[решено] klpclst.dat - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] klpclst.dat (http://forum.oszone.net/showthread.php?t=228835)

Здравствуйте!

Недавно столкнулся с этим вирусом klpclst.dat.

Он лежит в диске C:\ в папке ( lTfyTmneTr9KTvE) в нем находятся файл klpclst.dat

когда удаляю создается другая папка с таким же непонятном названием

Других проявлений вируса пока не заметно, но на диске C:\ есть странный файл plg.txt когда я его удаляю, он после каждого входа в систему снова появляется.

Логи прилагаю.

Заранее спасибо за помощь.

Лог RSIT сделайте.
и

• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis

Код:

O20 - AppInit_DLLs: C:\Windows\system32\nvinit.dll

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

Код:

begin

 ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 QuarantineFile('C:\Windows\svchost.com','');

 DeleteFile('C:\Windows\svchost.com');

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После всех процедур выполните скрипт

Код:

begin

 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте через форму

• Скачайте Malwarebytes Anti-Malware, установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

Программа RSIT до конца не может закончить процесс выдает ошибку Line -1: Error: Variable used without being declared.
но половину он сделал, Лог я прикрепил.

• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis

Код:

O4 - Startup: AdobeUpdate.lnk = C:\Windows\System32\cmd.exe

Код:



begin

 ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

SetAVZGuardStatus(True);

DeleteFile('C:\Users\Николай\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AdobeUpdate.lnk');

 DeleteFileMask('C:\lTfyTmneTr832f1', '*.*', true);

 DeleteDirectory('C:\lTfyTmneTr832f1');

 DeleteFileMask('C:\R4Qs3Gi47zrCFUB', '*.*', true);

 DeleteDirectory('C:\R4Qs3Gi47zrCFUB');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

Скачайте на заведомо рабочем компьютере один(любой) из предоставленых загрузочных дисков Dr.Web LiveCD, Лаборатории Касперского, Live CD Vba32 Rescue, Avira GmbH, запишите образ на CD-диск, загрузитесь с него и проверьте компьютер из-под выбраного LiveCD. Если по каким-то причинам(маленькая скорость или лимитный интернет) у вас не будет возможности скачать загрузочные образы, можно скачать CureIT

При найденом зараженном файле выбрать - Лечить !

после проверки с LiveCD

Обновите АВЗ(скачайте новый) и сделайте новые логи.

Что с проблемой ?

После выполнение скриптов вирус недавал о себе пока знать, обновил авз и сделал новые логи

Цитата:

Цитата lol34rus

После выполнение скриптов вирус недавал о себе пока знать, обновил авз и сделал новые логи »

Вы выполнили рекомендацию с лечением LiveCD ?

смотрю логи

да сделал правдо с dr.web liveusb

Код:

begin

 ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 SetAVZGuardStatus(True);

  QuarantineFile('C:\Windows\Installer\2d265.msi','');

 QuarantineFile('C:\Program Files\Microsoft Security Client\Backup\ru-ru\epploc_x86.msi','');

 QuarantineFile('C:\Program Files\Microsoft Security Client\Backup\en-us\epploc_x86.msi','');

 QuarantineFile('C:\Users\Николай\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk','');

 QuarantineFile('C:\Users\Николай\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk','');

 QuarantineFile('C:\81762c663fab064e25a4\DW\DW20.exe','');

DeleteFileMask('C:\Users\Николай\AppData\Roaming\lTfyTmneTr832f1', '*.*', true);

DeleteDirectory('C:\Users\Николай\AppData\Roaming\lTfyTmneTr832f1');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После всех процедур выполните скрипт

Код:

begin

 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте через форму

все сделал каратин отправил

После лечения смените все ваши пароли!

Лог РСИТ сделайте для проверки .

Не вижу карантина

сделал лог рсит

Код:



O13 - Gopher Prefix:

Далее по логу чисто .

Что с проблемой ?

странно но в HiJackThis этой строки нет

Возможно тогда глюк РСИТ.

ща снова сделал лог рсит эта строка пропала

По логу чисто.
если проблем нет - помечайте тему решенной .

окей большое спасибо за помощь