Форум esetnod32.ru [тема: Win32/Corkow.A в explorer.exe, очистка невозможна] http://forum.esetnod32.ru Новое в теме Win32/Corkow.A в explorer.exe, очистка невозможна форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Sun, 03 May 2026 11:21:58 +0300 Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
хорошо,
выполните наши рекомендации по безопасной работе
19.01.2012 17:10:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30554/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30554/ Thu, 19 Jan 2012 17:10:14 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Делал сканирование только системного диска, где, собственно этот файл и находится. Но поиск ничего не дал, угроз нет. Тем не менее антивирус продолжает орать, что процесс заражен.
Версия базы 6807

П.С. тыкнул свой антивирус носом прямо в эту папку. Нашел все-таки вирус, изолировал, перезагрузил компьютер, проблемы больше нет!
Спасибо вам большое, за помощь! Очень благодарен! :)
19.01.2012 14:36:41, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30532/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30532/ Thu, 19 Jan 2012 14:36:41 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Судя по отчету, нод вирус ловит! Полное сканирование ПК с обновленными базами делали?
19.01.2012 14:34:07, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30531/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30531/ Thu, 19 Jan 2012 14:34:07 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
SHA256: 1a0fe20c1fd309f743b303d3b2691f9df808ab862c58ec2628d42f9c01e4­19e6
SHA1: e30921de97a18e2f84ee51b54554525f3d9af837
MD5: 7b33e2f4e7567e07d63474ba9ee51570
File size: 170.0 KB ( 174080 bytes )
File type: Win32 DLL
Detection ratio: 3 / 43
Analysis date: 2012-01-19 10:19:43 UTC ( 1 minute ago )

DrWeb BackDoor.Siggen.33484 20120119
NOD32 a variant of Win32/Corkow.A 20120119
VBA32 Trojan.FakeDll.1291 20120118

UninitializedDataSize....: 0
InitializedDataSize......: 125440
ImageVersion.............: 6.1
ProductName..............: Microsoft   Windows   Operating System
FileVersionNumber........: 6.1.7600.16385
LanguageCode.............: English (U.S.)
FileFlagsMask............: 0x003f
FileDescription..........: SPP Notification Service
CharacterSet.............: Unicode
LinkerVersion............: 9.0
FileOS...................: Windows NT 32-bit
MIMEType.................: application/octet-stream
Subsystem................: Windows command line
FileVersion..............: 6.1.7600.16385 (win7_rtm.090713-1255)
TimeStamp................: 2009:07:14 02:10:43+01:00
FileType.................: Win32 DLL
PEType...................: PE32
InternalName.............: sppuinotify.dll
ProductVersion...........: 6.1.7600.16385
SubsystemVersion.........: 6.0
OSVersion................: 6.1
OriginalFilename.........: sppuinotify.dll
LegalCopyright...........: Microsoft Corporation. All rights reserved.
MachineType..............: Intel 386 or later, and compatibles
CompanyName..............: Microsoft Corporation
CodeSize.................: 47616
FileSubtype..............: 0
ProductVersionNumber.....: 6.1.7600.16385
EntryPoint...............: 0x9dcb
ObjectFileType...........: Dynamic link library

publisher................: Microsoft Corporation
product..................: Microsoft_ Windows_ Operating System
internal name............: sppuinotify.dll
copyright................: © Microsoft Corporation. All rights reserved.
original name............: sppuinotify.dll
file version.............: 6.1.7600.16385 (win7_rtm.090713-1255)
description..............: SPP Notification Service

PE Sections...................:

Name        Virtual Address  Virtual Size  Raw Size  Entropy  MD5
.text                  4096         47275     47616     6.81  dbd3522880828685b766faef7ccd0f54
.data                 53248          1668       512     0.42  12cad80fe04f94ac1e3c55e37187b5ca
.rsrc                 57344        121480    121856     7.99  8b3cd9178593c8c99e118beff333c433
.reloc               180224          2836      3072     5.47  f58760f39bd614f65c3d2ef89ddf087c

PE Imports....................:

urlmon.dll
MkParseDisplayNameEx

KERNEL32.dll
RaiseException, GetCurrentThreadId, ReleaseSemaphore, Sleep, DisableThreadLibraryCalls, InterlockedExchange, QueryPerformanceCounter, GetTickCount, GetCurrentProcessId, GetSystemTimeAsFileTime, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, CreateTimerQueue, HeapAlloc, GetProcessHeap, HeapFree, InterlockedCompareExchange, GetProcAddress, GetLastError, GetModuleHandleExW, GetSystemTime, SystemTimeToFileTime, VirtualProtect, EncodePointer, DecodePointer, DeleteCriticalSection, LocalFree, CloseHandle, UnregisterWaitEx, ChangeTimerQueueTimer, EnterCriticalSection, TryEnterCriticalSection, LeaveCriticalSection, VirtualQuery, DeleteTimerQueueTimer, VirtualAlloc, RegisterWaitForSingleObject, DeleteTimerQueueEx, InitializeCriticalSectionAndSpinCount, GetProductInfo, GetVersionExW, InterlockedDecrement, WaitForMultipleObjects, CreateTimerQueueTimer, SetEvent, LocalAlloc, LockResource, LoadResource, FindResourceExW, WaitForSingleObject

msvcrt.dll
_initterm, free, malloc, _amsg_exit, memmove, memcpy, _purecall, memset, _unlock, __dllonexit, _onexit, _lock, _except_handler4_common, _XcptFilter, _vsnwprintf

OLEAUT32.dll
-, -, -

ADVAPI32.dll
TraceMessage, RegisterServiceCtrlHandlerExW, UnregisterTraceGuids, RegisterTraceGuidsW, GetTraceLoggerHandle, GetTraceEnableLevel, GetTraceEnableFlags, SetServiceStatus, RegOpenKeyExW, RegCreateKeyExW, RegQueryValueExW, RegisterEventSourceW, ReportEventW, DeregisterEventSource, RegCloseKey

ole32.dll
CoRegisterClassObject, CoRevokeClassObject, CoDisconnectContext, CoCreateGuid, CreateBindCtx, StringFromGUID2, CoTaskMemAlloc, CoInitializeEx, CoUninitialize, CoTaskMemFree, CoCreateInstance

slc.dll
SLRegisterWindowsEvent, SLUnregisterWindowsEvent

WTSAPI32.dll
WTSFreeMemory, WTSEnumerateSessionsW, WTSQuerySessionInformationW


PE Exports....................:

D, l, l, G, e, t, C, l, a, s, s, O, b, j, e, c, t, ,,  , S, e, r, v, i, c, e, M, a, i, n
19.01.2012 14:23:17, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30530/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30530/ Thu, 19 Jan 2012 14:23:17 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
этот файл посмотрите на диске и проверьте на http://virustotal.com

====quote====
%AppData%\Microsoft Corporation\kbdaseln.aut
=============
возможно, полный путь будет такой

====quote====
C:\USERS\75BB~1\APPDATA\Microsoft Corporation\kbdaseln.aut
=============

19.01.2012 14:09:05, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30529/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30529/ Thu, 19 Jan 2012 14:09:05 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
lanmanserver\parameters]
"ServiceDll" = "%SystemRoot%\system32\srvsvc.dll"

[HKEY_CURRENT_USER\Software\Classes\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524153}\
InprocServer32]
"Default" = "%AppData%\Microsoft Corporation\kbdaseln.aut"
19.01.2012 13:02:28, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30527/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30527/ Thu, 19 Jan 2012 13:02:28 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Готово.
mbam-log-2012-01-19 (14-48-59).txt
19.01.2012 12:58:25, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30525/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30525/ Thu, 19 Jan 2012 12:58:25 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
sunseterry пишет:
Сделал все по инструкции. Проблема осталась, все также находит Win32/Corkow.A в explorer.exe
=============
+
еще посмотрите в реестре следующие записи

====quote====
The trojan may set the following Registry entries:

   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
   lanmanserver\parameters]
   "ServiceDll" = "%commonprogramfiles%\microsoft
   shared\%variable1%.%variable2%"
   [HKEY_CURRENT_USER\Software\Classes\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524153}\
   InprocServer32]
   "Default" = "%appdata%\Microsoft
   Corporation\%variable1%.%variable2%"

This way the trojan ensures that the file is executed on every system start.
=============
какое значение параметра "default" прописано для выделенной области реестра.
19.01.2012 12:55:50, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30523/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30523/ Thu, 19 Jan 2012 12:55:50 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Вот такой лог выполните
http://forum.esetnod32.ru/forum9/topic682/
19.01.2012 12:41:20, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30517/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30517/ Thu, 19 Jan 2012 12:41:20 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал все по инструкции. Проблема осталась, все также находит Win32/Corkow.A в explorer.exe
19.01.2012 12:39:52, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30515/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30515/ Thu, 19 Jan 2012 12:39:52 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
В программе которую скачали выше, запускаем еще раз, только теперь Меню Скрипт выполнить скрипт находящийся в буфере обмена

И вставляем текст скрипта

ПЕРЕД ВЫПОЛНЕНИКМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!

====code==== 
;uVS v3.73 script [http://dsrt.dyndns.org]

delall %SystemDrive%\USERS\75BB~1\APPDATA\LOCAL\TEMP\A08VSQL1.SYS
delall %SystemDrive%\USERS\75BB~1\APPDATA\LOCAL\TEMP\ESIHDRV.SYS
delall %SystemDrive%\USERS\75BB~1\APPDATA\LOCAL\TEMP\H3UWYUY7.SYS
regt 1
regt 2
regt 3
regt 7
regt 12
regt 18
deltmp
delnfr
restart
=============
И жмем выполнить.
ПК перезагрузится.
19.01.2012 12:32:52, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30513/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30513/ Thu, 19 Jan 2012 12:32:52 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Сделал.
ВАНЕК-ПК_2012-01-19_13-57-49.7z
19.01.2012 12:00:28, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30511/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30511/ Thu, 19 Jan 2012 12:00:28 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Вот это делать
http://forum.esetnod32.ru/forum9/topic2687/
19.01.2012 11:51:06, zloyDi.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30510/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30510/ Thu, 19 Jan 2012 11:51:06 +0400 Обнаружение вредоносного кода и ложные срабатывания Win32/Corkow.A в explorer.exe, очистка невозможна Win32/Corkow.A в explorer.exe, очистка невозможна в форуме Обнаружение вредоносного кода и ложные срабатывания.
Win32/Corkow.A в explorer.exe, очистка невозможна
Не могу вылечить, очень нужна помощь.
Если можно, разжевать все по шагам, так как полный ноль в этом деле.
19.01.2012 11:42:18, sunseterry.]]> http://forum.esetnod32.ru/messages/forum6/topic3686/message30509/ http://forum.esetnod32.ru/messages/forum6/topic3686/message30509/ Thu, 19 Jan 2012 11:42:18 +0400 Обнаружение вредоносного кода и ложные срабатывания