[решено] Ещё раз klpclst.dat

[koob]

Доброго дня.

По порядку.
Дня три назад появилась папка с файлом C:\l2YgGh5tDMYSAL2\klpclst.dat
При попытке захода на антивирусные сайты "Соединение закрыто удалённым сервером".
А также появился лишний svchost.exe периодически полностью нагружавший процессор.

Проверка CureIt выявила несколько троянов, но не те.

Далее был применён следующий скрипт в avz:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\l2YgGh5tDMYSAL2\klpclst.dat','');
DeleteFile('C:\l2YgGh5tDMYSAL2\klpclst.dat');
DeleteFileMask('C:\Documents and Settings\Huaynaputina\Application Data\l2YgGh5tDMYSAL2', '*.*', true);
DeleteDirectory('C:\Documents and Settings\Huaynaputina\Application Data\l2YgGh5tDMYSAL2');
DeleteFileMask('C:\l2YgGh5tDMYSAL2', '*.*', true);
DeleteDirectory('C:\l2YgGh5tDMYSAL2');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.
Папка из корня исчезла, лишний svchost тоже.
Но "Соединение" всё так же "закрыто", только к вам заходит.
Ещё из наблюдаемых проявлений: на ю-тубе видео каким-то слайд шоу идёт.
Сформировал карантин.зип, чуть позже отправлю по форме с другого компа (тоже не заходит).

После этих процедур сформировал отчеты rsit, avz и mbam, прикрепляю их.

[alex_sev]

Для начала сохраните на локальный диск следующую страницу (http://safezone.cc/forum/showthread.php?t=156), если после выполнения скрипта пропадет доступ в интернет, выполните описанные там действия.

Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\All Users\Application Data\YBUGyA.dll','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\YBUGyA.dll');
DeleteFile('C:\plg.txt');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Huaynaputina^Главное меню^Программы^Автозагрузка^AdobeLoaderhgqttb.lnk');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Huaynaputina^Главное меню^Программы^Автозагрузка^AdobeLoaderzefoti.lnk');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Huaynaputina^Главное меню^Программы^Автозагрузка^fbtsrtdouble.lnk');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(14);
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив из папки с распакованной AVZ отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Сделайте повторные логи AVZ и RSIT (http://safezone.cc/forum/showthread.php?t=15)

+

сделайте лог OSAM (http://safezone.cc/forum/showthread.php?t=4335)

[koob]

Доступ ко всем страницам восстановился. Видео на ю-тубе всё так же дёргается. Новый карантин отправил. Делаю логи.

[koob]

Делаю Osam.

[koob]

Osam

[koob]

Заметил ещё одну неприятность. Иногда сразу после загрузки при попытке запуска какого-либо приложения происходит что-то вроде зависания: приложение не открывается, мышь бегает, но активировать ничего не может, диспетчер задач не вызывается. Но при этом процессор ничем не занят и память свободна. Только хард-ребут работает. Разумеется, до вируса такого не было.

[alex_sev]

1.

Выполните скрипт в AVZ:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Huaynaputina^Главное меню^Программы^Автозагрузка^waabxsdouble.lnk');
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

2. Скачайте архив TDSSKiller.zip (http://support.kaspersky.ru/downloads/utils/tdsskiller.zip) и распакуйте его в отдельную папку; Скопируйте следующий текст в Блокнот и сохраните в папку с распакованным TDSSKiller.exe, как fix.bat:tdsskiller.exe -silent -qmbr -qboot Запустите файл fix.bat; Найдите в корне системного диска (обычно это диск C:) папку TDSSkiller_Quarantine; Заархивруйте эту папку с паролем virus. И отправьте полученный архив на адрес quarantine<at>safezone.cc (at=@), в заголовке (теме) письма укажите ссылку на тему, где Вам оказывается помощь. Запустите файл TDSSKiller.exe; Нажмите кнопку "Начать проверку"; В процессе проверки могут быть обнаружены объекты двух типов: вредоносные (точно было установлено, какой вредоносной программой поражен объект); подозрительные (тип вредоносного воздействия точно установить невозможно). По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием. Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить. Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить). После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат. Прикрепите лог утилиты к своему следующему сообщениюПо умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt

3. Загрузите SecurityCheck by screen317 отсюда (http://screen317.spywareinfoforum.org/SecurityCheck.exe) или отсюда (http://screen317.changelog.fr/SecurityCheck.exe) и сохраните утилиту на Рабочем столе Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7) Когда увидите консоль, нажмите любую клавишу для продолжения сканирования Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу. Дождитесь окончания сканирования, откроется лог в блокноте с именем checkup.txt; Прикрепите файл к следующему сообщению.

[koob]

Логи.

[alex_sev]

Обновите следующие программы:

Java(TM) 6 Update 26 Java version out of date! http://www.java.com/ru/download/faq/remove_olderversions.xml
Internet Explorer 6 Out of date! http://windows.microsoft.com/ru-RU/internet-explorer/products/ie/home

Вижу в логах остатки антивируса Avast - деинсталлируйте, как описано тут http://www.avast.com/uninstall-utility

больше подозрительного в логах не видно.

[koob]

Проблема с ю-тубом решилась после переустановки оперы с удалением личных данных. Странные зависания вроде пока прекратились... Думаю, задачу можно считать решённой. Спасибо, alex_sev, за помощь в оздоровлении нации!

[alex_sev]

И вам чистого интерета, ознакомьтесь с этими рекомендациями (http://forum.oszone.net/post-1838507-9.html)