Удаление AnyProtect, GamesDesktop, SmartWeb, CrossBrowser и прочие [Trojan-Downloader.Win32.Genome.sthb ]

[Arba]

Добрый вечер! Вчера установил предварительно загруженную из Интернета программу - GoogleBooksDownloader, но, как это часто бывает, мой компьютер "бонусом" получил не совсем нужный, а порой и вредоносный софт, такой как антивирус Китайского происхождения Baidu, AnyProtect, Crossbrowser, SmartWeb, Rising Software и прочее. Пробовал удалить стандартными возможностями Windows, чистил реестр, проверял дважды компьютер DrWeb Cureit, и из этого барахла удалось истребить только Baidu, а все осатльное (AnyProtect, GamesDesktop, SmartWeb) живее всех живых. Также использовал следующий софт - Your Uninstaller!, adwcleaner_4.206 - это все помогало лишь до следующего включения компьютера. Очень прошу помощи. Логи прикрепил.

[Info_bot]

Уважаемый(ая) Arba, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

[Arba]

Добрый вечер.
Ссылка, полученная после загрузки карантина - http://virusinfo.info/virusdetector/...E18DCAC2195661
Файл-отчет прикрепил.

[regist]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

[Arba]

Добрый день.
Высылаю файл-отчет.

[regist]

Сделайте свежий лог AdwCleaner (by Xplode) и отпишитесь, что с проблемой?

[Arba]

Добрый вечер.
Проблема осталась. Устанавливаются приложения SmartWeb, GamesDesktop и др.
Файл-лог прикрепил.

[regist]

загрузитесь в безопасный режим и из него

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

+ Сделайте полный образ автозапуска uVS, только программу скачайте отсюда

[Arba]

Загрузился в безопасном режиме. Отсканировал. Почистил. Перезагрузился.
Затем сделал полный образ автозапуска. Файлы прикрепил.

[regist]

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Удалить).
• Подтвердите удаление нажав кнопку: Да.

Java(TM) 6 Update 16 - деинсталируйте, это устаревшая (уязвимая версия).

Выполните скрипт в uVS из безопасного режима

;uVS v3.85.25 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
BREG
dirzooex %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF\KNSSD0.TMP
bl DB5EB764576BA36FE647A946CCDFCF15 218112
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF\KNSSD0.TMP
delall %Sys32%\DRIVERS\BDSANDBOX.SYS
deldir %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\10.9.16350.226
deldir %SystemDrive%\PROGRAM FILES\TENCENT\
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF\
czoo
restart

пришлите карантин uVS.

что с проблемой?

[Arba]

Добрый день.
adwcleaner.exe удалил.
Java(TM) 6 Update 16 удалил.
Скрипт в безопасном режиме выполнил.
Проблема осталась. Устанавливает новые приложения. В диспетчере задач много посторонних процессов.
Карантин, к сожалению, не могу прикерпить. Превышен предел для форума!

[regist]

Карантин, к сожалению, не могу прикерпить. Превышен предел для форума!

потому что карантин к сообщению не надо прикреплять

Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)

+ Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: MBAM-log-2014-10-14 (12-18-10).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

[Arba]

Извиняюсь за невнимательность.
Карантин выслал по ссылке вверху темы.
Malwarebytes' Anti-Malware скачал, обновил, компьютер полностью проверил. Ничего самостоятельно не удалял.
Лог не открылся. Самостоятельно его нашел, но он сохранился в формате html. Перекопировал содержимое в созданный файл .txt.

[regist]

но он сохранился в формате html.

это потому что опять невнимательны .
1) Не Html а XML и оттого что вы его скопировали в TXT более читабельным он не стал.
2)

(во время обновления откажитесь от загрузки и установки новой версии)

даже синим выделено, чтобы более заметно было.
Удалите установленную у вас версию и переделайте строго по инструкции.

[Arba]

Сделал все, как указано. Высылаю лог.
Единственное, нашел всего 12 объектов, предыдущий раз ,когда проводил сканирование программой Malwarebytes' Anti-Malware, то она нашла более 900 подозрительных объектов!

[regist]

Папку

C:\Documents and Settings\Администратор.arba\Рабочий стол\avz4\Infected\

удалите вручную.

Единственное, нашел всего 12 объектов, предыдущий раз ,когда проводил сканирование программой Malwarebytes' Anti-Malware, то она нашла более 900 подозрительных объектов!

попробуйте тогда обновить до новой версии и сделать лог новой. Только потом когда закончит сканирование сохраните файл в текстовый формат. Подробней тут http://virusinfo.info/showthread.php...=1#post1104657

[Arba]

Добрый день. Папку удалил.
Лог с прошлой проверки (новой версией Malwarebytes' Anti-Malware) сохранял вручную в txt формате, но прикрепить сюда не могу, так как у меня уже превышен лимит по объему прикрепляемых файлов. Проблема до сих пор существует. Очень много посторонних процессов грузится в диспетчере задач.
Как поступить с прикреплением файлов?

[regist]

Лог с прошлой проверки не годится. И от того, что вы скопирует (по факту просто переименуете расширения файла с .xml на .txt) формат лога не изменится.
Как удалить вложения?

[Arba]

Немного не поняли, я не переименовывал, а просто результаты проверки скопировал в блокнот. Посмотрите пожалуйста прикрепленный файл, это то, что Вам нужно?