Создается странная папка в диске С: c файлами klpclst.dat ,wndsksi.inf

Printable View

09.02.2012, 01:59
xedfr

Вложений: 3

Создается странная папка в диске С: c файлами klpclst.dat ,wndsksi.inf

Создается сама при перезагрузки папка с набором символов C:\kFv3DjpT2zp3AH0
с двумя файлами klpclst.dat ,wndsksi.inf

В диспетчере задач есть задача svchost.exe запущенная от пользователя (Константин)
Если удалить файлы из странной папки и убить процесс svchost.exe от пользователя,то процесс восстанавливается и вместе с ней восстанавливаются файлы
Кроме этого в автозагрузке появляется какой-то не понятный файл exe (набор букв рандомных.exe)
Сам появляется и исчезает сам по себе
Внешне симптомы компьютера глюки и тормоза легкие
Долго запускается система хотя комп мощный
Ну наверное все
Заранее благодарен :)
09.02.2012, 02:00
Info_bot

Уважаемый(ая) [B]xedfr[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
09.02.2012, 10:48
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\systemhost\24FC2AE3169.exe','');
DeleteFile('C:\systemhost\24FC2AE3169.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','YI9B2F0FZEXHXFVZHGV');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
09.02.2012, 13:00
thyrex

А также

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
09.02.2012, 14:05
xedfr

Вложений: 3

Карантина не было папка карантина пустая
09.02.2012, 14:17
xedfr

ComboFix
Не делается лог
Выскакивает синий экран смерти
09.02.2012, 21:43
thyrex

Тогда такой лог [url]http://virusinfo.info/showthread.php?t=115256[/url] сделайте
10.02.2012, 00:13
xedfr

Вложений: 2

Логи за 3 месяца

Логи за 3 месяца
10.02.2012, 00:49
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Константин\Главное меню\Программы\Автозагрузка\4je3rxfsgFE.exe','');
DeleteFile('C:\Documents and Settings\Константин\Главное меню\Программы\Автозагрузка\4je3rxfsgFE.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
10.02.2012, 15:41
xedfr

Вложений: 1

Смог сделать комбофикс
Скрипт нечего не изменил avz написало что не может удалить файл в автозагрузке
Карантин отослал
10.02.2012, 16:03
xedfr

C:\Documents and Settings\Константин\Application Data\kFv3DjpT2zp3AH0\LXDcjASl3Js
Ещё нашел папку с таким же названием вот тут
В папке пусто
10.02.2012, 19:24
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
[code]KillAll::

File::
c:\documents and settings\Константин\Главное меню\Программы\Автозагрузка\4je3rxfsgFE.exe

Driver::

Folder::
C:\Documents and Settings\Константин\Application Data\kFv3DjpT2zp3AH0\LXDcjASl3Js

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
11.02.2012, 00:39
xedfr

Вложений: 1

Не фига,автозагрузку держит какая то хрень
Связанная с svhost и explover

Может что нибудь подскажет если переименовать тот файл в автозагрузке на txt и открыть появляются тупой набор символов
Но в конце можно прочитать

V D q B U b j f c C 7 o s r C N x w d Q Y C P z 9 4 j 8 J m 8 W l 2 F f A z e N U m l n 2 u A L t 2 c F c C , f 0 A Z I h 8 M W q R 6 E q o C S i X d V Z X O q f S 6 c i 2 g J B X c f r 5 I B i F z u u c d D r U f 8 R I 9 d M l P z u d k f u 1 f m p 9 L w 8 K p w 4 X 6 m m 8 D u A C K U R g 1 Q i P a j r 9 A t t A E 1 0 U i G Z V D q B U b j f c C 7 o s r C N x w d Q Y C P z 9 4 j 8 J m 8 W l 2 F f A z e N U m l n 2 u A L t 2 c F c C , f 0 A Z I h 8 M W q R 6 E q o C S i X d V Z X O q f S 6 c i 2 g J B X c f r 5 I t4 V S _ V E R S I O N _ I N F O Ѕпю ° JЈQ'° JЈQ' Ф S t r i n g F i l e I n f o ° 0 4 0 9 0 4 b 0 < C o m p a n y N a m e 5 F H m d K 0 t Z e E M S B
F i l e D e s c r i p t i o n m T c c p W z G H 9 n y , F i l e V e r s i o n s U B X z 4
I n t e r n a l N a m e i 0 Y 5 B e x u V 6 O r i g i n a l F i l e n a m e i u t d A W > P r o d u c t N a m e f x 5 m f H K f N S s E F 0 @ P r o d u c t V e r s i o n 1 8 4 . 6 2 . 7 7 . 2 4 9 D V a r F i l e I n f o $ T r a n s l a t i o n °<?xml version="1.0" encoding="UTF-8" standalone="yes"?>

