Win32/Corcow AX - Форум технической поддержки ESET NOD32

Сообщений: 5

Баллов: 2

Регистрация: 23.12.2014

Размещено 23.12.2014 19:49:59

Добрый день. При загрузке и дальнейшей работе нод32 выдает сообщение "Обнаружена угроза в памяти! Оперативная память=svchost.exe( 944 ) Модифицированный Win32/Corkow.AX троянская программа. очищен - содержит заражённые файлы"
Помогите, пожалуйста.
Первые 4 пункта из Вашей инструкции "Как создать образ автозапуска в uVS (краткая инструкция)" выполнила, но найти "Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar." на компьютере не получается.
При выборе "Сохранить Полный образ автозапуска." ничего не происходит и вышеуказанного файла автоматически не образуется.
что делать?

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.12.2014 20:15:38

если все правильно сделали, то
найдите в папке uVS файл с именем:
ваш компьютер_дата_время.txt или ***.7z
--------
примеры названия:
1-ПК_2014-12-04_16-52-44.txt
или
ADMIN-7T4XP3C7I_2014-12-18_15-27-40.txt

---------
если нет подобных файлов,
значит прочитайте еще раз внимательно инструкцию, и выполните рекомендуемые действия,
пока не будет получен нужный файл образа.

Изменено: santy - 23.12.2014 20:17:41

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 23.12.2014

Размещено 24.12.2014 11:19:48

Здравствуйте.
Я всё правильно делала, но файл таки не создаётся

Сохранить полный образ автозапуска получилось лишь после выполнения: "Создать полный образ автозапуска и перейти в режим работы с образом" после чего выполнила ""Сохранить Полный образ автозапуска."" - файл создался. Надеюсь он соответствует требованиям для дальнейшей помощи. Спасибо.

Прикрепленные файлы

ADMIN-PK_2014-12-24_10-05-24.RAR (916.82 КБ)

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 24.12.2014 12:57:16

Надежда Евсютина
Нужно проверить файл: REGSNAP.API
C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
Здесь: https://www.virustotal.com/
Ссылку на страницу с результатом дайте в тему.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.12.2014 13:21:13

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE addsgn 7F8D846F27B8B2AA48B0FB0FF7FE10C3A384B3EE89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork zoo %SystemDrive%\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API ;------------------------autoscript--------------------------- chklst delvir ; Java(TM) 6 Update 23 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216021FF} /quiet deltmp delnfr ;------------------------------------------------------------- czoo restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn 7F8D846F27B8B2AA48B0FB0FF7FE10C3A384B3EE89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork

zoo %SystemDrive%\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
;------------------------autoscript---------------------------

chklst
delvir

; Java(TM) 6 Update 23
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216021FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 5

Баллов: 2

Регистрация: 23.12.2014

Размещено 24.12.2014 13:47:01

Цитата
RP55 RP55 написал: Нужно проверить файл: REGSNAP.API C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API Здесь: https://www.virustotal.com/ Ссылку на страницу с результатом дайте в тему.

К сожалению на https://www.virustotal.com/ мне не даёт выбрать и загрузить файл - вроде все функции активны, а вот выбор и загрузка файла блокируется (

Сообщений: 5

Баллов: 2

Регистрация: 23.12.2014

Размещено 24.12.2014 14:16:16

скрипт в uVS выполнила.
перезагрузка совершилась.
Проблема устранилась.
Архив на почту скинула.
После совершённых действий сайт https://www.virustotal.com/ даёт возможность выбора файла, но по указанному пути конечного файла REGSNAP.API уже нет.
проверку системы в малваребайт произвожу.
Спасибо!

Сообщений: 12962

Баллов: 10371

Регистрация: 16.03.2010

Размещено 24.12.2014 17:21:31

Цитата
Надежда Евсютина написал: проверку системы в малваребайт произвожу.

Ждем лог... Сообщении Ваши скрыл. не нужно на форум вирусы заливать.

Сообщений: 5

Баллов: 2

Регистрация: 23.12.2014

Размещено 24.12.2014 17:45:56

Цитата

zloyDi написал:

Цитата
Надежда Евсютина написал: проверку системы в малваребайт произвожу.

Ждем лог... Сообщении Ваши скрыл. не нужно на форум вирусы заливать.

Прошу прощения. Значит что-то не так поняла в предыдущем сообщении. Всё, что требовалось выслала на предложенные ящики.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.12.2014 17:54:31

+
линк проверки
https://www.virustotal.com/ru/file/7339d925fdf3dd891a1d2b760148ab248cc62029433f87bb39110a918886fc0c/...

т.е. теперь данный семпл будет детектироваться через VT

Цитата
Полное имя C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API Имя файла REGSNAP.API Статус ВИРУС Сигнатура Win32/Corkow.AZ [ESET-NOD32] [глубина совпадения 64(64), необх. минимум 64, максимум 64] www.virustotal.com 2014-12-24 [2014-12-24 14:53:09 UTC ( 3 minutes ago )] DrWeb Trojan.Bayanker.38 ESET-NOD32 Win32/Corkow.AZ Удовлетворяет критериям CORKOW.LANMANSERVER (ССЫЛКА ~ LANMANSERVER)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) SERV_DLL.FALSE (ССЫЛКА ~ \PARAMETERS\SERVICEDLL)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)

Цитата

Полное имя C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
Имя файла REGSNAP.API

Статус ВИРУС
Сигнатура Win32/Corkow.AZ [ESET-NOD32] [глубина совпадения 64(64), необх. минимум 64, максимум 64]

www.virustotal.com 2014-12-24 [2014-12-24 14:53:09 UTC ( 3 minutes ago )]
DrWeb Trojan.Bayanker.38
ESET-NOD32 Win32/Corkow.AZ

Удовлетворяет критериям
CORKOW.LANMANSERVER (ССЫЛКА ~ LANMANSERVER)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
SERV_DLL.FALSE (ССЫЛКА ~ \PARAMETERS\SERVICEDLL)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)

Изменено: santy - 24.12.2014 17:58:46

[ Как создать образ автозапуска? ]

[ Закрыто ] Win32/Corcow AX , Win32/Corcow AX