Где находится сама картинка SMS-баннера?

[truvo]

В прикрепленной теме "Разблокировка WinLock (SMS-вымогатель,смс-вымогатель,порнобаннер)" отписаться нельзя, поэтому завел отдельную тему.

Вопрос такой: на компе был SMS-баннер о том, что "вам предоставлен доступ к просмотру эротического видео...". В процессе борьбы с ним был загружен LiveCD, удалено всё содержимое корзины и папок временных файлов (восстановление системы было отключено, поэтому точки восстановления, которые могли бы и пригодиться в данном случае, удалять не пришлось). Кроме того, были удалены три файла с дикими названиями из корня диска C и три библиотеки с дикими названиями, находящиеся в папке SysFiles, явно неуместной на диске C. Затем агрегат был проверен Касперским, который ничего не нашел. Пока Каспер работал, был просмотрен реестр на предмет чего подозрительного в разделе Run - тоже ничего не нашлось. Также была просмотрена глазами папка System32 на предмет скрытых и нескрытых подозрительных по дате и названию файлов - ничего такого, опять же, не нашлось.

После перезагрузки баннер выплыл вновь. Затем, в процессе непродолжительной возни с разблокиратором-генератором на сайте DrWeb его удалось разблокировать и он благополучно исчез.

Но меня интересует, где вообще физически находилась эта картинка, если я очистил все временные папки, если комп не был подключен к интернету, если поиск по маске *.jpg, *bmp, *.scr и более-менее свежей дате не показал ничего подозрительного? Хотя, я, конечно, не все графические форматы, получается, проверил. Кто подскажет?

[Drongo]

truvo, Чёткого и всегда стандартного места для вирусов смс нет, всё зависит как от фантазии автора вируса, так и от модификации вируса. Это краткий перечень, учитывая чтопапка System32 »была просмотрена.
C:\WINDOWS\Provisioning\Schemas
C:\WINDOWS\WinSxS\Manifests
C:\Documents and Settings\User\Local Settings\Temp
C:\Documents and Settings\All Users\Application Data
C:\Windows
C:\WINDOWS\Prefetchесли поиск по маске *.jpg, *bmp, *.scr и более-менее свежей дате не показал ничего подозрительного? Хотя, я, конечно, не все графические форматы, получается, проверил. »Может быть ещё и .cur или вот такие расширения: .pf, .tmp, .bin

Затем, в процессе непродолжительной возни с разблокиратором-генератором на сайте DrWeb его удалось разблокировать и он благополучно исчез. »Нет, это не так, он не мог пропасть, просто скажем так, деактивировался, но лежит где-то в системе, возможно ждёт своего часа X.

Я вам очень рекомендую проверить компьютер на наличие вирусов, даже если вы уверены, что их нет. Выполните рекомендации (http://www.forum.oszone.net/post-717373-2.html) и прикрепите к следующему сообщению полученные логи.