[решено] Не загружаются некоторые сайты - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] Не загружаются некоторые сайты (http://forum.oszone.net/showthread.php?t=233730)

Не загружаются некоторые сайты

Не загружаются некоторые сайты, такие как http://lib.rus.ec, http://speedtest.net или http://9gag.com.
Возможная причина в klpclst.dat
В корне системного диска появилась папка zpZk6YlZGMnvxv1 с двумя файлами klpclst.dat и wndsksi.inf

Помогите, пожалуйста, исправить эту проблему...

Добрый день, сейчас посмотрю логи.

Проблема с сайтами решилась сама собой (!), но еще остается проблема с klpclst.dat

Цитата:

>>> J:\autorun.inf ЭПС: подозрение на скрытый автозапуск (высокая степень вероятности)

Диск J это съёмный носитель?

Цитата:

2012-04-26 17:10:19 ----RD---- C:\Documents and Settings\Денис\Application Data\D85DF527
2012-04-26 16:42:20 ----RD---- C:\Documents and Settings\Денис\Application Data\D85DF295

Эти папки вам известны? Что в них находится?
1. Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.

AVZ -- "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

if not IsWOW64

 then

  begin

   SearchRootkit(true, true);

   SetAVZGuardStatus(True);

  end;

 QuarantineFile('C:\WINDOWS\apppatch\bybtpcw.exe','');

 QuarantineFile('C:\zpZk6YlZGMnvxv1\klpclst.dat','');

 QuarantineFile('C:\zpZk6YlZGMnvxv1\wndsksi.inf','');

 QuarantineFileF('C:\zpZk6YlZGMnvxv1', '*.*', false, '', 0, 0);

 QuarantineFileF('C:\Documents and Settings\Денис\Application Data\zpZk6YlZGMnvxv1', '*.*', false, '', 0, 0);

 DeleteFile('C:\plg.txt');

 DeleteFile('C:\zpZk6YlZGMnvxv1\klpclst.dat');

 DeleteFile('C:\zpZk6YlZGMnvxv1\wndsksi.inf');

 DeleteFile('C:\WINDOWS\apppatch\bybtpcw.exe');

 DeleteFileMask('C:\zpZk6YlZGMnvxv1', '*.*', true);

 DeleteFileMask('C:\Documents and Settings\Денис\Application Data\zpZk6YlZGMnvxv1', '*.*', true);

 DeleteDirectory('C:\zpZk6YlZGMnvxv1');

 DeleteDirectory('C:\Documents and Settings\Денис\Application Data\zpZk6YlZGMnvxv1');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

Код:

begin

CreateQurantineArchive('c:\quarantine.zip');

end.

Отправьте c:\quarantine.zip при помощи этой формы

2. Пофиксите в HJT:

Код:

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru

R3 - URLSearchHook: (no name) -  - (no file)

O4 - HKCU\..\Run: [userinit] C:\WINDOWS\apppatch\bybtpcw.exe

O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

3.Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

4.Также подготовьте лог SecurityCheck by screen317:

Скачайте SecurityCheck by screen317 или с зеркала и сохраните утилиту на Рабочем столе.

Запустите программу, после появления консоли нажмите любую клавишу для начала сканирования.
Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
Дождитесь завершения сканирования и формирования лога. Запостите содержимое лога утилиты в той теме, где вам оказывается помощь.

!!!Внимание
_____________________
Если увидите предупреждение от вашего фаервола, то разрешите SecurityCheck доступ в сеть.

5.

Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку;
Скопируйте следующий текст в Блокнот и сохраните в папку с распакованным TDSSKiller.exe, как fix.bat:

Код:

tdsskiller.exe -silent -qmbr -qboot
Запустите файл fix.bat;
Найдите в корне системного диска (обычно это диск C:) папку TDSSkiller_Quarantine;
Заархивруйте эту папку с паролем virus. И отправьте полученный архив на адрес quarantine<at>safezone.cc (at=@), в заголовке (теме) письма укажите ссылку на тему, где Вам оказывается помощь.
Запустите файл TDSSKiller.exe;
Нажмите кнопку "Начать проверку";
В процессе проверки могут быть обнаружены объекты двух типов:
- вредоносные (точно было установлено, какой вредоносной программой поражен объект);
- подозрительные (тип вредоносного воздействия точно установить невозможно).
По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.
Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить.
Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить).
После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат.
Прикрепите лог утилиты к своему следующему сообщению

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt

6)Обязательно установите все 3 патча от MS:
MS08-067
MS08-068
MS09-001
7)Пролечитесь утилитой KidoKiller
8)Cкачайте Gmer или с зеркала. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.

Сделайте новые логи AVZ, RSIT.
Смените все пароли!!!

Цитата:

Цитата Warrior Kratos

Диск J это съёмный носитель? »

Да

Цитата:

Цитата Warrior Kratos

Эти папки вам известны? Что в них находится? »

Нет, не знакомы. В них находятся по одному txt документу с именем pass.

Цитата:

Цитата Murai

Нет, не знакомы. В них находятся по одному txt документу с именем pass. »

Посмотрим, может их нам MBAM покажет. Выполняйте пока мои указания.

