trojan.win32.stantinko.gen [HEUR:Trojan.Win32.Generic]

[Иосиф78]

Доброго времени суток!
Kaspersky Total Security диагностирует trojan.win32.stantinko.gen . Несколько раз пытался его вылечить, но все равно при загрузке компьютера, антивирус находит его в системной памяти.
Сделал анализ.
Помогите, пожалуйста, избавиться от вируса.

Карантин тут - https://virusinfo.info/showthread.php?t=222329

[Info_bot]

Уважаемый(ая) Иосиф78, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Логи по правилам сделайте и прикрепите к сообщению.

[Иосиф78]

Добрый день. При скачивании программы сбора логов и запуске ее сообщение - "Скачайте новую версию автосборщика логов"

[thyrex]

Скачайте по этой ссылке и соберите логи

[Иосиф78]

Прикрепил!

[Vvvyg]

Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\rundll32.exe');
 QuarantineFile('C:\Windows\System32\d3dadapter.dll', '');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
 QuarantineFile('C:\Windows\System32\KBDMAI.dll', '');
 QuarantineFile('C:\Windows\TEMP\9r5wh7k\3C96BF23-4E89-4429-9C17-6BC464EA5D96.dll', '');
 QuarantineFile('C:\Windows\TEMP\9r5wh7k\LIBEAY32.dll', '');
 QuarantineFile('C:\Windows\TEMP\9r5wh7k\ssleay32.dll', '');
 DeleteFile('C:\Windows\System32\d3dadapter.dll', '32');
 DeleteFile('C:\Windows\System32\ihctrl32.dll', '32');
 DeleteFile('C:\Windows\System32\KBDMAI.dll', '32');
 DeleteFile('C:\Windows\TEMP\9r5wh7k\3C96BF23-4E89-4429-9C17-6BC464EA5D96.dll', '');
 DeleteFile('C:\Windows\TEMP\9r5wh7k\LIBEAY32.dll', '');
 DeleteFile('C:\Windows\TEMP\9r5wh7k\ssleay32.dll', '');
 DeleteFileMask('c:\windows\temp\9r5wh7k', '*', true);
 DeleteDirectory('c:\windows\temp\9r5wh7k');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\d3dadapter\Parameters', 'ServiceDll', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\kbdmai\Parameters', 'ServiceDll', 'x32');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Иосиф78]

Спасибо Вам!
Quarantine.zip получился 1376 кб и не загружается сюда.

[Vvvyg]

Загружаете по красной кнопке "Прислать запрошенный карантин" над над первым сообщением в теме?

[Иосиф78]

Загрузил!

[Vvvyg]

Продолжайте выполнять указания из сообщения #7.

[Иосиф78]

Спасибо, готово.

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKLM\...\Run: [] => [X]
CHR HKLM\...\Chrome\Extension: [hhjmihalfdochhinhfogciaafppfgpjj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [imkmhbbgjgkbkpajmnfeebdodfcelmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [mofcklffffgbdgnoipdokcclbhomkpie] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
S2 d3dadapter; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 kbdmai; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Windows -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
R2 wsaudio; C:\Windows\System32\wsaudio.dll [180736 2019-03-06] () [File not signed]
C:\Windows\System32\wsaudio.dll
NETSVC: KBDMAI -> no filepath.
NETSVC: d3dadapter -> no filepath.
2019-01-23 12:51 - 2019-01-23 12:51 - 000000000 _____ () C:\Users\1c\AppData\Local\{80D016B5-591A-45C8-8AD9-60000B7DBC85}
FirewallRules: [{BD2B41CA-0796-4AB6-A44F-9CD8DD9547E9}] => (Allow) C:\Users\stock\AppData\Roaming\uTorrent\uTorrent.exe No File
FirewallRules: [{3DADDA30-ABF3-44BC-9C62-75AD8C1BEE6A}] => (Allow) C:\Users\stock\AppData\Roaming\uTorrent\uTorrent.exe No File
FirewallRules: [{67622029-E08A-410C-9F09-3E5A80C65E34}] => (Allow) C:\Program Files\TeamViewer\TeamViewer.exe No File
FirewallRules: [{844CA8A7-B437-453B-87C6-3A98E5B05D4F}] => (Allow) C:\Program Files\TeamViewer\TeamViewer.exe No File
FirewallRules: [{D8388312-81C5-4A75-81BE-586E4FB83D8A}] => (Allow) C:\Program Files\TeamViewer\TeamViewer_Service.exe No File
FirewallRules: [{552B5C67-7909-4B8D-825E-1930A2EF6CE5}] => (Allow) C:\Program Files\TeamViewer\TeamViewer_Service.exe No File
FirewallRules: [{BE38A114-925F-4CBF-94E0-D1A2A8F8ADCA}] => (Allow) C:\Program Files\Kaspersky Lab\NetworkAgent\klnagwds.exe No File
FirewallRules: [{77F8C686-4E52-48AE-9D11-B22C9647D545}] => (Allow) C:\Program Files\Kaspersky Lab\NetworkAgent\klnagwds.exe No File
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[Иосиф78]

Сделал быструю проверку, пишет, все чисто.

Спасибо Вам огромное за помощь!

[Vvvyg]

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

[CyberHelper]

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

• =CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 3
• =CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 49
• =C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
  =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
  
  1. c:\windows\system32\ihctrl32.dll - HEUR:Trojan.Win32.Generic=
     ( BitDefender: Gen:Variant.Barys.7147, AVAST4: Win32:TrojanX-gen =
     [Trj] )