Форум esetnod32.ru [тема: Win32/Corcow AX] http://forum.esetnod32.ru Новое в теме Win32/Corcow AX форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Sun, 03 May 2026 02:24:43 +0300 Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
+
линк проверки
https://www.virustotal.com/ru/file/7339d925fdf3dd891a1d2b760148ab248cc62029433f87bb­39110a918886fc0c/...

т.е. теперь данный семпл будет детектироваться через VT


====quote====
Полное имя                  C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
Имя файла                   REGSNAP.API
                           
Статус                      ВИРУС
Сигнатура                   Win32/Corkow.AZ [ESET-NOD32] [глубина совпадения 64(64), необх. минимум 64, максимум 64]
                           
www.virustotal.com          2014-12-24 [2014-12-24 14:53:09 UTC ( 3 minutes ago )]
DrWeb                       Trojan.Bayanker.38
ESET-NOD32                  Win32/Corkow.AZ
                           
Удовлетворяет критериям    
CORKOW.LANMANSERVER         (ССЫЛКА ~ LANMANSERVER)(1)   AND   (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
SERV_DLL.FALSE              (ССЫЛКА ~ \PARAMETERS\SERVICEDLL)(1)   AND   (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
=============

24.12.2014 17:54:31, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81485/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81485/ Wed, 24 Dec 2014 17:54:31 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
zloyDi написал:


====quote====
Надежда Евсютина   написал:
проверку системы в малваребайт произвожу.

=============
Ждем лог... Сообщении Ваши скрыл. не нужно на форум вирусы заливать.
=============
Прошу прощения. Значит что-то не так поняла в предыдущем сообщении. Всё, что требовалось выслала на предложенные ящики.
24.12.2014 17:45:56, Надежда Евсютина.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81484/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81484/ Wed, 24 Dec 2014 17:45:56 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Надежда Евсютина написал:
проверку системы в малваребайт произвожу.

=============

Ждем лог... Сообщении Ваши скрыл. не нужно на форум вирусы заливать.
24.12.2014 17:21:31, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81483/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81483/ Wed, 24 Dec 2014 17:21:31 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
скрипт в uVS выполнила.
перезагрузка совершилась.
Проблема устранилась.
Архив на почту скинула.
После совершённых действий сайт https://www.virustotal.com/  даёт возможность выбора файла, но по указанному пути конечного файла REGSNAP.API уже нет.
проверку системы в малваребайт произвожу.
Спасибо!
24.12.2014 14:16:16, Надежда Евсютина.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81475/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81475/ Wed, 24 Dec 2014 14:16:16 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
Нужно проверить файл: REGSNAP.API
C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
Здесь: https://www.virustotal.com/
Ссылку на страницу с результатом дайте в тему.
=============

К сожалению на https://www.virustotal.com/ мне не даёт выбрать и загрузить файл - вроде все функции активны, а вот выбор и загрузка файла блокируется (
24.12.2014 13:47:01, Надежда Евсютина.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81474/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81474/ Wed, 24 Dec 2014 13:47:01 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 
;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn 7F8D846F27B8B2AA48B0FB0FF7FE10C3A384B3EE89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork

zoo %SystemDrive%\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
;------------------------autoscript---------------------------

chklst
delvir

; Java(TM) 6 Update 23
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216021FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart
=============
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z)  отправить в почту sendvirus2011@gmail.com, support@esetnod32.ru  
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
24.12.2014 13:21:13, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81473/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81473/ Wed, 24 Dec 2014 13:21:13 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
Надежда Евсютина
Нужно проверить файл: REGSNAP.API
C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
Здесь: https://www.virustotal.com/
Ссылку на страницу с результатом дайте в тему.
24.12.2014 12:57:16, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81471/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81471/ Wed, 24 Dec 2014 12:57:16 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
Здравствуйте.
Я всё правильно делала, но файл таки не создаётся :(
Сохранить полный образ автозапуска получилось лишь после выполнения: "Создать полный образ автозапуска и перейти в режим работы с образом" после чего выполнила ""Сохранить Полный образ автозапуска."" - файл создался. Надеюсь он соответствует требованиям для дальнейшей помощи. Спасибо.
ADMIN-PK_2014-12-24_10-05-24.RAR
24.12.2014 11:19:48, Надежда Евсютина.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81470/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81470/ Wed, 24 Dec 2014 11:19:48 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
если все правильно сделали, то
найдите в папке uVS файл с именем:
ваш компьютер_дата_время.txt или ***.7z
--------
примеры названия:
1-ПК_2014-12-04_16-52-44.txt
или
ADMIN-7T4XP3C7I_2014-12-18_15-27-40.txt

---------
если нет подобных файлов,
значит прочитайте еще раз внимательно инструкцию, и выполните рекомендуемые действия,
пока не будет получен нужный файл образа.
23.12.2014 20:15:38, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81460/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81460/ Tue, 23 Dec 2014 20:15:38 +0300 Обнаружение вредоносного кода и ложные срабатывания Win32/Corcow AX Win32/Corcow AX Win32/Corcow AX в форуме Обнаружение вредоносного кода и ложные срабатывания.
Добрый день. При загрузке и дальнейшей работе нод32 выдает сообщение "Обнаружена угроза в памяти! Оперативная память=svchost.exe( 944 )  Модифицированный Win32/Corkow.AX троянская программа. очищен - содержит заражённые файлы"
Помогите, пожалуйста.
Первые 4 пункта из Вашей инструкции "Как создать образ автозапуска в uVS (краткая инструкция)" выполнила, но найти "Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar." на компьютере не получается.
При выборе "Сохранить Полный образ автозапуска." ничего не происходит и вышеуказанного файла автоматически не образуется.
что делать?
23.12.2014 19:49:59, Надежда Евсютина.]]> http://forum.esetnod32.ru/messages/forum6/topic11471/message81457/ http://forum.esetnod32.ru/messages/forum6/topic11471/message81457/ Tue, 23 Dec 2014 19:49:59 +0300 Обнаружение вредоносного кода и ложные срабатывания