<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0">
<assemblyIdentity
type="win32"
name="DelphiApplication"
version="1.0.0.0"
processorArchitecture="*"/>
<dependency>
<dependentAssembly>
<assemblyIdentity
type="win32"
name="Microsoft.Windows.Common-Controls"
version="6.0.0.0"
publicKeyToken="6595b64144ccf1df"
language="*"
processorArchitecture="*"/>
</dependentAssembly>
</dependency>
</assembly>
11.02.2012, 01:22
thyrex

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на [B][COLOR="#0000CD"]диск С[/COLOR][/B].
[code]KillAll::

File::
c:\documents and settings\Константин\Главное меню\Программы\Автозагрузка\4je3rxfsgFE.exe
c:\windows\system32\ieunitdrf.inf

Driver::

Folder::
C:\kFv3DjpT2zp3AH0
c:\documents and settings\Константин\Application Data\kFv3DjpT2zp3AH0

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
11.02.2012, 03:05
xedfr

Вложений: 1

Неа не помогло:(
11.02.2012, 11:32
thyrex

Антивирус отключите!

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на [B][COLOR="#0000CD"]диск С[/COLOR][/B].
[code]KillAll::

File::
c:\documents and settings\Константин\Главное меню\Программы\Автозагрузка\4je3rxfsgFE.exe

Driver::

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
11.02.2012, 13:23
xedfr

Вложений: 1

Вроде бы мы его победили совместными усилиями :)

Ссори я проявил немного самостоятельности,дело в том что файл 4je3rxfsgFE.exe все время убегал с автозагрузке решил проверить и поискать его поиском виндовс,и обнаружил его в папке
C:\RECYCLER\S-1-5-21-1220945662-1972579041-839522115-1003\4je3rxfsgFE.exe
В папке корзины,немного переделав ваш скрипт попробовал его удалить,вроде удалился
Поиском больше данного файла не обнаружено,чтоб убедится что все нормализовалось выкидываю логи
Посмотрите не оставил ли следов вирус
11.02.2012, 13:25
thyrex

[CODE]C:\kFv3DjpT2zp3AH0
c:\documents and settings\Константин\Application Data\kFv3DjpT2zp3AH0[/CODE]удалите эти папки вручную
11.02.2012, 13:54
xedfr

и ещё был бы благодарен ,может быть знаете ??
А каково происхождение данного вируса??
Как он вторгся в компьютер??

[size="1"][color="#666686"][B][I]Добавлено через 48 секунд[/I][/B][/color][/size]

Уже удалил
Благодарю :)

[size="1"][color="#666686"][B][I]Добавлено через 25 минут[/I][/B][/color][/size]

Не помогло все равно вирус определил АНТИВИРУС
оН ОПРЕДЕЛЯЕТ
TROJAN.GEN
11.02.2012, 15:36
Techno

Лог comboFix повторите...
11.02.2012, 18:04
xedfr

Вложений: 1

Если поможет
Создал нового пользователя у него симптомы вируса обнаружены не было
Плюс появился новый симптом у меня пропала из видимости языковая панель
11.02.2012, 18:55
Techno

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]
KillAll::

File::
c:\documents and settings\Константин\Главное меню\Программы\Автозагрузка\4je3rxfsgFE.exe
Driver::

NetSvc::

Folder::
C:\kFv3DjpT2zp3AH0
c:\documents and settings\Константин\Application Data\kFv3DjpT2zp3AH0
C:\systemhost

Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Надо обновляться!!!
- Установите [URL="http://windows.microsoft.com/ru-RU/windows/help/learn-how-to-install-windows-xp-service-pack-3-sp3"]SP3[/URL] ([COLOR="#FF0000"]может потребоваться активация[/COLOR]), [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]
12.02.2012, 18:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\константин\\главное меню\\программы\\автозагрузка\\4je3rxfsgfe.exe - [B]Trojan-Spy.Win32.Carberp.dsk[/B] ( DrWEB: Trojan.Carberp.60, BitDefender: Trojan.Generic.7208207, NOD32: Win32/TrojanDownloader.Carberp.AH trojan, AVAST4: Win32:Downloader-MYX [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]