Форум esetnod32.ru [тема: модифицированный Win32/Corkow] http://forum.esetnod32.ru Новое в теме модифицированный Win32/Corkow форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Wed, 29 Apr 2026 21:44:10 +0300 модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
скорее всего,
все уже благополучно завершилось,
последняя угроза датирована двумя неделями назад,
новый образ в uVS нужен под администратором для контроля.
(или не нужен, поскольку лечение завершено.)
06.02.2012 18:35:17, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32645/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32645/ Mon, 06 Feb 2012 18:35:17 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
alexey77 пишет:
Так лог же в uVS я только сделал
=============
Я имею ввиду новый образ uVS - Сделанный как и первый в безопасном режиме !
А не лог выполнения скрипта !
В данном случае скрипты нужно выполнять из безопасного режима !
06.02.2012 18:04:57, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32637/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32637/ Mon, 06 Feb 2012 18:04:57 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
Так лог же в uVS я только сделал (раньше не мог), а лог журнала угроз прилагаю.
nod_060212.txt
06.02.2012 17:24:42, alexey77.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32627/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32627/ Mon, 06 Feb 2012 17:24:42 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
alexey77 пишет:
Выкладываю результаты сегодняшнего выполнения скрипта
=============
Вы бы его ещё через год выполнили.
1) Делаем новый лог в uVS
+
Добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
06.02.2012 17:12:08, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32623/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32623/ Mon, 06 Feb 2012 17:12:08 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
Выкладываю результаты сегодняшнего выполнения скрипта
;uVS v3.74 script [http://dsrt.dyndns.org]  
;Target OS: NTv5.1

delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\LBISOV.EXE
delall F:\MENINIKO\NETREBA.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\QMKIN.EXE
deltmp
delnfr
regt 5
regt 12
restart

папки ZOO нет, а из uvs написало что нет ничего для выгрузки.
в NOD4 в пятницу прислал такое сообщение:
Модуль Модуль сканирования файлов, исполняемых при запуске системы - Предупреждение об угрозе на RD-PONOMAREVA:  Оперативная память » explorer.exe(600) заражен модифицированный Win32/Corkow.A троянская программа.
2012-02-06_16-53-57_log.txt
06.02.2012 17:04:27, alexey77.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32621/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32621/ Mon, 06 Feb 2012 17:04:27 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
alexey77 пишет:
Прикладываю новый лог.
Вирус кстати о себе уже не напоминает 3 дня. может самоликвидировался?    
Посмотрю теперь что будет в понедельник. Если опять проявится - напишу.
Хороших всем выходных!
=============
Скрипт надо выполнить под Администратором, очевидно текущая учетная запись не является администратором в системе.
03.02.2012 14:19:30, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32220/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32220/ Fri, 03 Feb 2012 14:19:30 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
Прикладываю новый лог.
Вирус кстати о себе уже не напоминает 3 дня. может самоликвидировался?  :)
Посмотрю теперь что будет в понедельник. Если опять проявится - напишу.
Хороших всем выходных!
2012-02-03_13-57-40_log.txt
03.02.2012 14:03:30, alexey77.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32219/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32219/ Fri, 03 Feb 2012 14:03:30 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
====code==== 
;uVS v3.74 script [http://dsrt.dyndns.org]   
;Target OS: NTv5.1

delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\LBISOV.EXE
delall F:\MENINIKO\NETREBA.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\HRISTININA\APPLICATION DATA\QMKIN.EXE
deltmp
delnfr
regt 5
regt 12
restart
=============
перезагрузка, пишем о старых и новых проблемах.
архив (например: 2010-10-04_13-30-55.rar/7z) из папки uVS отправить в почту sendvirus2011@gmail.com
если архив не был создан автоматически,
самостоятельно добавить папку ZOO (с копиями вирусов для вирлаба) в архив с паролем infected
----------
далее,
выполните быстрое сканирование в Malwarebytes
02.02.2012 17:02:19, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32052/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32052/ Thu, 02 Feb 2012 17:02:19 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
что то по журналу нет записей про Corkow, да и дата недельной давности последней угрозы.

