santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Win32/Corkow.AX, Вирусня=)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.12.2014 12:09:25

по SANSAN:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE delall %SystemDrive%\USERS\FILIMONTSEVSA\APPDATA\ROAMING\DAOBU\WMVDIAGF.IOE deltmp delnfr restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
если лог мбам будет чистый, то на этом можно закончить с проверками на SANSAN

Изменено: santy - 26.12.2014 12:10:08

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Corkow.AX, Вирусня=)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 26.12.2014 12:05:29

по E-6795
-----------
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE addsgn 8A99E258658017A995B157487636629A971D94DC89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork zoo %SystemDrive%\DOCUMENTS AND SETTINGS\KUZNETSOVAEV\APPLICATION DATA\DAOOG\FSUTOPL.NEC chklst delvir deltmp delnfr czoo restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
addsgn 8A99E258658017A995B157487636629A971D94DC89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\KUZNETSOVAEV\APPLICATION DATA\DAOOG\FSUTOPL.NEC
chklst
delvir

deltmp
delnfr
czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
если лог мбам будет чистым, то на этом можно остановиться.
+
обновить java до актуальной версии, скорее всего через нее (Java™ 6 Update 32) пробивает.

Изменено: santy - 26.12.2014 12:06:00

[ Как создать образ автозапуска? ]

Перейти

Защита от вирусных шифровщиков с помощью HIPS

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2014 08:41:31

в ESET Endpoint Security 6 похоже улучшили HIPS. в %temp% можно запретить создание pubring.gpg для всех приложений, соответственно gpg.exe (или ее варианты с другим наименованием) не сможет создать pubring.gpg даже если будет запущена из других приложений: *.bat, *.cmd

кстати, хелп по корпоративной шестерке (пока в английской редакции):
http://help.eset.com/ees/6/en-US/?idh_hips_editor_single_rule.htm

Изменено: santy - 25.12.2014 08:50:34

[ Как создать образ автозапуска? ]

Перейти

Ошибка при обмене данными с ядром, главная

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 25.12.2014 07:39:54

пробуйте перегрузить систему и проверить результат.
если ошибка повторится, добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Corcow AX, Win32/Corcow AX

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.12.2014 17:54:31

+
линк проверки
https://www.virustotal.com/ru/file/7339d925fdf3dd891a1d2b760148ab248cc62029433f87bb39110a918886fc0c/...

т.е. теперь данный семпл будет детектироваться через VT

Цитата
Полное имя C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API Имя файла REGSNAP.API Статус ВИРУС Сигнатура Win32/Corkow.AZ [ESET-NOD32] [глубина совпадения 64(64), необх. минимум 64, максимум 64] www.virustotal.com 2014-12-24 [2014-12-24 14:53:09 UTC ( 3 minutes ago )] DrWeb Trojan.Bayanker.38 ESET-NOD32 Win32/Corkow.AZ Удовлетворяет критериям CORKOW.LANMANSERVER (ССЫЛКА ~ LANMANSERVER)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) SERV_DLL.FALSE (ССЫЛКА ~ \PARAMETERS\SERVICEDLL)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)

Цитата

Полное имя C:\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
Имя файла REGSNAP.API

Статус ВИРУС
Сигнатура Win32/Corkow.AZ [ESET-NOD32] [глубина совпадения 64(64), необх. минимум 64, максимум 64]

www.virustotal.com 2014-12-24 [2014-12-24 14:53:09 UTC ( 3 minutes ago )]
DrWeb Trojan.Bayanker.38
ESET-NOD32 Win32/Corkow.AZ

Удовлетворяет критериям
CORKOW.LANMANSERVER (ССЫЛКА ~ LANMANSERVER)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
SERV_DLL.FALSE (ССЫЛКА ~ \PARAMETERS\SERVICEDLL)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)

Изменено: santy - 24.12.2014 17:58:46

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Corcow AX, Win32/Corcow AX

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.12.2014 13:21:13

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE addsgn 7F8D846F27B8B2AA48B0FB0FF7FE10C3A384B3EE89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork zoo %SystemDrive%\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API ;------------------------autoscript--------------------------- chklst delvir ; Java(TM) 6 Update 23 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216021FF} /quiet deltmp delnfr ;------------------------------------------------------------- czoo restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn 7F8D846F27B8B2AA48B0FB0FF7FE10C3A384B3EE89FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA7DDFE87255DAB02C2D77A42FC7062273 64 Cork

zoo %SystemDrive%\PROGRAM FILES\WINDOWS NT\MICROSOFT\SP2SF\REGSNAP.API
;------------------------autoscript---------------------------

chklst
delvir

; Java(TM) 6 Update 23
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216021FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Corcow AX, Win32/Corcow AX

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.12.2014 20:15:38

если все правильно сделали, то
найдите в папке uVS файл с именем:
ваш компьютер_дата_время.txt или ***.7z
--------
примеры названия:
1-ПК_2014-12-04_16-52-44.txt
или
ADMIN-7T4XP3C7I_2014-12-18_15-27-40.txt

---------
если нет подобных файлов,
значит прочитайте еще раз внимательно инструкцию, и выполните рекомендуемые действия,
пока не будет получен нужный файл образа.

Изменено: santy - 23.12.2014 20:17:41

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Win32/Corcow AX, ESET не может удалить

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.12.2014 16:35:29

используем tnod

Код
TNod User & Password Finder

тема будет закрыта в связи с нарушением вами лицензионного соглашения.
обратитесь за помощью на другой форум.

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] 2inf.net/?utm_source=uoua, Реклама в браузере и программа favorites

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.12.2014 10:01:08

добавьте новый образ автозапуска

[ Как создать образ автозапуска? ]

Перейти

Скинул человеку файл на флэшку, говорят , что вирус у меня

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 22.12.2014 11:39:49

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MACROMEDIA\FLASH PLAYER\MACROMEDIA.COM\SUPPORT\FLASHPLAYER\SYS\#IMG0.IMGSMAIL.RU\WINVER.EXE ;------------------------autoscript--------------------------- chklst delvir delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] regt 28 regt 29 deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\APPLICATION DATA\MACROMEDIA\FLASH PLAYER\MACROMEDIA.COM\SUPPORT\FLASHPLAYER\SYS\#IMG0.IMGSMAIL.RU\WINVER.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

regt 28
regt 29
deltmp
delnfr
;-------------------------------------------------------------

restart

[ Как создать образ автозапуска? ]

Перейти