Форум esetnod32.ru [тема: Не лечится троян] http://forum.esetnod32.ru Новое в теме Не лечится троян форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Fri, 17 Apr 2026 03:52:53 +0300 Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
там есть каталог DOC где наиболее полное описание работы с uVS, хотя и кратко изложено. концепция, функции, команды.
можно здесь еще посмотреть, как начать работать с uVS
http://pchelpforum.ru/f26/t94635/

функций защиты системы в увс практически нет, (потому не антивирус), зато реализованы функции анализа автозапуска системы и очистки вирусов и троянов и много чего еще.
04.08.2015 13:34:44, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87054/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87054/ Tue, 04 Aug 2015 13:34:44 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
Надо почитать что это за программка такая, которой мы делаем эти манипуляции. Я там в меню видел еще про Руткиты что-то... Я так понимаю - это не антивирус, но с функциями автоматизации процессов лечения?
04.08.2015 13:14:27, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87053/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87053/ Tue, 04 Aug 2015 13:14:27 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
чисто.  и там и там.
ссылка была исправлена в реестре на правильное значение.
=============
Благодарю Вас))
Сейчас запущу установку ESETа через ERA и посмотрим!
04.08.2015 13:12:02, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87052/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87052/ Tue, 04 Aug 2015 13:12:02 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
чисто.  и там и там.
ссылка была исправлена в реестре на правильное значение.
04.08.2015 13:07:39, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87051/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87051/ Tue, 04 Aug 2015 13:07:39 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
видно будет. может быть, у вас все профили заражены этим трояном.
=============
Итак:
Зашел под своей админской учеткой, как сегодня утром и выполнил ваш скрипт. ПК перезагрузился и я снова сделал образ автозагрузки без ЦП
вот он - это под моей учеткой (Smirnov) - http://rghost.ru/85xYBHdBY

А после, зашел под учеткой того пользователя (Gasan) под которой было все это дело замечено - http://rghost.ru/7rJDyLt5F
Надеюсь вирус побежден?

После вашего вторичного обследования, если скажете, что следов вируса нет, поставлю снова ESET на этот ПК и посмотрим, будет ли explorer снова блокироваться или будет все хорошо?
Спасибо!
04.08.2015 12:45:51, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87048/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87048/ Tue, 04 Aug 2015 12:45:51 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
видно будет. может быть, у вас все профили заражены этим трояном.
04.08.2015 12:17:30, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87044/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87044/ Tue, 04 Aug 2015 12:17:30 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
Наверное немного по другому теперь надо будет сделать. После выполнения этого скрипта, я так понимаю почиститься должен вирус в моем профиле (Smirnov), а проблемный пользователь (Gasan) затронут не будет? После выполнения скрипта сделаю еще образ автозагрузки именно из под проблемного пользователя. Думаю картина будет тоже с вирусом.
Пошел делать!
04.08.2015 12:08:34, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87043/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87043/ Tue, 04 Aug 2015 12:08:34 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
да, это файл вируса, точнее трояна. Corkow.
04.08.2015 11:48:57, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87039/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87039/ Tue, 04 Aug 2015 11:48:57 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
DAOVS\IPSACCRC.ISR
=============
Пойду сейчас сделаю! Но так вопросик еще в догонку... DAOVS\IPSACCRC.ISR - это файл вируса?
04.08.2015 11:31:24, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87037/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87037/ Tue, 04 Aug 2015 11:31:24 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
вопрос конечно интересный.
выполните скрипт из под вашей учетки (с правами администратора),
дальше видно будет
------
+
добавьте новый образ автозапуска после выполнения скрипта.
посмотрим, помогла в вашем случае с перемещаемыми профилями очистка или нет
04.08.2015 11:18:42, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87036/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87036/ Tue, 04 Aug 2015 11:18:42 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
marine здесь имя вашего домена?

====quote====
Текущий пользователь: MARINE\gasan
=============
интересный случай. файл трояна Корков прописан в шару другого компа.

