Форум esetnod32.ru [тема: модифицированный Win32/Corkow.A] http://forum.esetnod32.ru Новое в теме модифицированный Win32/Corkow.A форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 30 Apr 2026 06:02:04 +0300 модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
пробуем выполнить поиск руткита по файлу сверки
http://forum.esetnod32.ru/forum9/topic2729/

нужен будет загрузочный диск WinPe&uVS
скачать можно отсюда через торрент.
http://rutracker.org/forum/viewtopic.php?t=3650177

как записать загрузочный образ на CD или uVS посмотрите здесь
http://forum.esetnod32.ru/forum6/topic2102/
19.11.2011 13:23:10, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23953/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23953/ Sat, 19 Nov 2011 13:23:10 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал:
ALEX-PC_2011-11-19_12-47-08.7z
19.11.2011 13:10:37, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23952/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23952/ Sat, 19 Nov 2011 13:10:37 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
новый образ автозапуска в uVS
19.11.2011 12:38:27, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23947/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23947/ Sat, 19 Nov 2011 12:38:27 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Скрипт выполнил - пока без изменений ((
При проверке тоже самое:
Оперативная память » explorer.exe(3656) - модифицированный Win32/Corkow.A троянская программа - очистка невозможна
19.11.2011 12:19:44, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23946/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23946/ Sat, 19 Nov 2011 12:19:44 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
закрыть браузеры перед выполнением скрипта
выполнить скрипт в uVS
меню - скрипты - выполнить скрипт из буфера обмена

====code==== 
;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org]

delref HTTP://WWW.SMARTWEBSEARCH.NET/INDEX.PHP?FROM=3
delall %SystemDrive%\PROGRAM FILES\HAMSTER SOFT\HAMSTER LITE ARCHIVER\HAMSTERARC.EXE
delall %SystemDrive%\USERS\ALEX\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QIPSEARCHBAR.DLL
delall %Sys32%\ACER.EXE
restart
=============
перезагрузка, пишем о старых и новых проблемах.
19.11.2011 11:51:45, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23945/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23945/ Sat, 19 Nov 2011 11:51:45 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал. Вот оба лога:
info.txt
log.txt
19.11.2011 11:31:20, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23944/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23944/ Sat, 19 Nov 2011 11:31:20 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
лог чистый,
сделайте лог rsit
http://forum.esetnod32.ru/messages/forum9/topic2798/message23934/#message23934
по ходу придется скачать hj и установить его
19.11.2011 11:00:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23943/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23943/ Sat, 19 Nov 2011 11:00:14 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Проверил.
Вот его лог:
лог tdsskiller.txt
19.11.2011 10:44:11, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23942/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23942/ Sat, 19 Nov 2011 10:44:11 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
samaramen,
проверьте еще систему анти_руткитными утилитами
архив скачать по ссылке
http://rghost.ru/30760461
в tdsskiller ничего не удаляйте, если будет детект.
лог tdsskiller добавить на форум.
19.11.2011 10:21:21, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23941/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23941/ Sat, 19 Nov 2011 10:21:21 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
2011.11.17 22:01
Анализ автозапуска...

====quote====
Построение списка системных модулей и драйверов...
VBR NTFS [C:]: Неизвестный загрузчик SHA1: C3D4A7D092BF9F4ADE1609CE958873252FE8CF80
IPL NTFS [C:]: Неизвестный загрузчик SHA1: 9831CF7DF375DE8CC051FDD6174123E7F6D90A2A
MBR#0 [149.0GB]: Неизвестный загрузчик SHA1: DA67949D8E80AE4B877B861155C27C0550D2F7A3

=============
Сейчас напишу инструкцию по RSIT на форуме
-----
ZloyDi, посмотри инструкцию, все в ней правильно?
http://forum.esetnod32.ru/forum9/topic2798/
19.11.2011 09:09:29, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23933/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23933/ Sat, 19 Nov 2011 09:09:29 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Да врядли... все же иетересно было глянуть лог рсита...
19.11.2011 08:58:41, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23929/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23929/ Sat, 19 Nov 2011 08:58:41 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
остается подозрение на загрузчики. хотя и чистые при проверке на VT.
19.11.2011 08:55:34, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23928/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23928/ Sat, 19 Nov 2011 08:55:34 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал лог журнала:
угрозы.txt
18.11.2011 18:53:31, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23887/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23887/ Fri, 18 Nov 2011 18:53:31 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
сделайте лог журнала обнаруженных угроз
http://forum.esetnod32.ru/forum9/topic1408/
18.11.2011 09:09:54, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23846/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23846/ Fri, 18 Nov 2011 09:09:54 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
То же самое...
При каждой проверке Smart Security пишет:
Оперативная память » explorer.exe(628) - модифицированный Win32/Corkow.A троянская программа - очистка невозможна
18.11.2011 08:19:37, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23841/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23841/ Fri, 18 Nov 2011 08:19:37 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
что сейчас с проблемой? есть сообщение о Win32/Corkow.A или нет?
17.11.2011 23:19:45, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23816/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23816/ Thu, 17 Nov 2011 23:19:45 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Скрипт выполнил - не помогло(

