Порнобанер просит денег

[Bizant]

Подцепил через одноклассники блокиратор.
В безопасный не заходит, залипание клавиш не срабатывает(((
В эксплорере билайновский номер и просьба положить 410 рэ.
Через ERD Commander LiveCD сделал откат на один день.
Система поднялась, дайте пожайлуста рекомендаций по дальнейшим действиям.
Логи вот:

[PavelA]

На какой номер просили СМС прислать?

Добавлено через 2 минуты

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\\?\globalroot\systemroot\system32\cBVl53R.exe','');
 QuarantineFile('C:\Documents and Settings\Lidia\Local Settings\Temporary Internet Files\Content.IE5\SLYDSVXT\flash_player_10.2[1].exe','');
 DeleteFile('\\?\globalroot\systemroot\system32\cBVl53R.exe');
 DeleteFile('C:\Documents and Settings\Lidia\Local Settings\Temporary Internet Files\Content.IE5\SLYDSVXT\flash_player_10.2[1].exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Логи повторить.
Карантин прислать в обязательном порядке по красной ссылке вверху темы.

[Bizant]

На какой номер просили СМС прислать?

Да не СМС!!! Просит денег положить на определенный номер телефона)))) Совсем обнаглели блокеры)))

[Bizant]

Карантин закачал, новые логи вот:

[PavelA]

Баннер исчез?
профиксить:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\cBVl53R.exe,

[Bizant]

Баннер исчез?

Павел, я в первом сообщении написал, что сделал откат системы на один день (из под ERD Commander) от заражения, поэтому банер и исчез, но хвосты ведь остались...

F2 - пофиксил
Есть еще что нибудь подозрительного?

[PavelA]

Более ничего не увидел, но можно зачистить "хвосты", сделав лог Combofix

[Bizant]

лог Combofix

Сделал лог (в архиве):

[PavelA]

C:\Documents and Settings\AutoCAD2007 -- вот эта штука Ваша?

[Bizant]

C:\Documents and Settings\AutoCAD2007 -- вот эта штука Ваша?

Да. По корректности размещения ничего сказать не могу, так как комп бухгалтера, но AutoCAD2007 установлен и работоспособен...

[polword]

C:\Documents and Settings\AutoCAD2007\autocad2007sp1.exe
C:\Documents and Settings\AutoCAD2007\System
C:\Documents and Settings\AutoCAD2007\System\FM20.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20CHS.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20CHT.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20DEU.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20ENU.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20ESN.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20FRA.DLL
C:\Documents and Settings\AutoCAD2007\System\fm20ita.dll
C:\Documents and Settings\AutoCAD2007\System\FM20JPN.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20KOR.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20NLD.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20PTB.DLL
C:\Documents and Settings\AutoCAD2007\System\FM20SVE.DLL
C:\Documents and Settings\AutoCAD2007\System\SCP32.DLL
C:\Documents and Settings\AutoCAD2007\System\VBAME.DLL

восстановите эти файлы - смотрите тут

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\?\globalroot\systemroot\system32\cbvl53r.exe - Trojan-Dropper.Win32.Small.fas ( DrWEB: Trojan.DownLoad.64043 )