====quote====
\\ENOT\USERSDATA$\SMIRNOV.D\APPLICATION DATA\DAOVS\IPSACCRC.ISR
=============


=============
Да доменное имя это.
Но у нас настроены перемещаемые профили которые лежат по указанному пути \\enot.....
Т.е. троян прописался и в мой профиль?

Эта строка - \\ENOT\USERSDATA$\SMIRNOV.D\APPLICATION DATA\DAOVS\IPSACCRC.ISR - это мой профиль на серваке! Видимо когда я на его ПК делал вход под собой он туда записался

Да! А под каким пользователем выполнять скрипт? только под зараженным или под мои (Smirnov) можно?  И пролечится ли мой профиль по этому пути?
04.08.2015 11:09:03, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87035/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87035/ Tue, 04 Aug 2015 11:09:03 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
marine здесь имя вашего домена?

====quote====
Текущий пользователь: MARINE\gasan
=============
интересный случай. файл трояна Корков прописан в шару другого компа.

====quote====
\\ENOT\USERSDATA$\SMIRNOV.D\APPLICATION DATA\DAOVS\IPSACCRC.ISR
=============

выполните скрипт так же, с правами администратора.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v3.86 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE

;------------------------autoscript---------------------------

chklst
delvir

delref \\ENOT\USERSDATA$\SMIRNOV.D\APPLICATION DATA\DAOVS\IPSACCRC.ISR

; Java(TM) 6 Update 37
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216034FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

restart
=============
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
04.08.2015 10:46:27, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87034/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87034/ Tue, 04 Aug 2015 10:46:27 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
Доброе утро всем!
Сделал наконец-то образы автозапуска, прилагаю...
Надеюсь на излечение от этой заразы.
Повторюсь может, сейчас антивируса нет на ПК - удалил, чтобы пользователь мог работать. Образ создавал не под учетной записью пользователя, а под своей админской в обычном режиме работы ПК.
Спасибо!
1) С проверкой ЦП - http://rghost.ru/6LtrQ59nB
2) Без проверки ЦП - http://rghost.ru/8vxQkzNq6
04.08.2015 09:41:47, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87033/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87033/ Tue, 04 Aug 2015 09:41:47 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
образ автозапуска это файл, в котором в структурированном виде содержится информация по объектам автозапуска а так же по некоторым другим категориям файлов и объектов.
uVS умеет работать с активной системой, а так же умеет создать образ автозапуска, с которым другой человек (или вы сами) может работать как с вашей псевдо-системой, и автоматически создавать скрипт для исправлений в активной системе.

вобщем, ждем скрипт.
03.08.2015 17:08:58, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87027/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87027/ Mon, 03 Aug 2015 17:08:58 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
Добрый вечер.
Сейчас сделаю образ автозапуска. Прочитал инструкцию. Пока удалил ESET  с этого ПК, а то пользователю нужно было на выходных поработать. Без ESET ни чего не блокируется. но вирусня просто живет спокойно!