====quote====
удалите все найденное в МБАМ
=============
- удалил, сделал новый лог.
mbam-log-2011-11-17 (22-09-57).txt
ALEX-PC_2011-11-17_22-02-29.7z
17.11.2011 23:14:19, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23815/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23815/ Thu, 17 Nov 2011 23:14:19 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
сорри, в предыдущем скрипте была ошибка.
---------------------
выполнить скрипт в uVS
(закрыть браузеры перед выполнением скрипта)
меню - скрипты - выполнить скрипт из буфера обмена

====code==== 

;uVS v3.72 BETA 4 script [http://dsrt.dyndns.org]

sreg
delref %SystemRoot%\SYSWOW64\WFCJDNE.DLL
areg
=============
перезагрузка, новый образ автозапуска
17.11.2011 21:09:31, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23782/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23782/ Thu, 17 Nov 2011 21:09:31 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
удалите все найденное в МБАМ,
перезагрузка,
новый лог МБАМ
17.11.2011 21:03:36, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23781/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23781/ Thu, 17 Nov 2011 21:03:36 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал
mbam-log-2011-11-17 (19-10-30).txt
17.11.2011 20:21:57, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23778/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23778/ Thu, 17 Nov 2011 20:21:57 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Вот такой лог выполните
http://forum.esetnod32.ru/forum9/topic682/
17.11.2011 19:29:15, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23763/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23763/ Thu, 17 Nov 2011 19:29:15 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Не помогло ((
При проверке тоже самое:
Оперативная память » explorer.exe(628) - модифицированный Win32/Corkow.A троянская программа - очистка невозможна
Оперативная память » \\?\C:\USERS\ALEX\DESKTOP\ПРОГА\gvmssn - Ошибка открытия  [4] (в папке прога лежит uVS)
Архив не был создан автоматически, а папка ZOO пустая...
Что делать?
ALEX-PC_2011-11-17_18-09-54.7z
2011-11-17_18-02-34_log.txt
17.11.2011 19:18:48, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23762/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23762/ Thu, 17 Nov 2011 19:18:48 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполнить скрипт в uVS
(закрыть браузеры перед выполнением скрипта)
меню - скрипты - выполнить скрипт из буфера обмена

====code==== 

;uVS v3.72 BETA 3 script [http://dsrt.dyndns.org]

deltmp
delnfr
addsgn A7679BC9DE37442480A1A2E6EFB50280D3FFF575B4C2A37895C32E9AD328703826943D554B773C09EA80941A866240AD2B8C17A2D01AC4207A21F7C7CFF9DD8C 64 Tr

zoo %SystemRoot%\SYSWOW64\WFCJDNE.DLL

areg
delref %SystemRoot%\SYSWOW64\WFCJDNE.DLL
areg
=============
перезагрузка,
новый образ автозапуска в uVS

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту virusesnod32@gmail.com, support@esetnod32.ru
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
16.11.2011 22:54:13, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23705/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23705/ Wed, 16 Nov 2011 22:54:13 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow.A модифицированный Win32/Corkow.A в форуме Обнаружение вредоносного кода и ложные срабатывания.
Такая же проблема!
Smart Security после каждой проверки выдает:
Оперативная память » explorer.exe(3744) - модифицированный Win32/Corkow.A троянская программа - очистка невозможна
Что только не делал - не могу вылечить... ХЕЛП МИ )
ALEX-PC_2011-11-16_21-21-18.7z
16.11.2011 22:29:43, samaramen.]]> http://forum.esetnod32.ru/messages/forum6/topic2770/message23701/ http://forum.esetnod32.ru/messages/forum6/topic2770/message23701/ Wed, 16 Nov 2011 22:29:43 +0400 Обнаружение вредоносного кода и ложные срабатывания