Помогите справится с заразой

Добрый день уважаемые господа.
Подскажите, у знакомой выскачил банер с требованием положить денег на номер телефона ..................
Безопасный режим не работает.
LiveCD не помог, пробовал и аналог от Касперского. Результат 0!
Знакомый посоветовал ZverCD, поставил на диск D.
Запустил Cureit, ничего. Запустил Kaspersky Virus Removal Tool, результат 2 шт.
При загрузке с диска С банер остался. Что посоветуете?

Уважаемый(ая) [B]SergeySpb[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].

[B][COLOR="Red"]I этап[/COLOR][/B] (выполняется на [B]чистой от вирусов[/B] машине)

1. Скачайте на компьютере, [b]с которого сейчас пишете[/b], образ [B]ERD Commander[/B] (для Windows XP - [B]версия 2005 (5.0)[/B], для Vista - [B]версия 2007 (6.0)[/B], для Windows 7 - [B]версия 2009 (6.5)[/B]). Ссылки ищите в Google, например.
2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать ищите самостоятельно в Интернете). В противном случае записываете образ на болванку, например, с помощью Nero

[B][COLOR="Red"]II этап[/COLOR][/B] (выполняется на [B]заблокированной[/B] машине)

1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
2. Вставляете диск в привод (или подключаете флешку) и загружаетесь
При загрузке Вы должны указать диск, на который установлена заблокированная система ([URL="http://wiki.drweb.com/index.php/Userinit"]образец[/URL])
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/code]
[B]параметр[/B]
[code]userinit[/code]
[B]параметр[/B]
[code]shell[/code]
Значения этих параметров напишите в своем сообщении

С:\WINDOWS\system32\userinit.e...
explorer.exe

[size="1"][color="#666686"][B][I]Добавлено через 40 минут[/I][/B][/color][/size]

прошу прощения не заметил
С:\WINDOWS\system32\userinit.exe,

[size="1"][color="#666686"][B][I]Добавлено через 39 минут[/I][/B][/color][/size]

Удалил 2 файла из автозагрузки.
Комп запустился. Логи выложу позже.

[ATTACH=CONFIG]320801[/ATTACH][ATTACH=CONFIG]320802[/ATTACH]

virusinfo_syscheck.zip не нашел.
Не уверен, что получилось прикрепить файлы.
[ATTACH=CONFIG]320803[/ATTACH]

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

[ATTACH=CONFIG]320818[/ATTACH]

удалите в мбам
[code]
Зараженные папки:
c:\documents and settings\Irina\application data\winxrar (Trojan.Agent) -> No action taken.

Зараженные файлы:
c:\documents and settings\Irina\local settings\Temp\0.5093369414862057.exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\Irina\local settings\Temp\jar_cache2972694143029554047.tmp (Backdoor.Bot) -> No action taken.
c:\documents and settings\Irina\local settings\Temp\jar_cache6794389198095760994.tmp (Backdoor.Bot) -> No action taken.
c:\documents and settings\Irina\рабочий стол\0.8967602454123704.exe (Backdoor.Bot) -> No action taken.
c:\program files\Argos\E-Tax\editor.exe (Rogue.AntiMalwareLab) -> No action taken.
c:\program files\Argos\E-Tax\etax.exe (Rogue.AntiMalwareLab) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\after.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\dir.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\dot.gif (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\htmlayout.dll (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\key (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\logo.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\logo2.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\myriadwebpro-condensed.ttf (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-h-scroll-next.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-h-scroll-prev.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-scroll-back.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-scroll-base.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-scroll-slider.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-v-scroll-next.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sb-v-scroll-prev.png (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\scroll.css (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\sview (Trojan.Agent) -> No action taken.
c:\documents and settings\Irina\application data\winxrar\xsendexe.tmp (Trojan.Agent) -> No action taken.
[/code]

[ATTACH=CONFIG]320844[/ATTACH]
Прога Argos нужна.
Еще вопросик: как удалить windows с диска D или чтоб автоматически загружался с С? :blush:

ничего подозрительного
[url]http://www.infocity.kiev.ua/os/content/os183.phtml[/url]

Всем огромное СПАСИБО!