В HJT не обноружил строку:

Код:

O4 - HKCU\..\Run: [userinit] C:\WINDOWS\apppatch\bybtpcw.exe

P.S. сейчас выполнятся 3 пункт...

Цитата:

Цитата Murai

В HJT не обноружил строку: »

Ничего страшного.

Цитата:

Цитата Murai

P.S. сейчас выполнятся 3 пункт... »

ок. Ждём.

Я ухожу (GMT+3). Логи завтра проверю.

Прилагаю все необходимые логи.
Размер файла gmer.txt был слишком велик, поэтому пришлось его запихнуть в архив.

Все 3 патча от MS были установлены.
KidoKiller ничего не обнаружил.

1. Скопируйте нижеприведенный текст в блокнот и сохраните как cleanup.bat в папку, где находится gmer.exe

Код:

gmer.exe -del service lgpkuqvib

gmer.exe -del file C:\WINDOWS\system32\mcbmfwv.dll

gmer.exe -del reg HKLM\SYSTEM\CurrentControlSet\Services\lgpkuqvib

gmer.exe -del reg HKLM\SYSTEM\ControlSet002\Services\lgpkuqvib

gmer.exe -del reg HKLM\SYSTEM\ControlSet003\Services\lgpkuqvib

gmer.exe -reboot

Запустите cleanup.bat
ВНИМАНИЕ: Компьютер перезагрузится!!!
Сделайте новый лог gmer.

2.

Цитата:

Java(TM) 6 Update 3
Java version out of date!
Adobe Reader 9 Adobe Reader out of date!

- Обновите Java до актуальной версии
- Обновите Adobe Reader до актуальной версии

3.Лог TDSS не тот скинули. Там их два, они похожи. Скиньте оба.
4.Удалите в MBAM следующие строки:

Код:

Обнаруженные папки:  1

C:\MEMORY\S-v-6-2009 (Trojan.Buzus) -> Действие не было предпринято.



Обнаруженные файлы:  31

C:\Documents and Settings\Дениска\Application Data\Thinstall\Readiris Pro 11 Mr.Underground Edition\300000003400002i\dwwin.exe (Rootkit.Dropper) -> Действие не было предпринято.

C:\RECYCLER\S-1-5-21-583907252-1682526488-839522115-1007\Dc105.exe (HackTool.GamesCheat) -> Действие не было предпринято.

C:\Documents and Settings\Денис\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.

C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

C:\MEMORY\S-v-6-2009\Desktop.ini (Trojan.Buzus) -> Действие не было предпринято.

Не забудьте сменить все пароли!

При выполнении cleanup.bat появились ошибки:

Код:

(...)mcbmfwv.dll - не найден указанный модуль

Код:

DeleteKey: не найден указанный модуль

Логи прилагаю.

Цитата:

Цитата Warrior Kratos

4.Удалите в MBAM следующие строки: »

Чтобы выполнить этот шаг, надо снова провести полное сканирование в MBAM?

Цитата:

Цитата Murai

Чтобы выполнить этот шаг, надо снова провести полное сканирование в MBAM? »

да. Так, Kido убили. Выполняйте удаление в MBAM, потом скинете лог.

mbam-log-2012-04-30 (19-44-34).txt до удаления

mbam-log-2012-04-30 (17-02-28).txt после

Строчки в МБАМ тоже удалите

Код:

E:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP632\A0390552.exe (Trojan.Pincher) -> Действие не было предпринято.

E:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP632\A0390581.exe (Trojan.Pincher) -> Действие не было предпринято.

E:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP632\A0390595.exe (Trojan.Pincher) -> Действие не было предпринято.

E:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP632\A0390612.exe (Trojan.Pincher) -> Действие не было предпринято.

E:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP632\A0390625.exe (Trojan.Pincher) -> Действие не было предпринято.

E:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP634\A0392119.exe (Password.Stealer.H) -> Действие не было предпринято.

F:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP653\A0399815.exe (Packer.ModifiedUPX) -> Действие не было предпринято.

G:\System Volume Information\_restore{2B0629B3-62BD-468E-AEBD-50CE18997C70}\RP678\A0407238.exe (Trojan.Downloader) -> Действие не было предпринято.

Либо очистите точки восстановления и создайте новую.

[*]Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
• Создание новой точки восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
• Очистка всех предыдущих точек восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Очистка диска, выберите системный диск, на вкладке Дополнительно > Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.[/list]
* Подробнее можно прочитать в этой теме.

Повторите логи AVZ+RSIT.

- Cкачайте и установите все последние обновления для безопасности Windows
- Рекомендации после лечения

- желательно отключить автозапуск на этих устройствах,

Код:

>> Разрешен автозапуск с HDD

>> Разрешен автозапуск с сетевых дисков

>> Разрешен автозапуск со сменных носителей

т.к. это повышает уязвимость вашей системы. Можете исправить с помощью AVZ - меню "Файл\Мастер поиска и устранения проблем"

Деинсталируйте МВАМ
Пуск - Панель управления - Установка/удаление программ - найдите Malwarebytes Anti-Malware и нажмите удалить.

Что с проблемой?

Проблема решена, спасибо!

Лечение на этом закончим. Чистого интернета!