Устанавливаются сами GameDesktop, SmartWeb, Infonaut, Mystartsearch, Anyprotect, Istartsurf, Crossbrowse (возможно, есть и другие) . [Trojan-Downloader.Win32.Genome.teth ]

[Grayie]

Добрый день.
GameDesktop, SmartWeb, Infonaut, Mystartsearch, Anyprotect, Istartsurf, Crossbrowse (может и еще какие-то) устанавливаются сами после удаления. Антивирусы (Avira, DrWeb Cureit) удаляют множество вирусов после проверки, но через некоторое время всё появляется опять.
Заранее спасибо.

Следуя инструкции собраны логи, но их не 3, как написано (AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log)- всего должно быть 3 лога), а 2.

[Info_bot]

Уважаемый(ая) Grayie, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\knst70e8.tmp');
 StopService('nytijoco');
 QuarantineFile('C:\Users\VS\AppData\Roaming\istartsurf\UninstallManager.exe', '');
 QuarantineFile('C:\Users\VS\local settings\application data\ExtensionInstaller_14\extinst.exe', '');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV14.06\569ad400-4bee-4f1b-b37a-564f5e948abc-3.exe', '');
 QuarantineFile('C:\Users\VS\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE', '');
 QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe', '');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV14.06\569ad400-4bee-4f1b-b37a-564f5e948abc-7.exe', '');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV14.06\569ad400-4bee-4f1b-b37a-564f5e948abc-1-7.exe', '');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV14.06\569ad400-4bee-4f1b-b37a-564f5e948abc-1-6.exe', '');
 QuarantineFile('C:\Users\VS\AppData\Local\SmartWeb\SmartWebHelper.exe', '');
 QuarantineFileF('C:\Program Files (x86)\Crossbrowse\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
 QuarantineFileF('C:\Program Files (x86)\AnyProtectEx', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
 QuarantineFileF('C:\Users\VS\AppData\Local\SmartWeb\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
 QuarantineFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe', '');
 QuarantineFileF('C:\Users\VS\AppData\Roaming\istartsurf', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
 QuarantineFileF('C:\Program Files (x86)\CinemaPlus-4.5vV14.06', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
 QuarantineFileF('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\', '*.exe, *.dll, *tmp*, *.sys, *.bat, *.vbs', true, '', 0, 0);
 QuarantineFile('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\knst70e8.tmp', '');
 QuarantineFile('C:\Users\VS\AppData\Local\Temp\install2199362.exe', '');
 QuarantineFile('C:\Users\VS\AppData\Roaming\CoGsSi4bu2gDlFbfvVqv.exe', '');
 DeleteFile('C:\Users\VS\local settings\application data\ExtensionInstaller_14\extinst.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\ExtensionInstallerX_14', '64');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer', '64');
 DeleteFile('C:\Windows\system32\Tasks\Uninstaller_SkipUac_VS', '64');
 DeleteFile('C:\Windows\system32\Tasks\{5D24FACB-4B47-4B6B-AD4E-55FC9DB44E0D}', '64');
 DeleteFile('C:\Users\VS\AppData\Roaming\istartsurf\UninstallManager.exe', '32');
 DeleteFile('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\knst70e8.tmp', '32');
 DeleteFile('C:\Users\VS\AppData\Local\Temp\install2199362.exe', '32');
 DeleteFile('C:\Users\VS\AppData\Roaming\CoGsSi4bu2gDlFbfvVqv.exe', '32');
 DeleteService('nytijoco');
 DeleteFileMask('C:\Users\VS\AppData\Roaming\istartsurf', '*', true);
 DeleteFileMask('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\', '*', true);
 DeleteDirectory('C:\Users\VS\AppData\Roaming\istartsurf');
 DeleteDirectory('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'GoforFilesInstaller Starter');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

[Grayie]

Сделано.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\VS\AppData\Local\Temp\avgnt.exe\Avira.OE.ExtApi.dll', '');
 QuarantineFile('C:\Users\VS\AppData\Roaming\CoGsSi4bu2gDlFbfvVqv.exe', '');
 DeleteFile('C:\Users\VS\AppData\Local\Temp\avgnt.exe\Avira.OE.ExtApi.dll', '32');
 DeleteFile('C:\Users\VS\AppData\Roaming\CoGsSi4bu2gDlFbfvVqv.exe', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Grayie]

Сделано. В момент проверки вылезала Avira с сообщением, что в AppData замечен SmartWebInstaller.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\knst70e8.tmp');
 SetServiceStart('nytijoco', 4);
 StopService('nytijoco');
 QuarantineFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe', '');
 QuarantineFile('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\knst70e8.tmp', '');
 QuarantineFile('C:\Users\VS\AppData\Local\Temp\install2199362.exe', '');
 QuarantineFile('C:\Users\VS\AppData\Roaming\CoGsSi4bu2gDlFbfvVqv.exe', '');
 DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe', '32');
 DeleteFile('c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\knst70e8.tmp', '32');
 DeleteFile('C:\Users\VS\AppData\Local\Temp\install2199362.exe', '32');
 DeleteFile('C:\Users\VS\AppData\Roaming\CoGsSi4bu2gDlFbfvVqv.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "CoGsSi4bu2gDlFbfvVqv.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "CoGsSi4bu2gDlFbfvVqv" /F', 0, 15000, true);
 DeleteService('nytijoco');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'GoforFilesInstaller Starter');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.


Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

+ сделайте свежий лог AdwCleaner.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\vs\appdata\roaming\63772d20-1434182941-11d5-b78e-001bfc5a2d40\v6a18.tmp - Trojan-Downloader.Win32.Genome.teth ( BitDefender: Gen:Variant.Symmi.43104, AVAST4: Win32:Adware-gen [Adw] )