![OLORG[dot]ru](http://olorg.ru/application/maxsite/templates/olorgru/assets/images/logos/olorg-logo.png "OLORG[dot]ru"){kind=logo}
В последнее время в моей работе участились случаи когда пользователь жалуется на то, что IE перестал нормально отображать страницы, или его вид изменился. В т.ч. Пропала строка адреса, панель инструментов.
Так же бывают случаи когда нормально не запускается процесс Explorer. т.е. При старте системы мы видим чистый кран и нет у нас нашего любимого меню "Пуск".
Так все таки, как же от этого лечиться?
1-е что мы сделаем. Это откроем редактор реестра, и посмотрим что-же хранит наш любимый Userinit?
2. Regedit -> Enter (Ok)
3. Идем по ключу HKLM -> Software -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon
4. Смотрим что хранит переменная Userinit
Если в Userinit только C:WINDOWSsystem32userinit.exe, то случай не наш. А вот если там еще куча всякой "фигни", то продолжаем читать статью.
В моем случае дело запущенное Userinit содержит "C:WINDOWSsystem32userinit.exe, C:WINDOWSsystem32cdf23000.exe, C:WINDOWSsystem32yzptqx.exe," (Смотрим ниже скришет)
Но это еще не все есть еще один странный параметр "usrint", его тоже не должно быть.
Из следующих инструментов нам понадобится бесплатная антивирусная утилита Олега Зайцева AVZ
Помимо стандартных сканера (с эвристическим анализатором) и ревизора включает в себя ряд средств автоматизации удаления вредоносного кода, часть из которых являются нетипичными (на 2007 год) и предоставляют достаточно грамотному пользователю расширенные средства контроля.
Программа была разработана Олегом Зайцевым. С 2007 года Олег работает в Лаборатории Касперского и остаётся единственным разработчиком AVZ. Используемые в AVZ наработки и технологии вошли в основные продукты ЛК — Kaspersky Internet Security 2009/2010 и Kaspersky for Windows Workstations 6 MP4.
Скачиваем последнюю версию AVZ
Полученный архив распаковываем в любое для нас удобное место и выполняем стандартный скрипт сбора информации (Файл -> Стандартные скрипты -> 2. Скрипт сбора информации для раздела "Помогите" virusinfo).
Отработанный скрипт просмотрел, из подозрительных модулей был только драйвер Daemon Tools. Как оказалось мой штатный drweb хорошо отработал, но вот в чем беда, так в том что он за собой не подтирает в реестре.
Для более удобного просмотра "грязи" юзаем HijackThis 0. И просматриваем его лог в моем случае были указаны статические маршруты и DNS
O17 - HKLMSystemCS2ServicesTcpipParameters: SearchList = it-grad.ru
O17 - HKLMSystemCS4ServicesTcpip..{0AA82469-1D2C-400E-AC1A-FF67BEAE0698}: NameServer = 188.92.73.123,188.92.73.124
В моей сети это не должно использоваться. Можно сразу пофиксить HijackThisом но я решил сбросить TCP/IP на значения по умолчанию. Для этого запустим командную строку
netsh winsock reset
После чего перезагрузить компьютер. И все работает.
ЗЫ: Кстати. Как я уже говорил что доктор Веб не почистил за собой, то я ручками установил дефолтное значение userinit "C:WINDOWSsystem32userinit.exe,"
Удачи Вам в поисках всякой гадости и нечести ;)
