Вирус MEM:Trojan.Win32.Stantinko.gen

[alexokbm]

На ПК установлен KIS 2018 лечение не помогает, после перезагрузки обнаруживается опять. Провел проверку ПК, воспользовавшись одним из следующих продуктов: Kaspersky Virus Removal Tool 2015;Dr.Web CureIt!. не помогло.

CollectionLog-2018.06.09-18.10.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
 DeleteFile('C:\Windows\system32\wsaudio.dll', '');
 DeleteFile('C:\Windows\System32\wsaudio.dll', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O4 - HKCU\..\StartupApproved\Run: [GarenaPlus] (2015/04/06) = I:\Новая папка\Garena Plus\GarenaMessenger.exe -autolaunch (file missing)
O22 - Task: Garena+ Plugin Host Service - I:\Новая папка\Garena Plus\ggdllhost.exe "I:\Новая папка\Garena Plus\ggspawn.dll",rundll_entry (file missing)
O22 - Task: GoogleUpdateTaskMachineCore - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /c (file missing)
O22 - Task: GoogleUpdateTaskMachineUA - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (file missing)
O23 - Service R2: Windows Audio 5.1 Surround - (wsaudio) - C:\Windows\SysWow64\svchost.exe -k AudioDrv; "ServiceDll" = C:\Windows\System32\wsaudio.dll (file missing)

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
 

[alexokbm]

Проделал все процедуры. Отчет https://virusinfo.info/virusdetector/report.php?md5=B6E5FBAD55F0A3D9334D92DDC0F3244A

Номер KLAN-8212460024. Результаты Autologger во вложении.

 

Ответ от newvirus@kaspersky.com

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
wsaudio.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700
http://www.kaspersky.com https://www.securelist.com"

CollectionLog-2018.06.11-22.39.zip

[regist]

Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,      

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание.
   Если у вас установлены архиваторы
   WinRAR
   или
   7-Zip
   , то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание
   , что утилиты необходимо запускать от имени Администратора. По умолчанию в
   Windows XP
   так и есть. В
   Windows Vista
   и
   Windows 7
   администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать
   Запуск от имени Администратора
   , при необходимости укажите пароль администратора и нажмите
   "Да"
   .

   
   

 

+ остатки Avast удалите https://safezone.cc:443/threads/chistka-sistemy-posle-nekorrektnogo-udalenija-antivirusa.58/

[alexokbm]

Добрый день. Спасибо за помощь.  AutorunsVTchecker запустил, он отработал, но логов никаких не оставил. Лог после запуска Universal Virus Sniffer прикрепил во вложении.

MYCOMP_2018-06-12_12-28-09.7z

[regist]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v4.0.12 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.3
   v400c
   BREG
   ;---------command-block---------
   delref J:\SETUP.EXE
   delref %SystemDrive%\USERS\USER\\APPDATA\LOCAL\YANDEX\YAPIN\YANDEXWORKING.EXE
   delref J:\HISUITEDOWNLOADER.EXE
   delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 15.0.1\X64\MCOUAS.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 16.0.0\X64\MCOUAS.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 16.0.1\X64\MCOUAS.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALER_SKIPUAC.EXE
   delref HTTPS:\/\/MAIL.RU\/CNT\/11956636?RCIGUC__PARAM__
   delref I:\LENOVO_SUITE.EXE
   delref {83B333F7-35F0-42AF-A881-90FE7DCFD7A8}\[CLSID]
   delref {56A58823-AE99-11D5-B90B-0050DACD1F75}\[CLSID]
   delref {C442AC41-9200-4770-8CC0-7CDB4F245C55}\[CLSID]
   delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DABLPCIKJMHAMJANPIBKCCDMPOEKJIGJA%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBHJCGOMKANPKPBLOKEBECKNHAHGKCMOO%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DICANJJKADCEEBMHANPEKKOFDHCLNOIJL%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTP://GO.MAIL.RU/DISTIB/EP/?Q={SEARCHTERMS}&PRODUCT_ID=%7B9B968B09-CDA0-4689-8FA0-B7E643E97D30%7D&GP=811041
   delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
   apply
   
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
   
   Если архив отсутствует, то
   заархивруйте папку ZOO
   с паролем
   virus
   .

7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

что с проблемой?
 

[alexokbm]

Добрый вечер! Скрип выполнил, комп перезагрузился, но не появилось ни архива, ни папки с началом ZOO,есть только лог файл (см. приложение). Проблема осталась, KIS находит вирус.

2018-06-12_20-51-38_log.txt

[regist]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[alexokbm]

Добрый день! После того как нажал кнопку лечить в KIS проблема с вирусом ушла, KIS его больше не находит. Надо проделывать процедуру с Farbar Recovery Scan Tool или нет? 

[regist]

@alexokbm, для надёжности лучше сделайте.

[alexokbm]

Доброго вечера. Результаты в приложении.

Addition.txt

FRST.txt

[regist]

1) Остатки Avast удалите https://safezone.cc:443/threads/chistka-sistemy-posle-nekorrektnogo-udalenija-antivirusa.58/

 

2) Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Start::
CreateRestorePoint:
HKLM\...\StartupApproved\Run: => "AvastUI.exe"
HKU\S-1-5-21-2159777746-2834110338-3891830498-1001\...\MountPoints2: {265c3342-61ee-11e6-84d8-002215971568} - "J:\Lenovo_Suite.exe"
HKU\S-1-5-21-2159777746-2834110338-3891830498-1001\...\MountPoints2: {461365f0-1558-11e7-860a-002215971568} - "J:\Lenovo_Suite.exe"
HKU\S-1-5-21-2159777746-2834110338-3891830498-1001\...\MountPoints2: {cdb602d6-af4a-11e6-854f-002215971568} - "J:\Lenovo_Suite.exe"
HKU\S-1-5-21-2159777746-2834110338-3891830498-1001\...\MountPoints2: {df5bda7d-cc4a-11e7-8708-002215971568} - "J:\Lenovo_Suite.exe"
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2017-01-12] [Legacy]
FF Extension: (Поиск@Mail.Ru) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2017-01-12] [Legacy]
FF Extension: (Советник Яндекс.Маркета) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\sovetnik@metabar.ru.xpi [2018-05-05]
FF Plugin-x32: @t.garena.com/garenatalk -> I:\Новая папка\Garena Plus\bbtalk\plugins\npPlugin\npGarenaTalkPlugin.dll [No File]
S2 ihctrl32; C:\Windows\System32\svchost.exe [38792 2014-10-29] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\Windows\SysWOW64\svchost.exe [33088 2014-10-29] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\System32\svchost.exe [38792 2014-10-29] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\SysWOW64\svchost.exe [33088 2014-10-29] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
U3 aswbdisk; no ImagePath
2018-06-06 17:37 - 2015-03-07 20:32 - 000000000 ____D C:\ProgramData\ProductData
EmptyTemp:
Reboot:
End::

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[alexokbm]

Добрый день. Процедуру по удалению остатков Avast  делал прошлый раз. Остальное в приложении.

Fixlog.txt

[regist]

папку C:\FRST удалите.

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

[alexokbm]

Огромное спасибо за оказанную квалифицированную помощь!!! Все рекомендуемые процедуры провел, все хорошо, полет нормальный.