Я так понимаю. образ автозапуска - это некий дамп какого-то конфига, по которому позже будет создан скрипт для удаления этой вирусни?
03.08.2015 16:26:10, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message87025/ http://forum.esetnod32.ru/messages/forum6/topic12301/message87025/ Mon, 03 Aug 2015 16:26:10 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
Денис,
не надо пока ничего усваивать, действуйте строго по инструкции, если не все понятно с листа.
нам сейчас важно решить вашу проблему с корков если она имеется,
а просвещением займемся чуть позже, если у вас есть интерес к работе с увс.
в инструкции все по шагам расписано как и что делать.
лечение у нас интерактивное, пользователя мы не оставляем без внимания до тех пор пока проблема не решена, или пока не убедимся в невозможности решения, или пока пользователь сам не потеряет интерес к исцелению системы и не решит делать все по своему.
-------
вот собственно и все предисловие.
пора переходить с вашей стороны к делу.
31.07.2015 18:02:44, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86981/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86981/ Fri, 31 Jul 2015 18:02:44 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
в безопасный режим зайти под Администратором (или другой учетной записью с правами локального администратора) и сделать образ автозапуска
+
добавлю, что uVS анализирует профили всех учетных записей
=============
Прошу прощения за такой может глупый вопрос....
Эта программулина uAV - это лечилка? Просто раньше с ней не приходилось иметь дело. Что это за образ автозапуска? Можно в кратце процесс рассказать, чтобы лучше усвоилась в голове?
Спасибо!
31.07.2015 17:50:27, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86980/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86980/ Fri, 31 Jul 2015 17:50:27 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
в безопасный режим зайти под Администратором (или другой учетной записью с правами локального администратора) и сделать образ автозапуска
+
добавлю, что uVS анализирует профили всех учетных записей
31.07.2015 17:42:02, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86979/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86979/ Fri, 31 Jul 2015 17:42:02 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
пробуйте создать образ автозапуска из безопасного режима системы
=============
В смысле, зайдя под проблемным пользователем в безопасный режим?
31.07.2015 17:38:29, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86978/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86978/ Fri, 31 Jul 2015 17:38:29 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
пробуйте создать образ автозапуска из безопасного режима системы
31.07.2015 17:30:27, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86976/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86976/ Fri, 31 Jul 2015 17:30:27 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
добавьте образ автозапуска проблемной системы
http://forum.esetnod32.ru/forum9/topic2687/
=============
Судя по инструкции? что Вы дали, там все равно нужно нажать кнопку "Запустить под текущим пользователем". А тут проблема! Я же должен запустить программу от имени текущего пользователя под которым проблема? А у меня так не получается из-за трояна - "Ошибка доступа к объекты или файлу". Можно запустить только если, нажать ПКМ-Запустить от имени администратора. Тогда программка запускается! Но я правильно понимаю, что надатие кнопки "Запустить под текущим пользователем" уже будет относиться к администратору, а не к текущему пользователю, т.к. был произведен запуск от имени администратора!
31.07.2015 17:21:57, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86975/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86975/ Fri, 31 Jul 2015 17:21:57 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
добавьте образ автозапуска проблемной системы
http://forum.esetnod32.ru/forum9/topic2687/
31.07.2015 17:09:54, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86971/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86971/ Fri, 31 Jul 2015 17:09:54 +0300 Обнаружение вредоносного кода и ложные срабатывания Не лечится троян Не лечится троян в форуме Обнаружение вредоносного кода и ложные срабатывания.
Добрый день. Очень прошу оперативно помочь вылечить троян.
Итак мини история))
Есть один ПК, на котором думали стоит антивирь, а на самом деле про него забыли туда поставить и ХЗ сколько он без антивиря работал. Купили мы корпорат.лицензию ESETа и я все это дело разворачиваю на наших ПК. Вот и сегодня установил ESET Endpoint Antivirus 6, через Remote Administrator, и через некоторое время пользователь меня зовет и говорит, что ни чего не может открыть и работать невозможно.
Оказалось что на экран постоянно всплывает сообщение, что обнаружен троян CORKOW.AX (или AF), точно не помню не заскринил, в процессе Explorer (ID). И ни чего не дает открыть. Любой ярлык или программа, при попытке двойного клика, выдает "Ошибка доступа к файлу". Если зайти на этом ПК под другим доменным пользователем, то таких проблем нет!!!!

Но я решил протестить полностью ПК через ESET - ESET что-то там еще нашел, полечил, но этот троян не может удалить!
Прошелся Kaspersky Removal Tool, MailWare, CureIT - ни кто из них не видит этого трояна.

Почитал, что надо вроде как пользоваться утилитой uAV+ к ней на каком-то форуме прилагался какой-то скрипт, кажется тут и брал. Выполнить скрипт под текущим пользователем не могу, т.к. не могу запустить под ним uAV, приходится запускать от имени администратора, но в этом случае, он похоже начинает работать с профилем администратора, а не текущем! Короче он мне не помог!

Выручайте люди добрые!
Спасибо!
31.07.2015 17:04:36, Денис Смирнов.]]> http://forum.esetnod32.ru/messages/forum6/topic12301/message86970/ http://forum.esetnod32.ru/messages/forum6/topic12301/message86970/ Fri, 31 Jul 2015 17:04:36 +0300 Обнаружение вредоносного кода и ложные срабатывания