[решено] klpclst.dat

[lol34rus]

Здравствуйте!

Недавно столкнулся с этим вирусом klpclst.dat.

Он лежит в диске C:\ в папке ( lTfyTmneTr9KTvE) в нем находятся файл klpclst.dat

когда удаляю создается другая папка с таким же непонятном названием

Других проявлений вируса пока не заметно, но на диске C:\ есть странный файл plg.txt когда я его удаляю, он после каждого входа в систему снова появляется.

Логи прилагаю.

Заранее спасибо за помощь.

[iskander-k]

Лог RSIT сделайте.
и



• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)

O20 - AppInit_DLLs: C:\Windows\system32\nvinit.dll


• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\svchost.com','');
DeleteFile('C:\Windows\svchost.com');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.


После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте через форму (http://www.oszone.net/virusnet/)

• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://data.mbamupdates.com/tools/mbam-rules.exe).

[lol34rus]

Программа RSIT до конца не может закончить процесс выдает ошибку Line -1: Error: Variable used without being declared.
но половину он сделал, Лог я прикрепил.

[iskander-k]

• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)

O4 - Startup: AdobeUpdate.lnk = C:\Windows\System32\cmd.exe


• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.


begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Users\Николай\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AdobeUpdate.lnk');
DeleteFileMask('C:\lTfyTmneTr832f1', '*.*', true);
DeleteDirectory('C:\lTfyTmneTr832f1');
DeleteFileMask('C:\R4Qs3Gi47zrCFUB', '*.*', true);
DeleteDirectory('C:\R4Qs3Gi47zrCFUB');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Скачайте на заведомо рабочем компьютере один(любой) из предоставленых загрузочных дисков Dr.Web LiveCD (http://www.freedrweb.com/livecd/), Лаборатории Касперского (http://rescuedisk.kaspersky-labs.com/rescuedisk/updatable/), Live CD Vba32 Rescue (ftp://anti-virus.by/pub/vbarescue.iso), Avira GmbH (http://www.free-av.com/en/tools/12/avira_antivir_rescue_system.html), запишите образ на CD-диск, загрузитесь с него и проверьте компьютер из-под выбраного LiveCD. Если по каким-то причинам(маленькая скорость или лимитный интернет) у вас не будет возможности скачать загрузочные образы, можно скачать CureIT (ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe)

При найденом зараженном файле выбрать - Лечить !

после проверки с LiveCD

Обновите АВЗ(скачайте новый) и сделайте новые логи.

Что с проблемой ?

[lol34rus]

После выполнение скриптов вирус недавал о себе пока знать, обновил авз и сделал новые логи

[iskander-k]

После выполнение скриптов вирус недавал о себе пока знать, обновил авз и сделал новые логи »
Вы выполнили рекомендацию с лечением LiveCD ?

смотрю логи

[lol34rus]

да сделал правдо с dr.web liveusb

[iskander-k]

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\Installer\2d265.msi','');
QuarantineFile('C:\Program Files\Microsoft Security Client\Backup\ru-ru\epploc_x86.msi','');
QuarantineFile('C:\Program Files\Microsoft Security Client\Backup\en-us\epploc_x86.msi','');
QuarantineFile('C:\Users\Николай\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk','');
QuarantineFile('C:\Users\Николай\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk','');
QuarantineFile('C:\81762c663fab064e25a4\DW\DW20.exe','');
DeleteFileMask('C:\Users\Николай\AppData\Roaming\lTfyTmneTr832f1', '*.*', true);
DeleteDirectory('C:\Users\Николай\AppData\Roaming\lTfyTmneTr832f1');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.


После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте через форму (http://www.oszone.net/virusnet/)

[lol34rus]

все сделал каратин отправил

[iskander-k]

После лечения смените все ваши пароли!

Лог РСИТ сделайте для проверки .

Не вижу карантина

[lol34rus]

сделал лог рсит

[iskander-k]

• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)


O13 - Gopher Prefix:


Далее по логу чисто .

Что с проблемой ?

[lol34rus]

странно но в HiJackThis этой строки нет

[iskander-k]

Возможно тогда глюк РСИТ.

[lol34rus]

ща снова сделал лог рсит эта строка пропала

[iskander-k]

По логу чисто.
если проблем нет - помечайте тему решенной .

[lol34rus]

окей большое спасибо за помощь