[MadMaks]

martrr, а где логика?!
вирус прописывает второй, похожий путь, паралельно.
Иначе какой смысл то, ведь без правильного userinit винда просто не загрузиться?!
вирус прописывается в HKCU, а правильный файл прописан в HKLM.
Не вводите читателей в заблуждение ;-)
P.S.: И не нужно грешить на Касперского, если это не 4-ая версия конечно :-)
сам он НИКОГДА не удалит системные файлы просто так!

"Програма делает то что вы приказали, а не то что вы подумали!" (с) кто автор не знаю

[martrr]

Уважаемый MadMaks, вы читали вопрос? В таком виде система не работает и большинство пользователей из-за этого переставляют систему. я не говорю, что у меня панацея от данного типа вирусов, но я справился с ним на трех разных машинах, поэтому и решил рассказать всем.
Вы пишите, что
какой смысл то, ведь без правильного userinit винда просто не загрузиться?! ОНА И НЕ ГРУЗИТСЯ!!!! Только вирус не трогал системные файлы! Он записался в систему в другое место (c:\windows вместо c:\windows\system32 ) и заменил путь в реестре с правильного на путь к вирусу. А Касперский уничтожил не СИСТЕМНЫЙ ФАЙЛ, а вирус с именем как у системного файла. Так что с Касперским все в порядке.

[MadMaks]

martrr тут пожалуй я частично погорячился, потому как вы описали поведение очень старого червя, версии 2003 года, я (каюсь) не узрел сразу, того что это старая модификация червя.
А сказанное мною относиться к той модификации (не помню как она точно называется) которая создает второй ключ, не заменяя оригинальный.
о чём собственно я и написал в своем посте

Думаю дальнейшее обсуждение, дабы не засорять тему нужно перенести в рамки РМ

[orlirka]

Только что вылечила такую же фигню.
После работы доктора веба, который нашел несколько вирусов, винда перестала логинится - заходит и сразу обратно на выбор пользователя.
Путь в реестре правильный был, c:\windows\system32\userinit.exe,
Ничего не помогало.
Только потом заметила, что по этому пути в system32 лежал не userinit.exe, а userini.exe.
Причем drweb на него НЕ РУГАЛСЯ! А дата у файлика кривая была... Был незамедлительно удален и на его место водворен нормальный userinit.exe
Все заработало!

[Dr.Dark]

Сталкивался с этим вирусом у себя в школе. Насколько я понял он ничего не заменяет, а только дописывает в реестре вместо
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
вот это "Userinit"="C:\\WINDOWS\\system32\\userinit.exe, чё-то там\прога которая исолняет vbs скрипты\, чё-то там\прога которая исолняет vbs скрипты\kill.vbs"
достаточно удалить "чё-то там\прога которая исолняет vbs скрипты\, чё-то там\прога которая исолняет vbs скрипты\kill.vbs" и всё-проблема решена.
Kasper видимо удаляет всю строку, что и приводит к ошибке.
В приложенном архиве tweak для восстановления.
З.Ы Пока врубился запорол в школе 2 Винды

[masol]

Доброго времени суток всем!
Проблема похожа на то , о о чем идет речь. НО!
При загрузке под ТОЛЬКО одним пользователем происходит логон, загрузка стола, настроек, а затем автоматическая перезагрузка системы.
Под админом, васей пупкиным и кем угодно еще все ок.
Антивирь нашел заразу под именем winlogon в папке с виндой. (Стандартный в system32)Снес его благополучно.
Лучше не стало.
В системных журналах ничего интересного не нашел. Максимум, упоминание о том что профиль пользователя был сохранен в неудачное время.
В общем , кто нибудь с таким сталкивался?

[Pili]

masol, скорее всего вам сюда

[masol]

Pili
как и написанно, создал тему
здесь

Спасибо.

[Котяра]

Если изменения реестра не помогают, надо извлечь файл userinit.exe с помощью Консоли восстановления. Команда expand - но параметров не помню.

[Romaryo]

Чистил вирус и удалил в разделе SOFTWARE\Logon файлец userinit.exe
теперь система бежит по кругу- нажмите Ctrl-Alt-Delete ввод пароля и снова нажмите Ctrl-Alt-Delete ввод пароля...

снял винт подрубил на другой комп, и что? смотрю на файлы реестра и чем их (его software) открыть?
как сделать откат? не могу найти ниодной утилиты которая не чистилабы там реестр или еще чего оптимизировала, а просто смоглабы открыть указанный файл реестра

regedit открывает тока реестр собственно системы с которой грузанулся