33 ответов в этой теме

[VPVP]

Экспорт из HKEY_USERS .DEFAULT

Прикрепленные файлы:

•  default.rar   967,39К   1 Скачано раз

[VPVP]

Попробуйте убить задание WINDOWS\Tasks\kstjcun.job

Запускает файл C: \DOCUME~1\ALLUSE~1 \APPLIC~1\Mozilla\ueeahib.exe

 

Папка C: \DOCUME~1\ALLUSE~1 \APPLIC~1\Mozilla совершенно пуста. Отображение скрытых и системных файлов включено.

 

Или, пардон, я не то делаю?

Сообщение было изменено VPVP: 15 Сентябрь 2014 - 18:55

[thyrex]

Задание удалите. Оно явно вредоносное

Пробуйте стартовать в обычном режиме

[VPVP]

Задание удалил. 

Явно ничего не изменилось. Заражённая учётная запись не грузится. Остальные грузятся в обычном режиме.

[mike 1]

Откройте редактор реестра и найдите в нем следующий ключ реестра:

[HKEY_USERS\S-1-5-21-1547161642-329068152-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Run]

В нем удалите параметр System Panel

 

Потом этот C:\\WINDOWS\\system32\\syspanel32.exe файл переименуйте как syspanel32.exe.vir

 

Пробуйте стартовать в обычном режиме.

[thyrex]

Я бы для начала просто переименовал файл

Сообщение было изменено thyrex: 15 Сентябрь 2014 - 19:25

[VPVP]

Параметр удалил.

Файла  C:\\WINDOWS\\system32\\syspanel32.exe нет вообще.

Не помогло.

[thyrex]

А если в этой ветке удалить HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Run ?

[DanteSparda]

Значения:

userinit c:\windows\system32\userinit.exe

shell Explorer.exe

Прикрепленные файлы:

•  run.rar   381байт   3 Скачано раз
•  S-1-5-18.rar   32,98К   1 Скачано раз
•  S-1-5-19.rar   25,89К   0 Скачано раз
•  S-1-5-20.rar   25,55К   0 Скачано раз
•  S-1-5-21-2974209357-1063201267-1460449289-1000.rar   1,01Мб   1 Скачано раз
•  S-1-5-21-2974209357-1063201267-1460449289-1000_Classes.rar   206,84К   1 Скачано раз

[Aleksandra]

Лог cureit. Попытка 3.
Извините, что так коряво.

Файлик C:\Documents and Settings\Лена\Local Settings\temp\wiupdat.exe заархивируйте с паролем virus и отправьте в вирлаб.

Копию пришлите мне в личку после чего его можете удалить и попробуйте загрузиться в обычном режиме.

[VPVP]

Вам отправил. А вирлаб это куда, простите?

Сообщение было изменено VPVP: 16 Сентябрь 2014 - 15:43

[Aleksandra]

Вам отправил. А вирлаб это куда, простите?

https://vms.drweb.com/sendvirus/?lng=ru

[Aleksandra]

Dr.Web его уже детектит https://www.virustotal.com/ru/file/8dfcf048d4d63ea54538d7bfdfd91f748ad5806be08ddce79087a9cfde5def03/analysis/1410873744/

Скачайте свежий CureIt и пролечитесь им.

[VPVP]

После удаления указанного файла всё заработало. Но ещё пролечусь свежим. Нижайший Вам поклон! 

Большое спасибо всем откликнувшимся!