черный Порно банер

[URL]http://virusinfo.info/showthread.php?t=91071[/URL]
Обсалютно такой же банер как в этом сообщении.

[I]"Вы просматривали гейское порно в течении 3 часов. Время бесплатного просмотра истекло. Для того, чтобы олпатить услугу, вам необходимо пополнить счет абонента Билайн 9647263435 на 400 рублей. На квитанции об оплате вы найдете код активации, который необходимо ввести в текстовое поле ниже."[/I]

1. Скачайте образ [B]ERD Commander[/B], запишите на болванку и загрузитесь с созданного диска - скачал
2. Пуск - Выполнить - [B]erdregedit[/B] - нажал
3. Посмотрите в реестре:

userinit = C:\WINDOWS\system32\userinit.exe
shell = Explorer.exe

В безопасном режиме банер не выскакивает. Провел чистку реестра..а так же проверлся двумя антивирями от касперского и веба.Ничего не помагает.
Помогите хоть Вы)
Заранее Спасибо.

- Сделайте логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])

Вот в безопасном режиме сделал.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\2611215810\2611215810.EXE','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\atapi.sys','');
QuarantineFile('c:\windows\system32\vhosts.exe','');
DeleteService('msupdate');
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('C:\Documents and Settings\Admin\2611215810\2611215810.EXE');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ZDF2611215810AWrt2611215810AdsWrt2611215810aAdsWrtenZDF2611215810_26112158100');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- попробуйте сделайте логи в нормальном режиме по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])

если обновить базы не получиться, скачайте [URL="http://exfile.ru/151405"]отсюда[/URL] архив с новыми базами, распакуйте его. Удалите папку [B]Base[/B] и скопируйте вместо неё разархивированную.

После первого скрипта банер исчез..ВТорой скрипт прошел тоже без косяков..все успешно.
Базу обновил..сделал все как вы сказали.

Чисто.

Спасибо большое за помощь !

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\2611215810\\2611215810.exe - [B]Trojan-Ransom.Win32.HmBlocker.awo[/B] ( DrWEB: Trojan.Winlock.2909, BitDefender: Gen:Variant.Ransom.5, NOD32: Win32/LockScreen.ABY trojan, AVAST4: Win32:LockScreen-DE [Trj] )[/LIST][/LIST]