное удалила. Вот http://exfile.ru/174179 Это все?