далее,
сделайте дополнительно [URL=http://forum.esetnod32.ru/forum9/topic682/]проверку системы в малваребайт[/URL]

[b]выполнить скрипт в uVS[/b]
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

[code]

;uVS v3.73.2 script [http://dsrt.dyndns.org]

delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\LOCAL SETTINGS\APPLICATION DATA\YANDEX\UPDATER\PRAETORIAN.EXE
bl B5B5D11A6D2FD7C656E46A0511536B9A 333824
addsgn A7679BF0AA02AC024AD4C64952891261848AFCF689AA7BF1A0C3C5BC5055­9D14704194DE5BBD625C13F0C59F75C4C32EF4CA9CE414DA3BE4AC965B2F­C706AB7E 8 Spy.SpyEye

zoo %SystemDrive%\SYSTEMHOST\24FC2AE3ED2.EXE
delall %SystemDrive%\SYSTEMHOST\24FC2AE3ED2.EXE
chklst
delvir
deltmp
delnfr
restart

[/code]

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

[b]выполнить скрипт в uVS[/b]
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

[code]

;uVS v3.73.2 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\SUN\JAVA\PHQGHUME.EXE
addsgn A7679BF0AA026CF34BD4C6D113881261848AFCF689AA7BF1A0C3C5BC5055­9D24704194DE5BBDAE92A2DD78F544E95CB6FD9FE82BD6D780BC6D775BAC­CA32B233 8 Trojan.PWS.SpySweep.302 [DrWeb]

zoo %SystemRoot%\WEWFS.SYS
addsgn A76D8B9A556ACC01FA8C2F4B82F80964506DF9F288FA1E90C243C5BC51C3­60593212C25209C70C589C27859E4715E15864DEE96340CBB52D28B8AD8B­9B372372 8 Win32/Rootkit.Kryptik.EN [NOD32]

bl EBC924FBCA085BC56B855884DA818716 44544
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\SUN\JAVA\PHQGHUME.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\APPLICATION DATA\NETPROTOCOL.EXE
addsgn A7679B1BB9864C720BBEC85969DE1205A64EF89C7490D41205A9D9548AC1­714CA0D3D3040D8E24E12B8084F5787CB89074B5B39A93FAB02CAEB3B445­386C1119 8 a variant of Win32/Kryptik.ZPA [NOD32]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\LRO7IDWFTOK.EXE
bl 0EA439BAF48D699A4242558EEFCE7FC1 174592
delall %SystemDrive%\DOCUMENTS AND SETTINGS\SASHOK\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\LRO7IDWFTOK.EXE
delref HTTP://SEARCH.BABYLON.COM/?BABSRC=NT_SS&MNTRID=382EDBAE00000000000000235474F057&TLVER=1­.4.19.19&AFFID=17160
deltmp
delnfr
sreg
delref %SystemRoot%\WEWFS.SYS
areg

[/code]

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

проверьте так решение от ESET для серверов.
http://www.eset.com/business/products/file-windows/

http://www.eset.eu/products/file-security-for-windows-file-server

теперь понятно что пустая будет, потому что в первый раз скриптом был вирус удален. :).

Странное дело. [B]Spy.SpyEye.CA[/B] не всегда, или часто не попадает в образ автозапуска.
Здесь
http://forum.esetnod32.ru/forum6/topic3840/
uVS его "прочитал". В общем случае, достается специализированной утилитой.

+ сделайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

[QUOTE]RP55 RP55 пишет:
3.73.2
---------------------------------------------------------
o В список для проверки добавлен 1 ключ реестра.
o Исправлена ошибка в функции удаления ссылок.
Это надо так понимать, это те ссылки что были в Cork.bat
И теперь они будут автоматом сохраняться или как ?[/QUOTE]
ошибка здесь в том, что при очистке параметра Systray в ShellServiceObjectDelayLoad пропадают иконки сети в трее,
т.е. неправильно полностью очищать параметр Systray, а зачистить надо только определение модуля в CLSID.

посмотрим, что попадет в образ при лечение новых тем с Corkow на Win7. Установщика нужного пока нет. Хорошо бы, если бы Центр Аналитики ESET обращал внимание почаще на наши проблемы. Но пока контакта нет.

[URL=http://dsrt.dyndns.org/files/uvs_v373.2.zip]3.73.2[/URL]
[QUOTE]тестируем, пофиксены проблемы с пропуском автозапуска и неправильной очистки реестра от ссылок на троян Corkow в Win7.[/QUOTE]
http://www.anti-malware.ru/forum/index.php?showtopic=19126&view=findpost&p=149491

[b]выполнить скрипт в uVS[/b]
скопировать содержимое кода в буфер обмена
uVS: start.exe, текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена
закрыть браузеры перед выполнением скрипта

[code]

;uVS v3.73.1 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\JAVAUPDTR\HACK.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\JAVAUPDTR\HACK.EXE
deltmp
delnfr
restart

[/code]

перезагрузка, пишем о старых и новых проблемах.

архив из папки uVS с копиями вирусов для вирлаба с таким именем, например: 2010-10-04_13-30-55.rar/7z)
отправить в почту [email protected], [email protected]
если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected