Помогите удалить вирус.

[batarejkin43]

На компе(windows7),антивирусы(с live cd,почти все известные) находят не менее 15 вирусов, но удалить их ни кто не может.Мышь с тачпадом, блокируется,диспетчер не может завершить не один процесс,msconfig не может редактировать автозапуск,[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run пуст.В safe mode тоже самое.Подскажите пожалуйста как быть.

[SolarSpark]

Подскажите пожалуйста как быть. »
Для начала пролечитесь CureIt со свежими базами в безопасном режиме, желательно, записанного на болванку или флешку, затем выполните рекомендации (http://forum.oszone.net/thread-98169.html)

[batarejkin43]

Cureit с флешки ни чего не находит, HijackThis не устанавливается,пишет "Не удалось получить доступ к службе установщика windows Installer.Возможно,не установлен Windows Installer.Обратитесь за помощью в службу поддержки."

[SolarSpark]

Cureit с флешки ни чего не находит »
В общем-то и я тоже ничего не вижу
1.В вашем случае необходимо использовать Dr.Web LiveCD, очистит и полечит. Им проверялись? только записывать образ надо на заведомо чистой системе.

2. проверка целостности системных файлов. Вставить диск с дистрибутивом.
пуск - выплонить - вбить
sfc.exe /scannow
нажать enter

3.Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/forum/showthread.php?t=2773)

[batarejkin43]

1.Dr.Web использовал
2.Вбиваю "sfc.exe /scannow",ничего не происходит.
И еще,поставил бесплатного Касперского,после загрузки системы,вылазит UAC,спрашивает,можно ли Касперскому внести изменения.Так вот,при любом ответе,после нажатия,экран темнеет раза в два.И так и остается темнее.

[batarejkin43]

C:\ComboFix.txt

[SolarSpark]

Ну как ваши дела?

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\XP-D41D8CD9.EXE
c:\users\E-Machines\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ЎЎЎЎЎЎ.lnk
c:\windows\pss\ЎЎЎЎЎЎ.lnk

Registry::
[-HKLM\~\startupfolder\C:^Users^E-Machines^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^ЎЎЎЎЎЎ.lnk]

RegLock::
[HKEY_LOCAL_MACHINE\system\ControlSet004\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet004\Control\PCW\Security]
DirLook::
C:\32788R22FWJFW
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

[batarejkin43]

Я наверное так не смогу сделать,у меня же мышка не работает,все стрелочками.Кстати после ComboFix,начал работать msconfig и можно управлять автозапуском,и я вроде вижу прописание вируса,убираю галочку,но она опять появляется после перезагрузки.А так как окошко конфигурации системы маленькое и не работает мышка я не могу точно посмотреть его название и место расположение.

[SolarSpark]

А мышь у вас не работает потому что ключик реестра заблочен зловредом
давайте так попробуем

Скачайте OTM by OldTimer (http://oldtimer.geekstogo.com/OTM.exe) или с зеркала (http://safezone.cc/forum/downloads.php?do=file&id=21&act=down) и сохраните на рабочий стол.
Запустите OTM (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services

:Files
c:\windows\system32\XP-D41D8CD9.EXE
c:\users\E-Machines\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ЎЎЎЎЎЎ.lnk
c:\windows\pss\ЎЎЎЎЎЎ.lnk

:Reg
[-HKLM\~\startupfolder\C:^Users^E-Machines^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^ЎЎЎЎЎЎ.lnk]
[HKEY_LOCAL_MACHINE\system\ControlSet004\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000

[HKEY_LOCAL_MACHINE\system\ControlSet004\Control\PCW\Security]
@Denied: (Full) (Everyone)
:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".

Компьютер перезагрузится.

После перезагрузки откройте папку "C:\_OTM\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

[batarejkin43]

Запустите OTM (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C) »

Сделал как вы сказали,но прога подвисает и все.

[SolarSpark]

Попробуйте загрузиться в режиме "чистой загрузки"
пуск - выполнить - msconfig
На вкладке Общие выберите параметр Выборочный запуск.
|
В разделе Выборочный запуск снимите флажок Загружать элементы автозагрузки.
|
На вкладке Службы установите флажок Не отображать службы Майкрософт и нажмите кнопку Отключить все.
|
Нажмите Применить - OK и - Перезапустить.

В таком режиме мышь должна бы работать и попробуйте выполнить скрипт Combofix

[batarejkin43]

Мышь не работает))).После перезагрузки службы опять включены.

[SolarSpark]

Твик реестра выполнить сможете?

[batarejkin43]

Твик реестра выполнить сможете? »

А поподробней можно,как это?

[SolarSpark]

подробнее обязательно, только чуть позже..
пробуем выполнить скрипт для OTM by OldTimer в безопасном режиме.
Если не поможет, бум думать.. и подготовьте ERD Commander

[batarejkin43]

В безопасном режиме тоже самое.Есть Live CD с ERD Commander 5.0(XP/2003) ; ERD Commander 6.0(Vista/2008) ; ERD Commander 6.5(Win7/2008 R2)

[SolarSpark]

грузимся с подходящей ERD Commander, запускаем erd regedit,
ищем через поиск по слову startupfolder в разделе HKLM и удаляем
[HKLM\~\startupfolder\C:^Users^E-Machines^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^ЎЎЎЎЎЎ.lnk]

ищем и правим права к ключам
[HKEY_LOCAL_MACHINE\system\ControlSet004\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\system\ControlSet004\Control\PCW\Security]
найти раздел - в левом окне выделить, потом правой кнопкой - разрешения (permissions)
откроется окно " безопасность (security)"
"группы или пользователи" нажать кнопку "добавить"
дальше "дополнительно" выбрать себя, нажать ок, и дать себе права на полный доступ

находим файлы по ранее записанному пути и удаляем
c:\windows\system32\XP-D41D8CD9.EXE
c:\users\E-Machines\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ЎЎЎЎЎЎ.lnk
c:\windows\pss\ЎЎЎЎЎЎ.lnk

загружаемся с операционки

[batarejkin43]

грузимся с подходящей ERD Commander, запускаем erd regedit,
ищем через поиск по слову startupfolder в разделе HKLM и удаляем
[HKLM\~\startupfolder\C:^Users^E-Machines^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^ЎЎЎЎЎЎ.lnk] »

Это удалил,но рядом есть еще [HKLM\~\startupfolder\C:^Users^E-Machines^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^setup 9.0.0722_09.02.2011. Может тоже грохнуть не нравится оно мне? И где находим файлы по ранее записанному пути?

[SolarSpark]

Virus Removal Tool - setup_9.0.0.722_09.02.2011_22-10 - это ваша утилита от каспера, грохать не надоИ где находим файлы по ранее записанному пути? » есть проводник?
– в окне Welcome to ERD Commander выберите свою ОС –> OK; когда загрузится Рабочий Стол, дважды щелкните значок My Computer;
– в окне ERD Commander Explorer раскройте диск, на котором установлена ОС (как правило, C:\);
и ищем по пути в папках указанные файлы зловредов

[batarejkin43]

найти раздел - в левом окне выделить, потом правой кнопкой - разрешения (permissions)
откроется окно " безопасность (security)"
"группы или пользователи" нажать кнопку "добавить"
дальше "дополнительно" выбрать себя, нажать ок, и дать себе права на полный доступ »

Нажимаю кнопку добавить,открывается окно ''Выбрать пользователя или группу'' "Имя объекта". Что там вписать?