найден Trojan Stantinko1 не удаляется DR.web CureIT [UDS:DangerousObject.Multi.Generic ]

[Мария Грушева]

Также при загрузке системы не получается войти сразу. только после загрузки через "безопасный режим"

[Info_bot]

Уважаемый(ая) Мария Грушева, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Запустите HijackThis из папки Autologger и пофиксите в HijackThis (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O17 - HKLM\System\CSS\Services\Tcpip\..\{41636ECD-C2D9-46E5-ADA2-28272204A9C0}: NameServer = 91.109.206.194
O17 - HKLM\System\CSS\Services\Tcpip\..\{41636ECD-C2D9-46E5-ADA2-28272204A9C0}: NameServer = 98.158.96.96
O17 - HKLM\System\CSS\Services\Tcpip\..\{E5D743E2-1590-4794-A47D-D2E7C3FBE047}: NameServer = 91.109.206.194
O17 - HKLM\System\CSS\Services\Tcpip\..\{E5D743E2-1590-4794-A47D-D2E7C3FBE047}: NameServer = 98.158.96.96
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{41636ECD-C2D9-46E5-ADA2-28272204A9C0}: NameServer = 91.109.206.194
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{41636ECD-C2D9-46E5-ADA2-28272204A9C0}: NameServer = 98.158.96.96
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{E5D743E2-1590-4794-A47D-D2E7C3FBE047}: NameServer = 91.109.206.194
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{E5D743E2-1590-4794-A47D-D2E7C3FBE047}: NameServer = 98.158.96.96
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{41636ECD-C2D9-46E5-ADA2-28272204A9C0}: NameServer = 91.109.206.194
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{41636ECD-C2D9-46E5-ADA2-28272204A9C0}: NameServer = 98.158.96.96
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{E5D743E2-1590-4794-A47D-D2E7C3FBE047}: NameServer = 91.109.206.194
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{E5D743E2-1590-4794-A47D-D2E7C3FBE047}: NameServer = 98.158.96.96

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Windows\TEMP\clearcache.dll', '');
 QuarantineFile('C:\ProgramData\uBar\uBar\Launcher.exe', '');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
 QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
 DeleteFile('C:\ProgramData\uBar\uBar\Launcher.exe', '32');
 DeleteFile('C:\Windows\System32\ihctrl32.dll', '32');
 DeleteFile('C:\Windows\System32\wsaudio.dll', '32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\Users\Корректир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk', '32');
 DeleteFileMask('c:\programdata\ubar', '*', true);
 DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
 DeleteDirectory('c:\programdata\ubar');
 DeleteDirectory('c:\program files (x86)\kinoroom browser');
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
 ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'uBar');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>> [h] "C:\Users\Корректир\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk"         -> ["C:\Program Files (x86)\Internet Explorer\iexplore.exe"  =>> -extoff]
>>> [h] "C:\Users\Корректир\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer (64-bit).lnk"        -> ["C:\Program Files (x86)\Internet Explorer\iexplore.exe"]
>>> [h] "C:\Users\Корректир\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk"       -> ["C:\Program Files (x86)\Internet Explorer\iexplore.exe"]
>>> [h] "C:\Users\Гость\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk"  -> ["C:\Program Files (x86)\Google\Chrome\Application\chrome.exe"]
>>> [MASK] "C:\Users\Maria\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт 2inf.net.ico"     (32038 байт) (MD5: F45E88EB759D99DBFC282F419BF67C97)

Отчёт о работе прикрепите.

Сделайте новый лог такой версией Autologger.

[Мария Грушева]

Отчет прикрепила

- - - - -Добавлено - - - - -

Лог сделала и прикрепила

[Vvvyg]

Проблема решена?

Сделайте лог Malwarebytes AdwCleaner.

[Мария Грушева]

Не решена Касперский находит еще что-то

- - - - -Добавлено - - - - -

Сейчас сделаю то, что Вы сказали

- - - - -Добавлено - - - - -

Стал жестко тупить компьютер и интернет, потом завис проводник, пришлось Reset перезагружать. Не загружался, самопроизвольное отключение, вошла через "Безопасный режим"

- - - - -Добавлено - - - - -

Интернет очень тупит, такого раньше не было

- - - - -Добавлено - - - - -

Каспер нашел Trojan- DownLoader.JS.Agent.npe

[Vvvyg]

Каспер нашел Trojan- DownLoader.JS.Agent.npe

Удалил?

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
Сообщите, что с проблемами.

[Мария Грушева]

Прикрепила, сканирую теперь Касперским

- - - - -Добавлено - - - - -

Проверка угроз не обнаружила, думаю что все наладили. Спасибо!

[Vvvyg]

Запустите AdwCleaner и нажмите Файл (File) -> Деинсталлировать (Uninstall).

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\ihctrl32.dll - UDS:DangerousObject.Multi.Generic ( AVAST4: Win32:Malware-gen )