====quote====
26.01.2012 10:50:34 Защита в режиме реального времени файл C:\Program Files\sm45\GMapCache\zbpvwm.exe модифицированный Win32/Tifaut.C червь удален - изолирован NT AUTHORITY\SYSTEM Событие произошло при попытке доступа к файлу следующим приложением: C:\WINDOWS\explorer.exe.
=============
образ сейчас посмотрю.
02.02.2012 16:58:21, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32051/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32051/ Thu, 02 Feb 2012 16:58:21 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
Переделал лог uVS в Безопасном режиме, но от пользователя Администратор.
Лог журнала экспортировал.
RD-PONOMAREVA-N_2012-01-31_17-35-00.7z
threat_from_nod.txt
02.02.2012 16:45:58, alexey77.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message32050/ http://forum.esetnod32.ru/messages/forum6/topic3874/message32050/ Thu, 02 Feb 2012 16:45:58 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
+
добавить лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
31.01.2012 12:39:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message31786/ http://forum.esetnod32.ru/messages/forum6/topic3874/message31786/ Tue, 31 Jan 2012 12:39:14 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
alexey77,
переделайте этот лог в Безопасном режиме

====quote====
--------------------------------------------------------
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Environment
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Environment
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Environment
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19_Classes
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Environment
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Environment
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Environment
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20_Classes
Загружено реестров пользователей: 0
Построение списка процессов и модулей...
Обнаружен внедренный модуль: C:\PROGRAM FILES\REALVNC\VNC4\WM_HOOKS.DLL
Анализ автозапуска...
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKLM\System\CurrentControlSet\Services\HealthService\Paramet­ers
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKLM\System\CurrentControlSet\Services\TlntSvr
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKLM\System\CurrentControlSet\Services\WmiApRpl
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKLM\System\CurrentControlSet\Services\WmiApRpl\Performance
Не удалось получить прямой доступ к диску
Не удалось получить прямой доступ к диску
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\ShellNoRoam\MUICache
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\ShellNoRoam\MUICache
Построение списка системных модулей и драйверов...
(!) Не удалось получить прямой доступ к физическому диску #0, возможно в системе активен руткит!
Анализ файлов в списке...
Файл не найден: \DEVICE\WINDFS\ROOT\RDHOLDING.RU\SYSVOL\RDHOLDING.RU\POLICIES\{9D0A5C91-7D77-425D-96E5-7D62D49F6088}\USER\SCRIPTS\LOGON\HRDPBN.EXE
Файл не найден: C:\WINDOWS\SYSTEM32\PSXSS.EXE
Файл не найден: C:\WINDOWS\SYSTEM32\DRIVERS\DUMP_ATAPI.SYS
Файл не найден: C:\WINDOWS\SYSTEM32\DRIVERS\DUMP_WMILIB.SYS
Анализ завершен.
Список готов.
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\Explor­er
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\Explor­er
(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKLM\Software\Microsoft\Windows\CurrentVersion\BITS
Не удалось получить прямой доступ к диску
Не удалось получить прямой доступ к диску
=============

31.01.2012 12:29:47, Арвид.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message31785/ http://forum.esetnod32.ru/messages/forum6/topic3874/message31785/ Tue, 31 Jan 2012 12:29:47 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
сделал.
RD-PONOMAREVA-N_2012-01-31_12-19-56.7z
31.01.2012 12:24:49, alexey77.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message31784/ http://forum.esetnod32.ru/messages/forum6/topic3874/message31784/ Tue, 31 Jan 2012 12:24:49 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
нужен образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/
причем uVS должен быть версии .3.73.2
скачать отсюда
http://rghost.ru/users/santy/releases/utilitiesLiveCd
31.01.2012 11:21:54, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message31777/ http://forum.esetnod32.ru/messages/forum6/topic3874/message31777/ Tue, 31 Jan 2012 11:21:54 +0400 Обнаружение вредоносного кода и ложные срабатывания модифицированный Win32/Corkow модифицированный Win32/Corkow explorer.exe(1360) заражен модифицированный Win32/Corkow в форуме Обнаружение вредоносного кода и ложные срабатывания.
Получаю такие сообщения от NOD:
Модуль Модуль сканирования файлов, исполняемых при запуске системы - Предупреждение об угрозе на RD-PONOMAREVA:  Оперативная память » explorer.exe(1360) заражен модифицированный Win32/Corkow.A троянская программа.
30.01.2012 9:02:14 - Модуль Модуль сканирования файлов, исполняемых при запуске системы - Предупреждение об угрозе на RD-PONOMAREVA:  Оперативная память » explorer.exe(1360) заражен модифицированный Win32/Corkow.A троянская программа.

Проверялся AVZ и MBAM. Логи прилагаю (от разных дат, он с тех пор ничего не изменилось, компом к сожалению некогда было заниматься).
virusinfo_syscheck.zip
virusinfo_syscure.zip
mbam-log-2012-01-23 (17-18-48).txt
31.01.2012 11:13:43, alexey77.]]> http://forum.esetnod32.ru/messages/forum6/topic3874/message31776/ http://forum.esetnod32.ru/messages/forum6/topic3874/message31776/ Tue, 31 Jan 2012 11:13:43 +0400 Обнаружение вредоносного кода и ложные срабатывания