Win32/Corkow.F

[Roman_Panin]

Где находит?

Оперативная память = explorer.exe(3708 )

[Techno]

Сделайте лог TDSSKiller

[Roman_Panin]

Сделайте лог TDSSKiller

Выполнено, ничего не обнаружено. Лог почему то не могу прикрепить к сообщению.

[Vvvyg]

Выполните скрипт в uVS:

;uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo  %SystemDrive%\USERS\АРТИ\APPDATA\ROAMING\DAOAC\AUXSPRX4.IPR
delall %SystemDrive%\USERS\АРТИ\APPDATA\ROAMING\DAOAC\AUXSPRX4.IPR
delref HTTP://STRATOSTART.RU
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} /quiet
restart

Компьютер перезагрузится.

Уведомление

Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Скачайте и установите Java 7 Update 45. Уязвимости Java являются частой причиной взлома и заражения системы и поэтому это потенциальная дыра в безопасности.

Упакуйте содержимое папки ZOO (если оне не пуста) с помощью WinRar, 7-Zip или WinZip в архив формата .ZIP с паролем virus и отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте полный образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.

[Roman_Panin]

1. Выполнил скрипт, лог файл прилагаю в прикрепленных
2. Обновил Java
3. Папка Zoo пуста. (я все правильно сделал? согласно скрипта д.б. AUXSPRX4.IPR)
4. Выполнил полный образ автозапуска uVS, архив прилагаю. http://rghost.ru/49952472

5. Жалобы ESET SS v.7 прекратились, лог прилагаю. http://rghost.ru/private/49952529/1c...6741364d43750b

[thyrex]

C:\USERS\РАБОТА\APPDATA\ROAMING\DAOFT\OFF394.ES
C:\USERS\РАБОТА\APPDATA\ROAMING\DAOGG\WSECZ1.H
C:\USERS\РАБОТА\APPDATA\ROAMING\DAOAC\AUXSPRX4.IPR

тоже под снос

[mike 1]

Или закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOFT\OFF394.ES','');
 QuarantineFile('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOGG\WSECZ1.H','');
 QuarantineFile('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOAC\AUXSPRX4.IPR','');
 QuarantineFileF('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOFT', '*', true, ' ', 0, 0);
 QuarantineFileF('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOGG', '*', true, ' ', 0, 0);
 QuarantineFileF('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOAC', '*', true, ' ', 0, 0);     
 DeleteFile('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOFT\OFF394.ES','32');      
 DeleteFile('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOGG\WSECZ1.H','32');     
 DeleteFile('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOAC\AUXSPRX4.IPR','32');        
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;    
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Roman_Panin]

Выполнено, архив quarantine.zip выслан согласно инструкции.

[mike 1]

Закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 DeleteFileMask('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOFT', '*', true, ' ');
 DeleteFileMask('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOGG', '*', true, ' ');
 DeleteFileMask('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOAC', '*', true, ' ');
 DeleteDirectory('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOFT');     
 DeleteDirectory('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOGG');     
 DeleteDirectory('C:\USERS\РАБОТА\APPDATA\ROAMING\DAOAC');   
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера.

[Roman_Panin]

Скрипт выполнен!

[Techno]

Проблемы еще какие-нибудь остались?

- Удалите ComboFix.

[Roman_Panin]

Проблемы еще какие-нибудь остались?

- Удалите ComboFix.

ComboFix удален.
Субьективно проблем нет, предупреждение об Win32/Cоrkow.F не появляются.
Что необходимо выполнить для контроля качества лечения?
Если несложно, хотелось бы ссылку почитать или кратко описать, что хватанул мой ноутбук и какие проблемы в безопасности остались (сменить пароли например).
А так, спасибо товарищи, обязательно поддержу проект.

[mike 1]

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены