При запуске черный экран

[DimakaSH]

При запуске черный экран

Здравствуйте недавно получи множество рекламных вирусов китайки и разных всплывающих и т.д. Вроде как с помощью др.веб. и блокировки автозагрузки все подключал и удалил, но сегодня вдруг черный экран. Через контралтделт вызвал эксплорер и запустил все остальное. но никак непойму как все востановить вновь. Прошу помочь убрать черный экран и почистить остатки вирусов. Спасибо!!!

Посмотреть вложение VASILJEV_2017-01-31_09-50-42.rar

 

[Аркалык]

DimakaSH, ВЫПОЛНЯЕМ СКРИПТ В uVS
- скопировать содержимое из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой мышью и выбираете Копировать);
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, слева наверху выбираете пункт: скрипты - выполнить скрипт из буфера обмена;
- отключаем антивирус и закрываем все браузеры перед выполнением скрипта;

;uVS v3.87.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref /RP+DRWEBUPW.LOG
delref HTTP://WWW.AMISITES.COM/?TYPE=HP&TS=1485326790&Z=D2D502712F52163F019427FG0ZFB0WFCCO4QCMEB0Q&FROM=CHE0812&UID=3219913727_67194_8864343E
delref HTTP://WWW.AMISITES.COM/SEARCH/?TYPE=DS&TS=1485326790&Z=D2D502712F52163F019427FG0ZFB0WFCCO4QCMEB0Q&FROM=CHE0812&UID=3219913727_67194_8864343E&Q={SEARCHTERMS}
delref WDCXWD5000AAKS-60Z1A0_WD-WCAWFC08648186481.EXE
delref WWW.MICROSOFT.COM/ISAPI/REDIR.DLL?PRD=IE&AR=IESEARCH
; C:\PROGRAM FILES\COMMON FILES\SERVICES\ITHEMES.DLL
addsgn A7679B1928664D070E3C22E664C8ED70357589FA768F17906DF9C6BCD3127D11E11BC302B5B9CBC25E880169331F1F12F6ECEB720C319F7AC513562EC75FA7B3 64 Win32/Adware.ELEX.CH [ESET]

; C:\PROGRAM FILES\GUBED\GUBEDZL.DLL
addsgn A7679B1928664D070E3C91E664C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D0D7A29906C4E701649C9BD9F6307595F4659214E91D7A404327C 64 Win32/Adware.ELEX.DC [ESET]

; C:\PROGRAM FILES\LIRGHT_\PLMCACHE.DLL
addsgn A7679B1928664D070E3C99479B37ED70357589FA768F17906BAEC5BCD3127D11E11BC30169EB65A02A903B67AF1759117654EEF795AEB2D3FDF4622BFCF15082 64 Win32/Adware.ELEX.CP.gen [ESET]

; C:\PROGRAM FILES\MAIL.RU\UPDATE SERVICE\MRUPDSRV.EXE
addsgn 1AB08C9A5583338CF42BFB3A889E99702DDD7F39767FE90D912B3DA050D6B64C3517C357D6C45A492B8B437403E00FF6FEABD124BD20B02C2D212FD72F39DC73 8 mail.upd

; C:\PROGRAM FILES\READALEANERNERT CLIENT\LOCAL32SPL.DLL
addsgn A7679B1928664D070E3CE84D9B37ED70357589FA768F1790919BC4BCD3127D11E11BC302B5B91E748FB9808F46635B7130D76533EA5948355A7427EEE78DE32E 64 Win32/Adware.ELEX.DZ [ESET]

; C:\PROGRAM FILES\REFERENCE ASSEMBLIES\EXPERTSOLUTIONSREFERENCEASSEMBLIES.DLL
addsgn A7679B1928664D070E3C4B999A37ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D856928906C305F1649C9BD9F6307595F4659214E913B9205327C 64 a variant of Win32/Adware.SoSoEasy.B

; C:\PROGRAM FILES\SCREENSHARED\VYPRESSCHATSCREENSHARED.DLL
; C:\PROGRAMDATA\WINSAPSVC\WINSAP.DLL
addsgn A7679B1928664D070E3CC0F065C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323DE5942D906C5F251649C9BD9F6307595F4659214E910BF101327C 64 ADWARE/ELEX.dqtam

; C:\PROGRAMDATA\WINTOOLS\WINTOOLUPRI.EXE
addsgn 1A78E39A5583338CF42B46EC15C81280E5FFFA4EDD0E5D78464005B09383FAA075FF27A8C1AA160423D10D97AE3649FA7D866382BDDFB02C2DFE94719AC5CA5A 8 Adware.Elex

; C:\USERS\ВАСИЛЬЕВ\APPDATA\LOCAL\MAIL.RU\SPUTNIK\IESEARCHPLUGIN.DLL
addsgn A7679B1928664D070E3C1C7064C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D659225906CF9C21649C9BD9F6307595F4659214E91CF3C09327C 64 mail.plg

; C:\USERS\ВАСИЛЬЕВ\APPDATA\ROAMING\WINSNARE\WINSNARE.DLL
addsgn A7679B1928664D070E3C141964C8ED70357589FA768F179082C3C5BCD3127D11E11BC33D323D7D752D906C3E581649C9BD9F6307595F4659214E91D76A00327C 64 virus

chklst
delvir
delref HTTP:\\FANLI90.CN\
delref HTTP:\\WWW.AMISITES.COM\?TYPE=SC&TS=1485165539&Z=60C1CB556C12207149B688DGDZCB3WAGEQ6W6WBCBB&FROM=ARCHER1028&UID=WDCXWD5000AAKS-60Z1A0_WD-WCAWFC08648186481
delref HTTP:\\WWW.AMISITES.COM\?TYPE=SC&TS=1485338776&Z=21E223B3F0C97DB3C281DA1G7ZCCAEFOZZJCKTMLMA&FROM=CHE0812&UID=WDCXWD5000AAKS-60Z1A0_WD-WCAWFC08648186481
delref HTTP:\\WWW.MAIL.RU\CNT\20775012?GP=812252
regt 12
regt 18
regt 21
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.

 

[DimakaSH]

Посмотреть вложение VASILJEV_2017-01-31_15-33-17.rar
При запуске также черны экран
Еще пытается запустится скрипт, скриншот
Пропали темы аеро, скриншот

 

[safety]

скрипт от Аркалика выполнили?
добавьте лог выполнения скрипта. это файл дата_времяlog.txt из папки uVS

в системе параметр userinit не отрабатывает, по той причине, что файл run.vbs был удален.
а он запускал помимо прочего userinit.exe

Полное имя C:\WINDOWS\RUN.VBS
Имя файла RUN.VBS
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям
WINLOGON (ССЫЛКА ~ \CURRENTVERSION\WINLOGON\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [skip (0)]

Сохраненная информация на момент создания образа
Статус в автозапуске
Инф. о файле Не удается найти указанный файл.
Цифр. подпись проверка не производилась

Ссылки на объект
Ссылка HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
Userinit wscript C:\Windows\run.vbs,

 

[DimakaSH]

Посмотреть вложение 2017-01-31_15-20-16_log.rar
вот он

 

[safety]

судя по логу выполнения скрипта не все исправления в реестре, (которые были запланированы) были выполнены.

Сброс значений ключей Winlogon в начальное состояние...

Удалено значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeText
Удалено значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeCaption
(!) Не удалось удалить значение в ключе реестра [Отказано в доступе. ]
Не удалось удалить значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\UIHost [Отказано в доступе. ]
(!) Не удалось изменить значение ключа [Отказано в доступе. ]
Не удалось установить значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell [Отказано в доступе. ]
(!) Не удалось изменить значение ключа [Отказано в доступе. ]
Не удалось установить значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit [Отказано в доступе. ]
Установлено значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\VmApplet
Удалено значение: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\LegalNoticeText
Удалено значение: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\LegalNoticeCaption
Не удалось изменить все необходимые ключи для некоторых пользователей.

пробуйте выполнить этот скрипт в uVS, но только из безопасного режима системы.

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
regt 12
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
проверьте доступ к рабочему столу в нормальном режиме,
и выполните:
выполните сканирование (угроз) в Malwarebytes

 

[DimakaSH]

Посмотреть вложение 123.rar вот так получилось

 

[safety]

да, из безопасного режима в uVS ключи не были исправлены.

--------------------------------------------------------
regt 12
--------------------------------------------------------
Сброс значений ключей Winlogon в начальное состояние...
(!) Не удалось удалить значение в ключе реестра [Отказано в доступе. ]
Не удалось удалить значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\UIHost [Отказано в доступе. ]
(!) Не удалось изменить значение ключа [Отказано в доступе. ]
Не удалось установить значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell [Отказано в доступе. ]
(!) Не удалось изменить значение ключа [Отказано в доступе. ]
Не удалось установить значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit [Отказано в доступе. ]
Установлено значение: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\VmApplet
Не удалось изменить все необходимые ключи для некоторых пользователей.

а малваребайт смог исправить этот ключ?

Данные реестра: 1
Hijack.UserInit, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON|Userinit, wscript C:\Windows\run.vbs,, Хорошо: (userinit.exe), Плохо: (wscript C:\Windows\run.vbs,),,[c89e134e6237c27486316d7152b20df3]

если проблема сохранилась,

выполните еще раз этот же скрипт, но только актуальной версией uVS: 3.87.9
http://chklst.ru/data/uVS%20latest/uvs_latest.zip