Показано с 1 по 19 из 19.

Вирус Trojan.Corkow Что делать? (заявка № 197494)

  1. #1
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12

    Вирус Trojan.Corkow Что делать?

    Добрый день.
    Во время проверки компа программой Malwarebytes Anti-Malware обнаружил 7 файлов с вирусом Trojan.Corkow. Файлы были помещены в карантин и удалены. После повторной проверки были обнаружены еще 2 файла, которые также были помещены в карантин и удалены. Третья проверка показала, что все чисто.
    Давно планировал переустановить систему. После всей этой возни решил это наконец то сделать.
    Система была снесены, винчестер отформатирован и переразбит. Была установлена новая система.
    Решил, на всякий случай, ее опять проверить с помощью Malwarebytes Anti-Malware.
    Все повторяется.
    Результат первой проверки
    7 вирусов.JPG
    Результат второй проверки:
    2 вируса.JPG
    После установки новой системы вроде никуда особо не лазил. Не должен был его заново подхватить.
    Правда при форматировании программа мне указывала на странную область диска размером примерно в 10 М. Но я подумал, что там просто сбойные кластеры...
    Это вирус такой живучий? Что смог пережить форматирование и переразбивку диска? Или что?
    Что можно сделать?
    Вложения Вложения
    Последний раз редактировалось vo2013; 24.02.2016 в 19:27.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,266
    Вес репутации
    327
    Уважаемый(ая) vo2013, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    Здравствуйте,

    Spyware Doctor установлен у Вас?


    AVZ выполнить следующий скрипт.
    Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('C:\WINDOWS\System32\Filt\tmp\rfb49ndv.vbt','');
     QuarantineFileF('C:\WINDOWS\System32\Filt\tmp', '*', false,'', 0, 0);
      BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в AVZ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  5. #4
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    SQ, спасибо.
    файл "quarantine" загрузил.

    - - - - -Добавлено - - - - -

    Цитата Сообщение от SQ Посмотреть сообщение
    Здравствуйте,

    Spyware Doctor установлен у Вас?
    Нет.

  6. #5
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    Проверьте, присутствую ли какие-то файлы в каталоге:
    Код:
    C:\WINDOWS\System32\Filt\tmp\
    P.S. карантин пустой.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  7. #6
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    SQ, я на всякий случай еще раз скрипты выполнил и повторно файл загрузил. А то первый раз какие то странные подвисания были.

    - - - - -Добавлено - - - - -

    Цитата Сообщение от SQ Посмотреть сообщение
    Проверьте, присутствую ли какие-то файлы в каталоге:
    Код:
    C:\WINDOWS\System32\Filt\tmp\
    P.S. карантин пустой.
    Присутствует файл
    файл 1.JPG

  8. #7
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    AVZ выполнить следующий скрипт.
    Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
    Код:
    begin
    ClearQuarantine;
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('C:\WINDOWS\System32\Filt\tmp\22boy8e.vbt','');
      BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в AVZ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  9. #8
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    SQ, отправил.

  10. #9
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    Цитата Сообщение от vo2013 Посмотреть сообщение
    SQ, отправил.
    Могли бы файл заархивировать в zip с паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  11. #10
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    Цитата Сообщение от SQ Посмотреть сообщение
    Могли бы файл заархивировать в zip с паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    Было отказано в доступе.
    может я что-то не правильно делаю?
    У меня аутпост файервол установлен. Когда я AVZ запускаю, я его отключаю каждый раз.
    Экспериментальное тыкание в кнопочки показало, что при отключенном аутпосте указанная папка пуста.
    файл4.JPG
    При включении Аутпоста, там появился новый файл
    файл 3.JPG
    Архиватор пишет что невозможно создать архив.
    Отказано в доступе.
    Поиск по форуму показывает, что возможно указанная папка принадлежит аутпосту.
    http://virusinfo.info/showthread.php?t=94742
    Мне бы понять, вот этот мой троян - это троян (Trojan.Corkow) он типа этого https://habrahabr.ru/company/eset/blog/214197/ ?
    Может имеет смысл еще раз переустановить систему и если он опять появиться не стирать файлы, а прислать их для исследования?

    - - - - -Добавлено - - - - -

    Могу повторить скрипты не отключая файервол.
    Сейчас этот фал называется так:
    Вложение 618007

  12. #11
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    Цитата Сообщение от vo2013 Посмотреть сообщение
    Папка принадлежит аутпосту.
    Да скорее всего, хотел убедиться.

    - Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
    • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    • Нажмите кнопку Scan.
    • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
    • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  13. SQ получил(а) благодарность за это сообщение от


  14. #12
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    Готово.
    Первый фал пришлось заархивировать.
    Пишет: "FRST.txt: 60.2 Кб превысил(а) предел на форуме. <a href="misc.php?do=attachments" target="_blank">Нажмите здесь для просмотра ваших вложений</a>"
    Вложения Вложения

  15. #13
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
      Код:
      CreateRestorePoint:
      File: C:\WINDOWS\SET4.tmp
      File: C:\WINDOWS\SET3.tmp
      File: C:\WINDOWS\SET8.tmp
      File: C:\WINDOWS\system32\CONFIG.TMP
    • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
    • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
    • Обратите внимание, что компьютер возможно будет перезагружен.


    В системных событиях логируются проблемы с HDD:
    Код:
    Error: (02/24/2016 05:15:45 PM) (Source: 0) (EventID: 1) (User: )
    Description: 0xC0000001HarddiskVolume1
    
    Error: (02/24/2016 04:20:29 PM) (Source: 0) (EventID: 1) (User: )
    Description: 0xC0000001HarddiskVolume1
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  16. #14
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    Готово.
    Вложения Вложения

  17. #15
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    ничего плохово не замечаю, для того чтобы искючить ложное срабатывание, могли бы один из вредоносных файлов по мнению Malwarebytes Anti-Malware запаковать в архив zip c паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  18. #16
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    Цитата Сообщение от SQ Посмотреть сообщение
    ничего плохово не замечаю, для того чтобы искючить ложное срабатывание, могли бы один из вредоносных файлов по мнению Malwarebytes Anti-Malware запаковать в архив zip c паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    К сожалению, я их удалил из карантина.

  19. #17
    Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    6,729
    Вес репутации
    181
    Цитата Сообщение от vo2013 Посмотреть сообщение
    К сожалению, я их удалил из карантина.
    Согласно посту на оф. форуме malwarebytes - было ложное срабатывание, которое было испралено.
    Подробнее: https://forums.malwarebytes.org/inde...-trojancorkow/

    P.S. Возможно Вам потребуется вернуть удаленный ранее файл, чтобы не нарушить работу ОС: Windows XP

    Код:
    c:\windows\system32\dllcache\fontsub.dll
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  20. SQ получил(а) благодарность за это сообщение от


  21. #18
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    12
    Большое спасибо за терпение и обстоятельную помощь!

  22. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,562
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 6
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) vo2013, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Trojan.CorKow.AO
      От slim_line в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 12.09.2014, 12:30
    2. Corkow.Q trojan, TrojanDownloader.Zurgop.AZ trojan., Kryptik.BGFU trojan.
      От Zzzero в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 30.08.2013, 13:17
    3. Ответов: 4
      Последнее сообщение: 03.07.2013, 18:45
    4. Win32/Corkow.M trojan и Kryptik.AZHM trojan.
      От BugaBuga в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 27.05.2013, 14:55
    5. Ответов: 6
      Последнее сообщение: 28.04.2012, 09:41

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01360 seconds with 22 queries