Вирус mem:trojan.win32.stantinko.gen [UDS:DangerousObject.Multi.Generic]

[Vla-luka]

Касперский нашел вирус, предлагает лечить с перезагрузкой, не помогает, каждый раз после перезагрузки одна и таже история с нахождением в memory mem:trojan.win32.stantinko.gen

[Info_bot]

Уважаемый(ая) Vla-luka, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O4 - HKCU\..\Run: [1TVTXWP5BZ] = C:\Program Files (x86)\DPower\5LEE5KIWJI.exe  (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{18AF6666-9AEA-402B-8A2C-ED906801B8DF}: [NameServer] = 58.64.152.158
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{18AF6666-9AEA-402B-8A2C-ED906801B8DF}: [NameServer] = 58.64.152.158
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{27E4FF6C-6BFF-4A75-B91F-5A8BF5C9E88D}: [NameServer] = 58.64.152.158

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Program Files (x86)\Mail.Ru\Agent\magent.exe', '');
 QuarantineFile('C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\html5loc.dll', '');
 QuarantineFile('C:\Users\toshiba\AppData\Roaming\Adobe\Manager.exe', '');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
 QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
 QuarantineFile('C:\Windows\TEMP\clearcache.dll', '');
 DeleteFile('C:\Program Files (x86)\Mail.Ru\Agent\magent.exe', '64');
 DeleteFile('C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\html5loc.dll', '');
 DeleteFile('C:\Users\toshiba\AppData\Roaming\Adobe\Manager.exe', '');
 DeleteFile('C:\Windows\system32\ihctrl32.dll', '');
 DeleteFile('C:\Windows\System32\ihctrl32.dll', '32');
 DeleteFile('C:\Windows\system32\wsaudio.dll', '');
 DeleteFile('C:\Windows\System32\wsaudio.dll', '32');
 DeleteFile('C:\Windows\TEMP\clearcache.dll', '');
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Multimedia\Manager" /F', 0, 15000, true);
 DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
 DeleteFileMask('c:\programdata\altergeo', '*', true);
 DeleteDirectory('c:\program files (x86)\mail.ru');
 DeleteDirectory('c:\programdata\altergeo');
 DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
 DelBHO('{9BFBA68E-E21B-458E-AE12-FE85E903D2C0}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'Application Restart #2');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MAgent', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>>  "C:\Users\toshiba\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\4b224cdf27c6fa30\Google Chrome.lnk"   -> ["C:\Program Files (x86)\Google\Chrome\Application\chrome.exe"  =>> --profile-directory=rerrerrynoqerspretach]

Отчёт о работе прикрепите.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Vla-luka]

отчеты о проверках

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKU\S-1-5-18\...\Run: [AlterGeoUpdater] => C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\html5locsvc.exe
Tcpip\..\Interfaces\{27E4FF6C-6BFF-4A75-B91F-5A8BF5C9E88D}: [NameServer] 58.64.152.158
FF Plugin HKU\.DEFAULT: @altergeo.ru/Html5loc -> C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\npHtml5loc.dll [No File]
OPR Extension: (The Safe Surfing) - C:\Users\toshiba\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke [2016-09-19]
OPR Extension: (Teddy Protection Lite) - C:\Users\toshiba\AppData\Roaming\Opera Software\Opera Stable\Extensions\nojkagbjbhgnilkopgljfkhddmdjcjfn [2017-02-07]
S2 ihctrl32; C:\Windows\System32\svchost.exe [27648 2011-03-01] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\Windows\SysWOW64\svchost.exe [21504 2011-03-01] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\System32\svchost.exe [27648 2011-03-01] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\SysWOW64\svchost.exe [21504 2011-03-01] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
2016-08-16 21:21 - 2016-08-16 21:21 - 007118336 _____ () C:\Users\toshiba\AppData\Roaming\agent.dat
2016-08-16 21:21 - 2016-08-16 21:21 - 000070704 _____ () C:\Users\toshiba\AppData\Roaming\Config.xml
2016-08-16 21:19 - 2016-08-16 21:20 - 000015408 _____ () C:\Users\toshiba\AppData\Roaming\InstallationConfiguration.xml
2016-08-16 21:19 - 2016-08-16 21:19 - 000138240 _____ () C:\Users\toshiba\AppData\Roaming\Installer.dat
2016-08-16 21:21 - 2016-08-16 21:21 - 000018432 _____ () C:\Users\toshiba\AppData\Roaming\Main.dat
2016-08-16 21:21 - 2016-08-16 21:21 - 000005568 _____ () C:\Users\toshiba\AppData\Roaming\md.xml
2016-08-16 21:21 - 2016-08-16 21:21 - 000126464 _____ () C:\Users\toshiba\AppData\Roaming\noah.dat
2016-08-16 21:21 - 2016-08-16 21:21 - 001901035 _____ () C:\Users\toshiba\AppData\Roaming\Physsing.tst
ContextMenuHandlers1-x32: [MRACMenu] -> {B495CAFE-D53F-408B-A081-0814BE80EB3E} => C:\Program Files (x86)\Mail.Ru\Agent\Mra\dll\mramenu.dll -> No File
Hosts:
MSCONFIG\startupreg: MAgent => 
FirewallRules: [TCP Query User{B5665A2E-378A-465C-8D5D-234117E64C90}C:\program files (x86)\mail.ru\agent\magent.exe] => (Allow) C:\program files (x86)\mail.ru\agent\magent.exe
FirewallRules: [UDP Query User{0A4B8FA8-1CB5-44A9-8924-6EE6AB3631A2}C:\program files (x86)\mail.ru\agent\magent.exe] => (Allow) C:\program files (x86)\mail.ru\agent\magent.exe
FirewallRules: [{E9D9D050-376A-46B8-A17A-84EF82F264F7}] => (Allow) C:\Users\toshiba\AppData\Local\Amigo\Application\amigo.exe
FirewallRules: [{87612214-B48A-4F74-9B78-49C24C30B821}] => (Allow) C:\Users\toshiba\AppData\Local\Baidu\BaiduClient\2.5.19.2540\Baidu.exe
FirewallRules: [{623C5200-DE49-4115-A38A-2AA0DFA88CF6}] => (Allow) C:\Users\toshiba\AppData\Local\Baidu\BaiduClient\2.5.19.2540\Baidu.exe
FirewallRules: [{B46416B7-263F-49AC-981A-55D61A71F647}] => (Allow) C:\Users\toshiba\AppData\Local\Baidu\BaiduClient\2.5.19.2540\BaiduUpdate.exe
FirewallRules: [{1CF6C6A8-244E-42DF-9E67-8CCB11B75FB2}] => (Allow) C:\Users\toshiba\AppData\Local\Baidu\BaiduClient\2.5.19.2540\BaiduUpdate.exe
FirewallRules: [{3A3CF184-4F8F-4046-A286-0841A9366FDD}] => (Allow) C:\Users\toshiba\AppData\Local\Baidu\BaiduClient\2.5.19.2540\BaiduBugRpt.exe
FirewallRules: [{6D24E7D1-050C-44BE-B860-11C04D9D6F0C}] => (Allow) C:\Users\toshiba\AppData\Local\Baidu\BaiduClient\2.5.19.2540\BaiduBugRpt.exe
FirewallRules: [{40F6FE55-87B2-408E-836D-C342FBCE633F}] => (Allow) C:\Users\toshiba\AppData\Local\Temp\JQKO0O5MBS\chromedriver.exe
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A3A45AF7-0CF1-4B74-84F6-AEC25657EC97}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{192C5AC9-F693-4BEF-A98F-35EAAD534D57}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{65C64E3D-539F-4B81-993B-364C6169F8F5}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{D492942E-9368-48D9-BB8B-68E8E4CE2D43}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\0eb579101b0eef8aeeccf7692c6566de" /f /reg:32
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры,
Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Настоятельно рекомендую создать новый профиль в Chrome и работать в нём, текущий с именем rerrerrynoqerspretach явно создан вредоносом. Или, хотя бы, удалить все расширения и очистить кеш и cookie.

Сделайте лог Malwarebytes AdwCleaner.

[Vla-luka]

новые логи

- - - - -Добавлено - - - - -

Прошу прощения предыдущий лог от Malwarebytes AdwCleaner был выполнен с Касперским, поэтому замена

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

[Vla-luka]

Последние логи, вроде проблем больше не наблюдается. Если это все, огромное спасибо за помощь

[Vvvyg]

Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\wsaudio.dll - UDS:DangerousObject.Multi.Generic ( AVAST4: Win32:Malware-gen )