Как удалить вирус вручную
Загрузите Windows в так называемой «чистой среде», например, воспользовавшись загрузочным аварийно-восстановительным диском, типа Windows miniPE или ERD Commander:
– вставьте диск с ERD Commander в лоток CD-ROM, перезагрузите ПК;
– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;
– установите загрузку ПК с CD-ROM, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;
– в появившемся меню Мастер восстановления Windows XP выберите Загрузка ERD Commander –> Enter;
– внизу появится строка состояния Starting Winternals ERD Commander;
– после загрузки драйвера видеокарты в появившемся окне нажмите кнопку Skip Network Configuration;
– в окне Welcome to ERD Commander выберите свою ОС –> OK;
– когда загрузится Рабочий Стол, дважды щелкните значок My Computer;
– в окне ERD Commander Explorer раскройте диск, на котором установлена ОС (как правило, C:\);
– удалите оригинальный файл вируса, как правило, он расположен во временном каталоге текущего пользователя
C:\Windows – %Temp%\<rnd>.tmp (может иметь атрибуты Скрытый, Системный, Только чтение);
- Очистить необходимо директории:
C:\Windows\Temp
C:\Documents and Settings\логин\Local Settings\Temporary Internet Files
C:\Documents and Settings\логин\Local Settings\Application Data\Opera\Opera\cache
C:\Documents and Settings\логин\Local Settings\Application Data\Opera\Opera\cache Да, кстати все файлы в следующих папках
c:\Documents and Settings\%USERNAME%\Local Settings\Temp\
c:\Documents and Settings\All Users\Application Data\TEMP\
c:\WINDOWS\Temp\
могут быть безболезненно удалены! Это НИКАК не повлияет на систему.
- Проверьте свежепоявившееся файлы в папках
/windows/system32
/windows/system32/dllcache
/temp
/application data
/program files/opera
ну и, возможно, еще где-то явно подозрительные, которые появились в момент заражения компа и после его заражения удалите, но будьте осторожны, чтобы не удалить нужное для винды;
– закройте окно ERD Commander Explorer;
– нажмите Start –> Administrative Tools –> RegEdit;
– в окне ERD Commander Registry Editor найдите раздел [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon];
– исправьте значение строкового REG_SZ-параметра Userinit на C:\WINDOWS\system32\userinit.exe, (если система установлена на диске C:\, если на другом диске, то <буква_диска>:\Windows\system32\userinit.exe,). Вирус устанавливает значение этого параметра %Temp%\<rnd>.tmp;
– в этом же разделе исправьте (при необходимости) значение строкового REG_SZ-параметра Shell на Explorer.exe; - проверьте реестр автозагрузки [HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run] — программы, которые запускаются при входе в систему. Данный раздел отвечает за запуск программ для всех пользователей системы.
[HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnce] — программы, которые запускаются только один раз при входе пользователя в систему. После этого ключи программ автоматически удаляются из данного раздела реестра. Данный раздел отвечает за запуск программ для всех пользователей системы.
[HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunOnceEx] — программы, которые запускаются только один раз, когда загружается система. Этот раздел используется при инсталляции программ, например для запуска настроечных модулей. После этого ключи программ автоматически удаляются из данного раздела реестра. Данный раздел отвечает за запуск программ для всех пользователей системы.
[HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run] — программы, которые запускаются при входе текущего пользователя в систему
[HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion\ RunOnce] — программы, которые запускаются только один раз при входе текущего пользователя в систему. После этого ключи программ автоматически удаляются из данного раздела реестра.
[HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunServices] — программы, которые загружаются при старте системы до входа пользователя в Windows.
[HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ RunServicesOnce] — программы отсюда загружаются только один раз, когда загружается система.
– закройте окно ERD Commander Registry Editor;
- откатите систему к более ранним точкам восстановления ,
нажмите Start –> System Tools –>System Restore
– нажмите Start –> Log Off –> Restart –> OK;
– во время перезагрузки нажмите Delete для входа в CMOS Setup Utility;
– установите загрузку ПК с винчестера, нажмите F10, санкционируйте сделанные изменения, начнется перезагрузка;
– загрузите Windows в обычном режиме;
– проверьте систему антивирусом со свежими базами.
Если не работает Диспетчер задач. Запускаем regedit, следуем по пути: HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\System,
находим параметр DisableTaskMgr, изменяем
его значение с "1" на "0".
В некоторых случаях помогает запуск экранной лупы. Win+U запускает ‘Utility Manager’ (экранная лупа или что-то типа того)
Там можно нажать кнопку ‘Help’, затем Options -> Home, и перейти по ссылке ‘Help and Support’
Здесь уже открываются достаточно большие возможности для запуска того, что осталось :) в т.ч. и редактора реестра.
Еще некоторые замечания: Обратите внимание сколько весит ваш файл userinit. Если больше 26 кб - то гад ( в смысле блокировщик) ещё не весь вышел. Обратите внимание - может у вас там два файла. Один с маленькой u
начинается, а другой с большой U Смело убивайте файл который больше весит.
А кстати, не пробовали Win+R, когда Винда загружена и висит блокирующий баннер?
Еще попробуйте нажать Ctrl + Alt + Shift + Delete
и Ctrl+Shift+Esc тоже не работало? это ведь аналог Ctrl+Alt+Del, запускает task manager(Диспетчер задач)
| 
