Баннер информера на раб. столе

Поймал вирус, на рабочем столе висит баннер, блокирует всё кроме себя, требует смс. Безопасный режим не помогает. Нашёл к нему код, подошёл, баннер исчез, провёл проверку dr web cureit, были найдены и удалены несколько вирусов. Перезагрузил компьютер - баннер снова обнаружился, но на этот раз код найти не удалось. Этот, второй информер ссылается уже на другие смс и сайт, но выглядит примерно так же, тот же вирус походу.
Название - ass1st.com
номер - 8353
текст - 495623117(всегда после перезагрузки меняется)
Деблокер пишет что для данных номера и текста кода нет.
Диагностику предоставить не могу, заблокировано ж.

1. Загрузитесь в безопасном режиме с [B]поддержкой командной строки[/B]
2. Наберите в командной строке [B]regedit[/B], откроется реестр
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/code]
[B]параметр[/B]
[code]shell[/code]
Содержимое параметра напишите в своем сообщении

Explorer.exe, C:\Program Files\Common Files\Microsoft Shared\mss oft.exe это?

В параметре Shell должно быть значение[B] Explorer.exe[/B]
Остальное удалите. Затем пробуйте сделать логи.

Логи сделать не могу, после перезагрузки баннер продолжает висеть и соответственно всё заблокированно, и параметр в shell возвращается каким был.

[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]

А, вот удалось перезагрузиться с сохранением параметров, баннер исчез. Сейчас сделаю логи.

Логи.

Файл C:\Program Files\Common Files\Microsoft Shared\mssoft.exe не удаляли?
Запакуйте с паролем [B]virus[/B] и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
После этого файл можно удалить

Прислал.

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\04jY9bo.exe,\\?\globalroot\systemroot\system32\gen23Mh.exe,\\?\globalroot\systemroot\system32\uwOqFiO.exe,[/CODE]

[B]Обновите базы AVZ[/B]

Сделайте новые логи без работающего CureIt

Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.

[QUOTE=thyrex;666238]Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\04jY9bo.exe,\\?\globalroot\systemroot\system32\gen23Mh.exe,\\?\globalroot\systemroot\system32\uwOqFiO.exe,[/CODE] [/QUOTE]Не понял что и как...
[QUOTE=thyrex;666238][B]Обновите базы AVZ[/B][/QUOTE]Никак, выдаёт ошибку ( [url]http://s006.radikal.ru/i215/1007/15/4c41865d3e64.jpg[/url] [url]http://s50.radikal.ru/i128/1007/a3/8ec3162eb454.jpg[/url] )

[QUOTE=thyrex;666238]Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.[/QUOTE]Во вложениях.

[QUOTE='bam24;666263']Не понял что и как...[/QUOTE][url]http://virusinfo.info/showthread.php?t=4491[/url]

Скачайте полиморфный AVZ (ссылка в моей подписи)

Выполните скрипт в [B]полиморфном[/B] AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wIefgEy.exe','');
DeleteFile('C:\WINDOWS\system32\wIefgEy.exe');
QuarantineFile('C:\WINDOWS\system32\NDR0OmW.exe','');
DeleteFile('C:\WINDOWS\system32\NDR0OmW.exe');
QuarantineFile('C:\WINDOWS\system32\KGsEbYo.exe','');
DeleteFile('C:\WINDOWS\system32\KGsEbYo.exe');
QuarantineFile('C:\WINDOWS\system32\mgMTlyI.exe','');
DeleteFile('C:\WINDOWS\system32\mgMTlyI.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пробуйте обновить [B]обычный[/B] AVZ
Сделайте новые логи + новые логи RSIT

Пофиксил.
Скачал и выполнил, карантин выслал.
AVZ обновилось. Новые логи во вложениях.

О, сайт стал грузится, до этого было возможно зайти только через прокси...

Чисто

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все новые патчи
Установите [url="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/url] или удалите старый
Обновите [url="http://www.java.com/ru/download/manual.jsp"]JavaRE[/url]

[QUOTE=thyrex;666585]Установите [URL="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/URL][URL="http://www.java.com/ru/download/manual.jsp"][/URL][/QUOTE]Еле скачал (на странице закачки браузеры вылетают с "неожиданной ошибкой и аварийным завершением работы"), начал устанавливать - и выдаёт некую "внутреннюю ошибку"... =\

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\kgsebyo.exe - [B]Trojan.Win32.Jorik.Shiz.v[/B] ( DrWEB: Trojan.PWS.Ibank.53, BitDefender: Trojan.Generic.4532542, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\mgmtlyi.exe - [B]Trojan.Win32.Jorik.Shiz.af[/B] ( DrWEB: Trojan.PWS.Ibank.53, AVAST4: Win32:Spyware-gen [Spy] )[*] c:\windows\system32\ndr0omw.exe - [B]Trojan.Win32.Jorik.Shiz.v[/B] ( DrWEB: Trojan.PWS.Ibank.53, BitDefender: Trojan.Generic.4532542, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\wiefgey.exe - [B]Trojan.Win32.Jorik.Shiz.s[/B] ( DrWEB: Trojan.PWS.Ibank.53, BitDefender: Trojan.Generic.4472924, AVAST4: Win32:Malware-gen )[*] \mssoft.exe - [B]Trojan-Ransom.Win32.PinkBlocker.caq[/B] ( DrWEB: Trojan.Winlock.2108 )[/LIST][/LIST]