Win32/Corkow.F

**Yuriiv2** · 27.05.2013, 22:10

Здравствуйте! Прошу меня извинить за беспокойство, но сам ничего сделать не могу. Несколько дней назад подцепил вирус. Обнаружил NOD32 с сообщением "Оперативная память = rundll32.exe(3560) - модифицированный Win32/Corkow.F троянская программа - очистка невозможна". Пытался лечить web утилитой. Вирус не видит. В безопасном режиме - тоже самое. Операционка win 7 64разрядная. Требуемые логи прилагаю.С уважением и надеждой на Вашу помощь. Юрий Иванович.Вложение 420648

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 27.05.2013, 22:11

Уважаемый(ая) Yuriiv2, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 27.05.2013, 22:55

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\Users\Юра\AppData\Roaming\microsoft corporation\msmldll.las','');
 QuarantineFile('C:\Users\Юра\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\QrvVQEfkfdk.exe','');
 DeleteFile('C:\Users\Юра\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\QrvVQEfkfdk.exe');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(10);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- Сделайте лог полного сканирования МВАМ.

**Yuriiv2** · 28.05.2013, 09:20

Все сделал. Отчеты прилагаю. С уважением, Юрий Иванович.

**regist** · 28.05.2013, 12:15

Откройте AVZ - Файл - Мастер поиска и устранения проблем - Пуск

исправьте

Повреждены настройки SafeBoot

- Проведите процедуру, которая описана тут. Ссылку на результат проверки напишите в сообщении здесь.

что с проблемой ?

**Yuriiv2** · 28.05.2013, 12:56

Вирус остался

**mrak74** · 28.05.2013, 13:14

Сделайте полный образ автозапуска uVS

**Yuriiv2** · 28.05.2013, 19:50

Сейчас убегаю по делам. Как сделаю, отпишусь. С уважением, Юрий Иванович.

- - - Добавлено - - -

Ссылка на результат проверки карантина http://virusinfo.info/virusdetector/report.php?md5=9CA8DFDF5576FFB0C6CA0F79EA2E2E85

**Yuriiv2** · 28.05.2013, 20:15

Вот ссылка на результаты проверки карантина http://virusinfo.info/virusdetector/...CA0F79EA2E2E85

**Yuriiv2** · 28.05.2013, 20:17

Почему то не могу прикрепить зип архив образа автозапуска. Превышен размер вложений. Как почистить?
С уважением, Юрий Иванович.

**regist** · 28.05.2013, 22:12

загрузите сюда http://rghost.ru/ и дайте ссылку на скачивание.

**Yuriiv2** · 28.05.2013, 22:16

Спасибо за подсказку. Вот ссылка http://rghost.ru/46333344. С уважением, Юрий иванович

**regist** · 29.05.2013, 00:00

Выполните скрипт в uVS

Код:

;uVS v3.77.16 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref HTTP://DASEARCH.RU/
delref HTTP://DOSSEARCH.RU
restart

Сделайте лог ComboFix

**Yuriiv2** · 29.05.2013, 10:38

При перезагрузке выскочило сообщение (во вложении). Сканировал память антивирусом, вируса не нашел. Что может быть? Пока буду делать лог. С уважением, Юрий Иванович.
Лог готов.

- - - Добавлено - - -

С ссобщением разобрался. Убрал файл с автозагрузки. Вируса пока нет.
С уважением, Юрий Иванович

**mrak74** · 29.05.2013, 11:59

Выполните скрипт в uVS Как выполнить скрипт в uVS

Код:

;uVS v3.77.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref %SystemDrive%\USERS\ЮРА\APPDATA\ROAMING\MICROSOFT CORPORATION\MSMLDLL.LAS
restart

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Отпишитесь о проблеме.