Показать полную графическую версию : [решено] Снова klpclst.dat
Здравствуйте,нужна помощь=)
Всё стандартно: появляются папки с дикими названиями в которых лежит klpclst.dat + иногда появляется процесс svchost который грузит процессор на 99%.
Techno88
27-12-2011, 09:27
Здравствуйте!!!
- Отключите антивирус/фаервол и интернет;
- Выполните в АВЗ: (http://forum.oszone.net/post-1430637-4.html)
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('newdriver', 4);
StopService('newdriver');
QuarantineFile('D:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('D:\WINDOWS\dfvbn.sys','');
QuarantineFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\hqAPkD14ejM.exe','');
QuarantineFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\JEJaWOLrTTY.exe','');
QuarantineFile('D:\Documents and Settings\Админ\Local Settings\Temp\yyhjznjh.r1q\kph.sys','');
QuarantineFile('D:\Program Files\Ticno\Multibar\SearchService.exe','');
DeleteFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\JEJaWOLrTTY.exe');
DeleteFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\hqAPkD14ejM.exe');
DeleteFile('D:\WINDOWS\dfvbn.sys');
DeleteService('newdriver');
DeleteFileMask('D:\GOEDvM115vayK9N','*',true);
DeleteFileMask('D:\74SHnKpTmAE7Vw5','*',true);
DeleteDirectory('D:\GOEDvM115vayK9N');
DeleteDirectory('D:\74SHnKpTmAE7Vw5');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('newdriver');
BC_Activate;
ExecuteRepair(16);
ExecuteRepair(11);
RebootWindows(true);
end.
Компьютер перезагрузится
После перезагрузки:
- Выполните в АВЗ:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ загрузите через данную форму (http://www.oszone.net/virusnet). Укажите ссылку на тему и ник на форуме.
- Пофиксите (http://forum.oszone.net/post-1430293-2.html)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
- Повторите логи АВЗ и РСИТ.
- Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Полное сканирование", нажмите "Сканирование", после сканирования - Ok - Показать результаты - Откройте лог, скопируйте в блокнот и прикрепите его к следующему посту. Из того, что будет отмечено, удалять ничего не нужно.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. (http://data.mbamupdates.com/tools/mbam-rules.exe)
Всё сделал, но у меня когда окрываю локальный диск на котором лежит виндоус, ничего не отображается=)
Techno88
27-12-2011, 15:18
Удалите в MBAM всё, кроме:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
d:\WINDOWS.0\system32\dllcache\iissync.exe (Virus.Expiro) -> No action taken.
e:\татьяна\acad2008mechanical_ru\autocad-2008-keygen.exe (RiskWare.Tool.CK) -> No action taken.
Логи АВЗ и РСИТ старые приложили. Нужно сделать новые!
Те были сделаны до MBAM вот ещё новые)
Что делать если файлы на диске с виндоус перестали отображаться?через диспетчер задач всё открывается
Вообще по новым логам совсем непохоже, что Вы выполняли скрипт из сообщения №2. Приступайте
+ Хотелось бы увидеть новый лог МВАМ
и вот)так не можете подсказать, что делать? файлы перестали быть видимыми с жёсткого диска, через диспетчер всё нормально.
Techno88
28-12-2011, 16:11
- Отключите антивирус/фаервол и интернет;
- Выполните в АВЗ: (http://forum.oszone.net/post-1430637-4.html)
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('newdriver', 4);
StopService('newdriver');
QuarantineFile('\??\D:\WINDOWS\dfvbn.sys','');
QuarantineFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\hqAPkD14ejM.exe','');
QuarantineFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\JEJaWOLrTTY.exe','');
QuarantineFile('D:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('D:\WINDOWS\dfvbn.sys','');
QuarantineFile('d:\system volume information\_restore{3ffd8f7c-e940-4814-a995-aa924586019b}\RP185\A0507116.exe','');
QuarantineFile('d:\WINDOWS\system32\ieunitdrf.inf','');
DeleteFile('d:\WINDOWS\system32\ieunitdrf.inf');
DeleteFile('d:\system volume information\_restore{3ffd8f7c-e940-4814-a995-aa924586019b}\RP185\A0507116.exe');
DeleteFile('D:\WINDOWS\dfvbn.sys');
DeleteFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\JEJaWOLrTTY.exe');
DeleteFile('D:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\hqAPkD14ejM.exe');
DeleteFile('\??\D:\WINDOWS\dfvbn.sys');
DeleteService('newdriver');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('newdriver');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.
Компьютер перезагрузится
После перезагрузки:
- Выполните в АВЗ:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ загрузите через данную форму (http://www.oszone.net/virusnet). Укажите ссылку на тему и ник на форуме.
Запустите MBAM -> Перейдите на вкладку "Карантин" -> выберите объект d:\WINDOWS.0\system32\ctfmon.exe -> нажмите кнопку "Восстановить"
- Повторите логи АВЗ и РСИТ.
Вот,спасибо, файлы на жёстком диске уже стали отображаться=)
Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет, пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, файл C:\ComboFix.txt прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo@fix.exe
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск С.
KillAll::
File::
D:\GOEDvM115vayK9N
d:\documents and settings\Админ\Главное меню\Программы\Автозагрузка\JEJaWOLrTTY.exe
Driver::
Folder::
Registry::
FileLook::
DirLook::
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
сделал но по ходу папка осталась(
iskander-k
30-12-2011, 18:53
Попробуйте удалить вручную.
Извините, моя неточность :)
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск С.
KillAll::
File::
Driver::
Folder::
D:\GOEDvM115vayK9N
Registry::
FileLook::
DirLook::
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
SolarSpark
30-12-2011, 22:52
Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"
http://safezone.cc/images/combofix-uninstall.jpg
Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://safezone.cc/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up
проблема исчерпала себя?
© OSzone.net 2001-2012
vBulletin v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.
Available in ZeroNet 1osznRoVratMCN3bFoFpR2pSV5c9z6sTC