Вирус MEM:Trojan.Win32.Adject.Gen

[Ariek]

Здраствуйте!

Столкнулся с данной проблемой днем.

Сделал следующие действия:

1) Проскаировал компьютер с помощью Kaspersky Free (обнаружил вирус, но не смог удалить);

2) Запустил AutoLogger-test.exe

3) Прикрепил логи.

Прошу прощение вирус называется  MEM:Trojan.Win32.Stantinko.Gen

CollectionLog-2018.10.12-17.27.zip

Изменено 12 октября, 2018 пользователем Ariek

[SQ]

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\System32\ihctrl32.dll','');
 QuarantineFile('C:\Windows\TEMP\65be719d\libcr64.dll','');
 QuarantineFile('C:\Windows\TEMP\65be719d\F3459438-75D8-42E0-AFE9-691D657FEF53.dll','');
 DeleteFile('C:\Windows\System32\ihctrl32.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters','ServiceDll','x32'); 
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

quarantine.zip из папки AVZ загрузите этот архив через данную форму

 

- Подготовьте лог AdwCleaner и приложите его в теме.

[Ariek]

Спасибо за быстрый ответ!

 

AdwCleanerS00.txt

[SQ]

 

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Ariek]

Все удалил,спасибо)

 

 

AdwCleanerC01.txt

AdwCleanerS01.txt

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

  

• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Ariek]

Выполнил.

 

 

FRST.txt

Addition.txt

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  FF Extension: (No Name) - C:\Users\Булат\AppData\Roaming\Mozilla\Firefox\Profiles\9xh54ips.default\extensions\{3B4DE07A-DE43-4DBC-873F-05835FF67DCE} [not found]
  FF Plugin: @Apple.com/iTunes,version=1.0 -> D:\programs\iTunes\Mozilla Plugins\npitunes.dll [No File]
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  CHR HKLM\...\Chrome\Extension: [bgbgnhmfbcifpkjofoojfplmfkmaiadn] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [bpgangmffjcofiknibcmfjionicohfgj] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [nbifdkmdojgmpmopdebnjcobekgdoncn] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
  S2 ihctrl32; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
  S2 wsaudio; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
  File: C:\Windows\system32\netrtwlanu.cat
  File: C:\Windows\system32\rtlCoInst.dat
  AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [282]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A [282]
  Reboot:
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Ariek]

Выполнил.

Fixlog.txt

[SQ]

Сообщите, что с проблемой?

[Ariek]

Проблем не обнаружено! Сасибо большое!

[SQ]

В завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.

Компьютер перезагрузится.

 

Остальные утилиты лечения и папки можно просто удалить.

[SQ]

Пришел результат карантина.

 

ihctrl32.dll - Trojan-Downloader.Win32.Stantinko.ezna

Для этих файлов было добавлено детектирование.

libcr64.dll - Trojan.Win32.Miner.uzjh
F3459438-75D8-42E0-AFE9-691D657FEF53.dll- Trojan.Win32.Miner.uzji