Удаление AnyProtect, GamesDesktop, SmartWeb, CrossBrowser и прочие [Trojan-Downloader.Win32.Genome.sthb ]

Добрый вечер! Вчера установил предварительно загруженную из Интернета программу - GoogleBooksDownloader, но, как это часто бывает, мой компьютер "бонусом" получил не совсем нужный, а порой и вредоносный софт, такой как антивирус Китайского происхождения Baidu, AnyProtect, Crossbrowser, SmartWeb, Rising Software и прочее. Пробовал удалить стандартными возможностями Windows, чистил реестр, проверял дважды компьютер DrWeb Cureit, и из этого барахла удалось истребить только Baidu, а все осатльное (AnyProtect, GamesDesktop, SmartWeb) живее всех живых. Также использовал следующий софт - Your Uninstaller!, adwcleaner_4.206 - это все помогало лишь до следующего включения компьютера. Очень прошу помощи. Логи прикрепил.

Уважаемый(ая) [B]Arba[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.


[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Добрый вечер.
Ссылка, полученная после загрузки карантина - [url]http://virusinfo.info/virusdetector/report.php?md5=E851B2E5F34B138C74E18DCAC2195661[/url]
Файл-отчет прикрепил.

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Добрый день.
Высылаю файл-отчет.

Сделайте свежий лог [B]AdwCleaner (by Xplode)[/B] и отпишитесь, что с проблемой?

Добрый вечер.
Проблема осталась. Устанавливаются приложения SmartWeb, GamesDesktop и др.
Файл-лог прикрепил.

загрузитесь в безопасный режим и из него

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

+ [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

Загрузился в безопасном режиме. Отсканировал. Почистил. Перезагрузился.
Затем сделал полный образ автозапуска. Файлы прикрепил.

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Удалить[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Java(TM) 6 Update 16 - деинсталируйте, это устаревшая (уязвимая версия).

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] из безопасного режима
[CODE];uVS v3.85.25 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
BREG
dirzooex %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF\KNSSD0.TMP
bl DB5EB764576BA36FE647A946CCDFCF15 218112
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF\KNSSD0.TMP
delall %Sys32%\DRIVERS\BDSANDBOX.SYS
deldir %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\10.9.16350.226
deldir %SystemDrive%\PROGRAM FILES\TENCENT\
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР.ARBA\APPLICATION DATA\FFFFFFFF-1434793370-FFFF-FFFF-FFFFFFFFFFFF\
czoo
restart[/CODE]

пришлите карантин uVS.

что с проблемой?

Добрый день.
adwcleaner.exe удалил.
Java(TM) 6 Update 16 удалил.
Скрипт в безопасном режиме выполнил.
Проблема осталась. Устанавливает новые приложения. В диспетчере задач много посторонних процессов.
Карантин, к сожалению, не могу прикерпить. Превышен предел для форума!

[quote="Arba;1286297"]Карантин, к сожалению, не могу прикерпить. Превышен предел для форума![/quote]
потому что карантин к сообщению не надо прикреплять :)
[QUOTE][b] [/b] Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем [color=Red]virus[/color] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)[/QUOTE]

+ Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url]. Установите (во время установки откажитесь от использования [B]бесплатного тестового периода[/B]), обновите базы ([U][COLOR="blue"]во время обновления откажитесь от загрузки и установки новой версии[/COLOR][/U]), выберите "[B]Perform Full Scan[/B]" ("[B]Полное сканирование[/B]"), нажмите "[B]Scan[/B]" ("[B]Сканирование[/B]"), после сканирования - [B]Ok - Show Results[/B] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]MBAM-log-2014-10-14 (12-18-10).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B][/URL].

Извиняюсь за невнимательность.
Карантин выслал по ссылке вверху темы.
Malwarebytes' Anti-Malware скачал, обновил, компьютер полностью проверил. Ничего самостоятельно не удалял.
Лог не открылся. Самостоятельно его нашел, но он сохранился в формате html. Перекопировал содержимое в созданный файл .txt.

[quote="Arba;1286353"]но он сохранился в формате html.[/quote]
это потому что опять невнимательны :(.
1) Не Html а XML и оттого что вы его скопировали в TXT более читабельным он не стал.
2)
[quote="regist;1286307"](во время обновления откажитесь от загрузки и установки новой версии)[/quote]
даже синим выделено, чтобы более заметно было.
Удалите установленную у вас версию и переделайте строго по инструкции.

Сделал все, как указано. Высылаю лог.
Единственное, нашел всего 12 объектов, предыдущий раз ,когда проводил сканирование программой Malwarebytes' Anti-Malware, то она нашла более 900 подозрительных объектов!

Папку [CODE]C:\Documents and Settings\Администратор.arba\Рабочий стол\avz4\Infected\[/CODE] удалите вручную.


[quote="Arba;1286520"]Единственное, нашел всего 12 объектов, предыдущий раз ,когда проводил сканирование программой Malwarebytes' Anti-Malware, то она нашла более 900 подозрительных объектов![/quote]
попробуйте тогда обновить до новой версии и сделать лог новой. Только потом когда закончит сканирование сохраните файл в текстовый формат. Подробней тут [url]http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657[/url]

Добрый день. Папку удалил.
Лог с прошлой проверки (новой версией Malwarebytes' Anti-Malware) сохранял вручную в txt формате, но прикрепить сюда не могу, так как у меня уже превышен лимит по объему прикрепляемых файлов. Проблема до сих пор существует. Очень много посторонних процессов грузится в диспетчере задач.
Как поступить с прикреплением файлов?

Лог с прошлой проверки не годится. И от того, что вы скопирует (по факту просто переименуете расширения файла с .xml на .txt) формат лога не изменится.
[URL="http://virusinfo.info/showthread.php?t=130567"]Как удалить вложения?[/URL]

Немного не поняли, я не переименовывал, а просто результаты проверки скопировал в блокнот. Посмотрите пожалуйста прикрепленный файл, это то, что Вам нужно?

1) Выбросьте мусор из корзины.

2) Удалите в MBAM всё кроме
[CODE]Данные реестра: 3
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|AntiVirusDisableNotify, 1, Хорошо: (0), Плохо: (1),,[ae7310aed3b73006358bec5b828457a9]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|FirewallDisableNotify, 1, Хорошо: (0), Плохо: (1),,[958c3f7fc2c8fa3c4081dc6bad593ac6]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UpdatesDisableNotify, 1, Хорошо: (0), Плохо: (1),,[db46e3db8505cd698939eb5c9670ee12][/CODE]

что с проблемой?

На первый взгляд проблема исчезла. Программы не устанавливаются, процессы посторонние не запускаются.
Большое спасибо!!!

MBAM деинсталируйте.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор.arba\local settings\application data\smartweb\smartwebapp.exe - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\documents and settings\администратор.arba\local settings\application data\smartweb\smartwebhelper.exe - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\documents and settings\администратор.arba\local settings\application data\smartweb\swhk.dll - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\program files\gmsd_ru_005010008\gmsd_ru_005010008.exe - [B]not-a-virus:AdWare.Win32.Eorezo.mjk[/B] ( BitDefender: Adware.Eorezo.BZ )[*] \vnsf524.tmp._bae56689f7d6cf85c61fd9a2d711d0a594837272 - [B]Trojan-Downloader.Win32.Genome.sthb[/B][/LIST][/LIST]