Черный порнобаннер просит отправтиь смс

Добрый вечер!

Девушка на ноуте словила черный порно-баннерс 3-мя картинками и просьбой отправить смс М20920007 на номер 3649.

AVZ не открывается. CureIt тоже. HiJack работает. Безопасный режим не работает.
Drweb LiveCD пробовал. Проверил систему, удалил все вирусы, что нашел, но баннер не исчез.

Помогите пожалуйста!

И к сожалению не могу подключиться к интернету с того ноута, поэтому сижу с другого. Может ли баннер передаться, если буду флешку использовать?

Заранее благодарен.

Запустите HiJackThis, но не как в Правилах, а в режиме "только сканирование" сохраните и приложите сюда лог.
[QUOTE='Cirer;522626']Может ли баннер передаться, если буду флешку использовать?[/QUOTE]Может, если автозапуск не отключен.
Лучше использовать CD.

Дисковод перестал писать диски говорит что диск неправильный, хотя 5 разных пробовал. перенес на флешку при помощи Dr.web LiveCD.

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis следующие строки:
[quote]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O20 - AppInit_DLLs: C:\WINDOWS\system32\Dfntf.dll
O21 - SSODL: WebCheck - {FF4EC53A-CA51-9A39-6CDD-5FFB26FB445C} - overlapp32.dll (file missing)
[/quote]
Перезагрузите компьютер.
Сделайте логи AVZ.

Порно-баннер пропал и комп стал быстрее загружаться. Но учетная запись перестала быть администратором и я не могу отключить "восстановление системных файлов".
Логи сделал, единственное без доступа к интернету.

Выполните скрипт в AVZ
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Dfntf.dll','');
DeleteFile('C:\WINDOWS\system32\Dfntf.dll');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
QuarantineFile('C:\WINDOWS\system32\85.scr','');
QuarantineFile('C:\WINDOWS\system32\65.scr','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\netsik.sys','');
DeleteService('netsik');
QuarantineFile('C:\WINDOWS\system32\drivers\fips32cup.sys','');
DeleteService('fips32cup');
QuarantineFile('C:\WINDOWS\system32\drivers\amd64si.sys','');
DeleteService('amd64si');
QuarantineFile('C:\WINDOWS\system32\drivers\acpi32.sys','');
DeleteService('acpi32');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('C:\WINDOWS\system32\65.scr');
DeleteFile('C:\WINDOWS\system32\85.scr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[QUOTE]>> Заблокированы настройки системы System Restore[/QUOTE]Исправьте через [B]AVZ - Файл - Мастер поиска и устранения проблем - Все проблемы -[/B] отметить указанное [B]- Исправить[/B]

Сделайте новые логи

Логи сделал.
Архив с карантином отправил.

А насчет system restore. У меня название места для галки называется "Отключить восстановление системы на всех дисках". Там галка уже стояла. После всего лечения ее надо будет снять потом?

Спасибо!

Плохого не видно

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8

Восстановление системы, если оно Вам нужно, можете включить

Т.е. баннер удален и больше не будет мучить?
Все понял. Обновлю систему.
Спасибо вам всем огромное!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\dfntf.dll - [B]Trojan.Win32.Agent.dcou[/B] ( DrWEB: BackDoor.Siggen.3863, BitDefender: Trojan.Generic.2819874, NOD32: Win32/Agent.QJR trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]