Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 25.

Nod страшно ругается на Win32/Corcow.a в оперативной памяти (заявка № 116752)

  1. #1
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22

    Thumbs up Nod страшно ругается на Win32/Corcow.a в оперативной памяти

    При включении или после обновления баз начинается ругаться на модифицированного траяна и очистка невозможна.
    Логи:
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,459
    Вес репутации
    342
    Уважаемый(ая) Vertogen, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Выполните скрипт в AVZ (как выполнить):
    Код:
    procedure WhatService(AServiceName : string);
    var
    dllname, servicekey : string;
    begin
    servicekey := 'SYSTEM\CurrentControlSet\Services\'+AServiceName;
    RegKeyResetSecurity( 'HKLM', servicekey);
    RegKeyResetSecurity( 'HKLM', servicekey+'\Parameters');
    AddToLog('Description: '+RegKeyStrParamRead( 'HKLM', servicekey, 'Description'));
    AddToLog('DisplayName: '+RegKeyStrParamRead( 'HKLM', servicekey, 'DisplayName'));
    AddToLog('ImagePath: '+RegKeyStrParamRead( 'HKLM', servicekey, 'ImagePath'));
    dllname := RegKeyStrParamRead( 'HKLM', servicekey+'\Parameters', 'ServiceDll');
    AddToLog('ServiceDll: '+dllname);
    QuarantineFile(dllname,'');
    end;
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    WhatService('tdzug');
     QuarantineFile('c:\DisableS3S4.cmd','');
    BC_ImportAll;
    BC_Activate;
    SaveLog(GetAVZDirectory+'tdzug.log');
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    После перезагрузки выполните скрипт в AVZ:
    Код:
     begin
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
     end.
    Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

    Файл tdzug.log из папки AVZ приложите в теме.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  5. #4
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Файл выслал.
    Лог:
    Вложения Вложения
    • Тип файла: log tdzug.log (1.5 Кб, 2 просмотров)

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Отключите Восстановление системы (Приложение 1 правил).

    Выполните скрипт в AVZ (как выполнить):
    Код:
    Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
    var
    i : integer;
    KeyList : TStringList;
    KeyName : string;
    begin
    RegKeyResetSecurity(ARoot, AName);
    KeyList := TStringList.Create;
    RegKeyEnumKey(ARoot, AName, KeyList);
    for i := 0 to KeyList.Count-1 do
     begin
     KeyName := AName+'\'+KeyList[i];
     RegKeyResetSecurity(ARoot, KeyName);
     RegKeyResetSecurityEx(ARoot, KeyName);
     end;
    KeyList.Free;
    end;
    Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
    var
     i : integer;
     KeyList : TStringList;
     KeyName : string;
    begin
     Result := 0;
     if StopService(AServiceName) then Result := Result or 1;
     if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
     KeyList := TStringList.Create;
     RegKeyEnumKey('HKLM','SYSTEM', KeyList);
     for i := 0 to KeyList.Count-1 do
      if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
       KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
       if RegKeyExistsEx('HKLM', KeyName) then begin
        Result := Result or 4;
        RegKeyResetSecurityEx('HKLM', KeyName);
        RegKeyDel('HKLM', KeyName);
        if RegKeyExistsEx('HKLM', KeyName) then
         Result := Result or 8;
       end;
      end;
     if AIsSvcHosted then
      BC_DeleteSvcReg(AServiceName)
     else
      BC_DeleteSvc(AServiceName);
     KeyList.Free;
    end;
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     AddToLog(inttostr(BC_ServiceKill('tdzug')) );
     SaveLog(GetAVZDirectory+'avz_log.txt');
    ExecuteWizard('TSW',2,2,true);
     BC_Activate;
     RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела Диагностика правил) и приложите в теме.

    Сделайте лог MBAM:
    http://virusinfo.info/showthread.php?t=53070
    и приложите.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  7. Это понравилось:


  8. #6
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Отключить восстановление системы не могу. Конфигурация отключена групповой политикой и добраться до редактора не могу. Через "выполнить" пробовал, не прошло. Я в этом дуб дубом. Что посоветуете?

  9. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Скрипт в AVZ можете выполнить?
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  10. #8
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Скрипт выполнил, но без отключения восстановления системы.
    Логи:
    Вложения Вложения

  11. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Сделайте лог gmer (не забыв поставить галочку на диск C и нажав Scan):
    http://virusinfo.info/showthread.php?t=40118
    и приложите его в теме.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  12. #10
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Сделано.
    Лог:
    Вложения Вложения
    • Тип файла: log gmer.log (9.6 Кб, 3 просмотров)

  13. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Сохраните в блокноте текст ниже как cleanup.bat в ту же папку, где находится zyqgdhco.exe (gmer)
    Код:
    zyqgdhco.exe -del file "C:\Windows\system32\pdlmur.dll"
    zyqgdhco.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tdzug"
    zyqgdhco.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tdzug"
    zyqgdhco.exe -reboot
    И запустите cleanup.bat.
    Компьютер перезагрузится!

    Сделайте новый лог gmer.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  14. #12
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Готово.
    Лог:
    Вложения Вложения
    • Тип файла: log gmer.log (11.7 Кб, 2 просмотров)

  15. #13
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,353
    Вес репутации
    3019
    1. Откройте Блокнот и скопируйте в него текст скрипта
    Код:
    zyqgdhco.exe -del service tdzug
    zyqgdhco.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tdzug"
    zyqgdhco.exe -reboot
    2. Нажмите Файл - Сохранить как
    3. Выберите папку, в которую сохранили zyqgdhco.exe (gmer)
    4. Укажите Тип файла - [/b]Все файлы (*.*)[/b]
    5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
    6. Запустите cleanup.bat

    ВНИМАНИЕ: Компьютер перезагрузится!!!

    Сделайте новый лог gmer
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  16. #14
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Сделано.
    Лог:
    Вложения Вложения
    • Тип файла: log gmer.log (6.8 Кб, 1 просмотров)

  17. #15
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,353
    Вес репутации
    3019
    Что с проблемой?
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  18. #16
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Nod продолжает ругаться. Gmer уже ничего не находит. Еще стоит MBAM и блокирует соединение с одним и тем же вредоносным сайтом.

  19. #17
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,353
    Вес репутации
    3019
    Сделайте лог ComboFix
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  20. #18
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Готово.
    Лог:
    Вложения Вложения

  21. #19
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,353
    Вес репутации
    3019
    Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск С.
    Код:
    KillAll::
    
    File::
    
    Driver::
    tdzug
    
    NetSvc::
    tdzug
    
    Folder::
    
    Registry::
    
    FileLook::
    
    DirLook::
    После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

    Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  22. #20
    Junior Member Репутация
    Регистрация
    15.02.2012
    Сообщений
    12
    Вес репутации
    22
    Готово.
    Лог:
    Вложения Вложения

  • Уважаемый(ая) Vertogen, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 4
      Последнее сообщение: 11.03.2012, 16:21
    2. Nod32 нашел Win32/Corcow.a в оперативной памяти
      От OxoTHuK_RuS в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 18.02.2012, 18:13
    3. Win32/Corcow.A в памяти
      От ndfm в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 16.02.2012, 16:21
    4. Nod ругается на Win32/Corcow.A в памяти
      От Saviour в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 28.10.2011, 19:55
    5. Ответов: 2
      Последнее сообщение: 05.07.2010, 02:00

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00685 seconds with 17 queries