Баннер выскакивает в обычном и в SafeMode

Чел скачал какой то файл для игры [B]"Тюряга"[/B], запустил, появился баннер.
Я запускал [B]AVZ [/B]загружаясь в [B]"Windows7"[/B] по пункту [B]"В режиме командной строки".[/B]

Сейчас у меня тот [I]ЖД [/I]подключен к моему компу был и я прошелся по нему антивирусом [B]Comodo[/B]:
[B]Heur.Corrupt.PE@-1 G:\Users\Jenya\Downloads\Turyaga_Nakrutka_v.2.4.exe[/B]

Когда смотрел в ветку [B]WinLogon[/B], то там все было как положено. Тогда как вызывалась баннерная заставка? Она появлялась на рабочем столе спустя несколько секунд после отображения стола. :censored:

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk[/CODE]

[QUOTE='malor;778910']Когда смотрел в ветку WinLogon, то там все было как положено.[/QUOTE]Когда и как смотрели? Есть подозрение, что смотрели реестр чистой системы, к которой подключили винчестер. А нужно было вот так, например, [url]http://virusinfo.info/showthread.php?t=72176[/url] или зайти в редактор реестра чистой системы и загружать куст проблемной

Фиксил эти первые 12 строк хайджека, но все равно при загрузке банер вышел...

Реестр смотрел когда находился на зараженном компе в режиме загрузки с командной строкой.

А про файл [B]"Turyaga_Nakrutka_v.2.4.exe"[/B] в логах никак не упомянуто ? Это не он автозагрузочно запускался и отображал баннер на экране?

[QUOTE='malor;778990']Фиксил эти первые 12 строк хайджека, но все равно при загрузке банер вышел...[/QUOTE]Эти строки предназначены для того компьютера, к которому Вы подключили винчестер

[QUOTE='malor;778990']Реестр смотрел когда находился на зараженном компе в режиме загрузки с командной строкой.[/QUOTE]Т.е. на зараженном компьютере этот режим работает? Тогда что мешает Вам сделать логи зараженного компьютера?

Сегодня утром я уже вернул [I]ЖД[/I] на зараженный комп и на нем, разумеется, и фиксил в [I]Хайджеке[/I].

[QUOTE='malor;779049']Сегодня утром я уже вернул ЖД на зараженный комп и на нем, разумеется, и фиксил в Хайджеке.[/QUOTE]

[QUOTE='thyrex;779028']Т.е. на зараженном компьютере этот режим работает? Тогда что мешает Вам сделать логи зараженного компьютера?[/QUOTE]Осталось без ответа

Так я и выкладывал [U]логи зараженного компа[/U] в первом посте данного топика! ))

Доступа не было к Windows 7? Логи сделаны после снятия блокировки?

[QUOTE=thyrex;779186]Доступа не было к Windows 7? Логи сделаны после снятия блокировки?[/QUOTE]Но блокировка еще не снята, [B]thyrex[/B]. Доступ к [B]Win7[/B] пока только в режиме [B]Command Line.[/B]

1. Скачайте образ [B]ERD Commander (3 in 1)[/B], запишите на болванку и загрузитесь с созданного диска
2. Пуск - Выполнить - [B]erdregedit[/B]
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/code]
[B]параметр[/B]
[code]userinit[/code]
[B]параметр[/B]
[code]shell[/code]
Значения этих параметров напишите в своем сообщении

[QUOTE=thyrex;779299]Значения этих параметров напишите в своем сообщении[/QUOTE][QUOTE=malor;778910]Когда смотрел в ветку [B]WinLogon[/B], то там все было как положено. [/QUOTE]
Вот я про эти параметры и говорил ([I]shell[/I], [I]userinit [/I]), в [I]1м[/I] посте.

Сегодня работая в "[B]Command Line[/B]" запустил [B]"Total Commander"[/B] и сделал поиск [B]exe[/B]-файлов на диске [B]"С"[/B] появившихся за последние трое суток. Нашелся один:
[B]C:\Windows\Sound.exe[/B]
Я его переименовал, и загрузка прошла без баннера. Затем открыв [B]msconfig [/B]увидел, что запуск присутствует его в автозагрузке. Галочку снял (клавиша [B]Delete [/B]там не работает?)

Утилиты [B]AVZ [/B]и [B]HijackThis [/B]не выдавали про [I][B]"sound.exe"[/B][/I] никакой инфы?

[QUOTE='malor;779331']Утилиты AVZ и HijackThis не выдавали про "sound.exe" никакой инфы?[/QUOTE]Если логи делались, когда винчестер был подключен к другой машине, то естественно не показали. Ведь в этом случае проверялся чистый компьютер

Сделайте логи

Видно я [I]1й [/I]пост запутанно написал)
:download:
Все логи делал на зараженной машине, удаление Хайджековских строк (указанных вами) и просмотры реестра - тоже.
:beer:
На чужой машине выполнял только прогон антивирусником.

[B]malor[/B], сделайте новые логи.

З,Ы. удалить строчку с автозагрузки можно к примеру через CCleaner

А также

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]