Модифицированный Win32/Corkow.AE trojan Eplorer.exe

[Ilya|_aa]

Добрый день, просим помощи, столкнулись с вирусом

Scanner Startup scanner
Object file
Name Operating memory » explorer.exe(336)
Threat a variant of Win32/Corkow.AE trojan
Action cleaned by deleting

пробовали различные скрипты AVZ и Uvs не помогло. Помогите избавиться!

[Info_bot]

Уважаемый(ая) Ilya|_aa, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

пробовали различные скрипты AVZ и Uvs не помогло. Помогите избавиться!

Нельзя использовать чужие скрипты! Можете положить себе систему.

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[Ilya|_aa]

Все выгрузил

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64 then  
begin   
SearchRootkit(true, true);   
SetAVZGuardStatus(True);  
end;
QuarantineFile('C:\WINDOWS\explorer.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.
Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[regist]

+

proxy - 10.26.8.10:8080 сами прописывали?

Выполните скрипт в uVS и пришлите карантин

;uVS v3.83 BETA 13 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

BREG
zoo \\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\KK.VBS
zoo \\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\LOGON_EXP.VBS
zoo \\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\LOGON_AVT.VBS
zoo \\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\LOGON_KAN.VBS
dirzoo %SystemDrive%\DOCUMENTS AND SETTINGS\BEZRUCHKIN\APPLICATION DATA\DAOEU
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\BEZRUCHKIN\APPLICATION DATA\DAOEU\SHDMGR.BVM
delall %SystemDrive%\DOCUMENTS AND SETTINGS\BEZRUCHKIN\APPLICATION DATA\DAOEU\SHDMGR.BVM
czoo
restart

сделайте новый образ автозапуска.

[Ilya|_aa]

да прокси свой

[regist]

выполните скрипт и пришлите карантин и новый образ автозапуска.

ps.

\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ KK.VBS
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ LOGON_EXP.VBS
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ LOGON_AVT.VBS
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ LOGON_KAN.VBS

эти скрипты тоже знакомы?

[Ilya|_aa]

Скрипты мои
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ KK.VBS
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ LOGON_EXP.VBS
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ LOGON_AVT.VBS
\\OFFICE.LOCAL\SYSVOL\OFFICE.LOCAL\POLICIES\LOGON\ LOGON_KAN.VB

, в папке ZOO пусто

[mike 1]

Что с проблемой?

[regist]

+ Если есть удалите папку

C:\DOCUMENTS AND SETTINGS\BEZRUCHKIN\APPLICATION DATA\DAOEU

если она не пустая, то заархивируйте в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

[Ilya|_aa]

Папка C:\DOCUMENTS AND SETTINGS\BEZRUCHKIN\APPLICATION DATA\DAOEU пуста Спасибо! Сейчас сканирую, пока нет.

[mike 1]

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены