KIS обнаруживает, но не может справиться с MEM:Trojan.Win32.Stantinko.gen

[Alex58]

Здравствуйте!
В последние несколько дней Касперский стал обнаруживать MEM:Trojan.Win32.Stankinko.gen
Лечение вроде бы проходит, но затем сообщение о вирусе появляется снова.
У меня на диске c: был архив visio.zip. Несколько дней назад я его перенес на выносной винчестер. После этого, как мне кажется, начались проблемы. Касперский что-то находил в этом архиве. Архив я удалил, но проблема осталась.
Надеюсь на Вашу помощь.
Спасибо

[Info_bot]

Уважаемый(ая) Alex58, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Windows\System32\wsaudio.dll','');
 DeleteFile('C:\Windows\System32\wsaudio.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wsaudio\Parameters','ServiceDll');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

O2 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O2-32 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O2-32 - HKLM\..\BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - HKCU\..\Run: [MailRuUpdater] = C:\Users\Alex\AppData\Local\Mail.Ru\MailRuUpdater.exe

Сделайте повторные логи по правилам

[Alex58]

Я подписался в Помогите+. Какие мои последующие действия?

[mike 1]

Я же написал что нужно сделать выше.

[Alex58]

Не могу в АВЗ вставить код

Разобрался...

Все Вам отправил

[mike 1]

Не вижу новых логов.

[Alex58]

Отправил через кнопку ПРИСЛАТЬ ЗАПРОШЕННЫЙ КАРАНТИН
Или как-то надо сделать по-другому?

- - - - -Добавлено - - - - -

Новые логи

- - - - -Добавлено - - - - -

Еще что-то

[mike 1]

Отправил через кнопку ПРИСЛАТЬ ЗАПРОШЕННЫЙ КАРАНТИН

Зачем засорять систему карантинов логами? Я об этом просил? Торопиться не нужно, а нужно внимательно читать что Вам пишут.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Alex58]

Готово

[mike 1]

Деинсталлируйте [email protected], Служба автоматического обновления программ

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM-x32\...\Run: [] => [X]
   HKU\S-1-5-21-2241742341-2029359901-3591822804-1000\...\Run: [MailRuUpdater] => C:\Users\Alex\AppData\Local\Mail.Ru\MailRuUpdater.exe [3477176 2018-05-14] (Mail.Ru) <==== ATTENTION
   GroupPolicy: Restriction ? <==== ATTENTION
   GroupPolicy\User: Restriction ? <==== ATTENTION
   BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
   BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
   BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
   CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\bgknpfancpeamejmcooedljjnaddldhg [2017-01-14]
   CHR Extension: (Ultimate Discounter) - C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2017-01-11]
   CHR Extension: (Стартовая — Яндекс) - C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\cpegcopcfajiiibidlaelhjjblpefbjk [2017-06-20]
   CHR Extension: (No Name) - C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodbbdjhdd [2014-04-27] [UpdateUrl: hxxp://crx.binupdate.mail.ru/jaocgokledfmfebefgbeokdodbbdjhdd/updates.xml] <==== ATTENTION
   R2 Guard.Mail.ru; C:\Program Files (x86)\Mail.Ru\Guard\GuardMailRu.exe [5249752 2016-10-30] () <==== ATTENTION
   S2 ihctrl32; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
   S2 ihctrl32; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
   R2 mrupdsrv; C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe [1314008 2017-08-11] (Mail.Ru) <==== ATTENTION
   R2 Updater.Mail.Ru; C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe [3477176 2018-05-14] (Mail.Ru) <==== ATTENTION
   S2 wsaudio; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
   S2 wsaudio; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
   Task: {0E72B9F9-0F5C-4C1B-A335-FFBB2B427BF4} - System32\Tasks\{A8E882C8-1803-465B-A541-37E6DA62AFF6} => C:\Windows\system32\pcalua.exe -a C:\SWSetup\SP61410\Setup.exe -d C:\SWSetup\SP61410
   Task: {1528F57D-59F2-470C-AF14-26CFDC7CE16F} - System32\Tasks\{458D0B76-201D-4922-AD18-11CD30C844B8} => C:\Windows\system32\pcalua.exe -a C:\temp\sp61453.exe -d C:\temp <==== ATTENTION
   Task: {2CFDD43C-7554-4668-8ED4-985605AC8E54} - System32\Tasks\{67F07630-0746-432F-8BDE-B9B17A923122} => C:\Windows\system32\pcalua.exe -a G:\ins\WinDjView-1.0.1-Setup.exe -d G:\ins
   Task: {7F8C296A-4E8A-4050-8B50-9979DD05DF88} - System32\Tasks\{8275C49F-BB9A-4D38-8324-AD04427589F4} => C:\Windows\system32\pcalua.exe -a G:\Install\drivers\sp63213.exe -d G:\Install\drivers
   Task: {8F4CDBC5-8C42-48D4-A371-5940B81CDF5A} - \find-journal -> No File <==== ATTENTION
   Task: {9AB27BCB-763D-463F-B9DA-5151E94EBF73} - System32\Tasks\{313828A3-9F9C-4AF0-BD6B-F803552EE65B} => C:\Windows\system32\pcalua.exe -a C:\temp\sp61518.exe -d C:\temp <==== ATTENTION
   Task: {A0F2E423-24D7-44AB-9180-F2ED615982DD} - System32\Tasks\{7454B4F2-B88F-4C78-8EC1-E0869A86C5FD} => C:\Windows\system32\pcalua.exe -a C:\SWSetup\SP61453\Setup.exe -d C:\SWSetup\SP61453
   Task: {C25F6EE5-8576-4E14-A143-A3F8ED09B0FF} - System32\Tasks\MailRuUpdater => C:\Users\Alex\AppData\Local\Mail.Ru\MailRuUpdater.exe [2018-05-14] (Mail.Ru) <==== ATTENTION
   Task: {F62679C9-F45A-4017-98E0-FBE09C91A772} - System32\Tasks\{2EBA3F82-7012-42E0-8462-AE13FCEE6875} => C:\Windows\system32\pcalua.exe -a C:\temp\sp61411.exe -d C:\temp <==== ATTENTION

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Alex58]

Fixlog.txt

[mike 1]

C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\bgknpfancpeamejmcooedljjna ddldhg
C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhg llpapg
C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\cpegcopcfajiiibidlaelhjjbl pefbjk
C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodb bdjhdd

Удалите папки. Что с проблемой?

[Alex58]

Проблема исчезла.
Папки удалил.

Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены