на rusextalk.ru, русексталк ру

1. Снимаем с компа системный винт и подсоединяем его вторым винтом к заведомо чистой машине. Загружаем винду.
2. Запускаем regedit, открываем в нем реестр зараженной машины: нажимаем на раздел HKEY_LOCAL_MACHINE жмём в меню ФАЙЛ -> Загрузить куст… далее идём на свой диск, заходим в WINDOWS\System32\config\ выбираем раздел software. В HKEY_LOCAL_MACHINE появилась новая ветка, это реестр зараженного винта.
3. Смотрм HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. В ключе userinit должен стоять путь C:\WINDOWS\system32\userinit.exe. Если путь отличается, то он ведет к файлу вируса. Исправьте, но предварительно найдите и удалите файл. ВАЖНО, идём в C:\WINDOWS\system32\ и находим userinit.exe. Убеждаемся в том что файл существует и он оригинальный, оригинальность проверить можно сверив дату и время создания файла с winlogon.exe (в той же папке), они должны быть либо одинаковыми либо отличаться друг от друга минутой не больше. Весит userinit.exe 24-25 кб. Если сомневаемся в оригинальности или файл отсутствует, то берём и копируем такой же файл (userinit.exe) из C:\WINDOWS\system32\dllcache если не видите папку dllcache то просто введите в адресной строке. Усё. Перезагружаем. Важно, потому что если не будет файла userinit.exe то после перезагрузки в профиль вообще не удастся зайти.

После того, как сделаешь это один раз - зараженные компы лечатся за 15 минут, включая сборку-разборку и снятие винта.