Форум esetnod32.ru [тема: модифицированный Win32/Corkow.AE троянская программа] http://forum.esetnod32.ru Новое в теме модифицированный Win32/Corkow.AE троянская программа форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Wed, 29 Apr 2026 04:36:14 +0300 модифицированный Win32/Corkow.AE троянская программа модифицированный Win32/Corkow.AE троянская программа в форуме Обнаружение вредоносного кода и ложные срабатывания.
здесь все ок. тему закрываю.
11.08.2014 19:47:08, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic11106/message78806/ http://forum.esetnod32.ru/messages/forum6/topic11106/message78806/ Mon, 11 Aug 2014 19:47:08 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.AE троянская программа модифицированный Win32/Corkow.AE троянская программа в форуме Обнаружение вредоносного кода и ложные срабатывания.
из-под админа
CA-3876_2014-08-11_19-21-03.7z
11.08.2014 19:31:48, Кирилл Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic11106/message78803/ http://forum.esetnod32.ru/messages/forum6/topic11106/message78803/ Mon, 11 Aug 2014 19:31:48 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.AE троянская программа модифицированный Win32/Corkow.AE троянская программа в форуме Обнаружение вредоносного кода и ложные срабатывания.
да, вирлабу  думаю это интересно будет, адрес надо добавить в черный список, возможно к серверу управления идет обращение.

Corkow - технологичный троян.
http://habrahabr.ru/company/eset/blog/214197/

выполните наши рекомендации по зараженным машинам.
http://forum.esetnod32.ru/forum9/topic3998/
11.08.2014 17:25:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic11106/message78788/ http://forum.esetnod32.ru/messages/forum6/topic11106/message78788/ Mon, 11 Aug 2014 17:25:14 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.AE троянская программа модифицированный Win32/Corkow.AE троянская программа в форуме Обнаружение вредоносного кода и ложные срабатывания.
скрипт запустил, архив выслал, MBAM прошелся, похоже чисто.

если ВДРУГ будет полезно, то в логах нашего проксика именно с этих компьютеров заметил необычную активность (даю кусочек):
====code==== 
1407757212.775      0 192.168.1.6 TCP_DENIED/407 3957 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407757481.820      0 192.168.1.100 TCP_DENIED/407 3959 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407757536.686      0 192.168.1.16 TCP_DENIED/407 3958 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407757697.382      1 192.168.1.74 TCP_DENIED/407 3958 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407757872.909      1 192.168.1.6 TCP_DENIED/407 3957 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407758141.872      1 192.168.1.100 TCP_DENIED/407 3959 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407758355.251      0 192.168.1.74 TCP_DENIED/407 3958 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407758533.044      0 192.168.1.6 TCP_DENIED/407 3957 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407758801.935      0 192.168.1.100 TCP_DENIED/407 3959 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407759193.180      0 192.168.1.6 TCP_DENIED/407 3957 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407759461.991      3 192.168.1.100 TCP_DENIED/407 3959 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407759671.033      0 192.168.1.74 TCP_DENIED/407 3958 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407759853.307      0 192.168.1.6 TCP_DENIED/407 3957 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
1407760122.046      0 192.168.1.100 TCP_DENIED/407 3959 POST http://uorenbuffets.com/36190/c1s295.php - NONE/- text/html
=============
mbam-3876.txt
11.08.2014 16:42:33, Кирилл Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic11106/message78785/ http://forum.esetnod32.ru/messages/forum6/topic11106/message78785/ Mon, 11 Aug 2014 16:42:33 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.AE троянская программа модифицированный Win32/Corkow.AE троянская программа в форуме Обнаружение вредоносного кода и ложные срабатывания.
да, есть здесь активный троян. можно в отдельные темы по каждому компу с подозрением на Corkow добавить образ автозапуска, чтобы не было путаницы.


выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v3.83 BETA 13 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\LEVDOKIMOVA\APPLICATION DATA\DAOEU\PLUUENG1.S
delall %SystemDrive%\DOCUMENTS AND SETTINGS\LEVDOKIMOVA\APPLICATION DATA\DAOEU\PLUUENG1.S
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart
=============
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z)  отправить в почту sendvirus2011@gmail.com, support@esetnod32.ru  
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
11.08.2014 15:41:45, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic11106/message78783/ http://forum.esetnod32.ru/messages/forum6/topic11106/message78783/ Mon, 11 Aug 2014 15:41:45 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.AE троянская программа модифицированный Win32/Corkow.AE троянская программа в форуме Обнаружение вредоносного кода и ложные срабатывания.
В логи ERAC с 4 компьютеров падают соообщения о вирусе, прилагаю отчет от одного
levd.txt
CA-3876_2014-08-11_14-55-44.7z
11.08.2014 15:29:35, Кирилл Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic11106/message78782/ http://forum.esetnod32.ru/messages/forum6/topic11106/message78782/ Mon, 11 Aug 2014 15:29:35 +0400 Обнаружение вредоносного кода и ложные срабатывания