Показано с 1 по 19 из 19.

Вирус Trojan.Corkow Что делать? (заявка № 197494)

  1. #1
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38

    Вирус Trojan.Corkow Что делать?

    Добрый день.
    Во время проверки компа программой Malwarebytes Anti-Malware обнаружил 7 файлов с вирусом Trojan.Corkow. Файлы были помещены в карантин и удалены. После повторной проверки были обнаружены еще 2 файла, которые также были помещены в карантин и удалены. Третья проверка показала, что все чисто.
    Давно планировал переустановить систему. После всей этой возни решил это наконец то сделать.
    Система была снесены, винчестер отформатирован и переразбит. Была установлена новая система.
    Решил, на всякий случай, ее опять проверить с помощью Malwarebytes Anti-Malware.
    Все повторяется.
    Результат первой проверки
    7 вирусов.JPG
    Результат второй проверки:
    2 вируса.JPG
    После установки новой системы вроде никуда особо не лазил. Не должен был его заново подхватить.
    Правда при форматировании программа мне указывала на странную область диска размером примерно в 10 М. Но я подумал, что там просто сбойные кластеры...
    Это вирус такой живучий? Что смог пережить форматирование и переразбивку диска? Или что?
    Что можно сделать?
    Вложения Вложения
    Последний раз редактировалось vo2013; 24.02.2016 в 19:27.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,287
    Вес репутации
    378
    Уважаемый(ая) vo2013, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    Здравствуйте,

    Spyware Doctor установлен у Вас?


    AVZ выполнить следующий скрипт.
    Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('C:\WINDOWS\System32\Filt\tmp\rfb49ndv.vbt','');
     QuarantineFileF('C:\WINDOWS\System32\Filt\tmp', '*', false,'', 0, 0);
      BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в AVZ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  5. #4
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    SQ, спасибо.
    файл "quarantine" загрузил.

    - - - - -Добавлено - - - - -

    Цитата Сообщение от SQ Посмотреть сообщение
    Здравствуйте,

    Spyware Doctor установлен у Вас?
    Нет.

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    Проверьте, присутствую ли какие-то файлы в каталоге:
    Код:
    C:\WINDOWS\System32\Filt\tmp\
    P.S. карантин пустой.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  7. #6
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    SQ, я на всякий случай еще раз скрипты выполнил и повторно файл загрузил. А то первый раз какие то странные подвисания были.

    - - - - -Добавлено - - - - -

    Цитата Сообщение от SQ Посмотреть сообщение
    Проверьте, присутствую ли какие-то файлы в каталоге:
    Код:
    C:\WINDOWS\System32\Filt\tmp\
    P.S. карантин пустой.
    Присутствует файл
    файл 1.JPG

  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    AVZ выполнить следующий скрипт.
    Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
    Код:
    begin
    ClearQuarantine;
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('C:\WINDOWS\System32\Filt\tmp\22boy8e.vbt','');
      BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в AVZ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  9. #8
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    SQ, отправил.

  10. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    Цитата Сообщение от vo2013 Посмотреть сообщение
    SQ, отправил.
    Могли бы файл заархивировать в zip с паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  11. #10
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    Цитата Сообщение от SQ Посмотреть сообщение
    Могли бы файл заархивировать в zip с паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    Было отказано в доступе.
    может я что-то не правильно делаю?
    У меня аутпост файервол установлен. Когда я AVZ запускаю, я его отключаю каждый раз.
    Экспериментальное тыкание в кнопочки показало, что при отключенном аутпосте указанная папка пуста.
    файл4.JPG
    При включении Аутпоста, там появился новый файл
    файл 3.JPG
    Архиватор пишет что невозможно создать архив.
    Отказано в доступе.
    Поиск по форуму показывает, что возможно указанная папка принадлежит аутпосту.
    http://virusinfo.info/showthread.php?t=94742
    Мне бы понять, вот этот мой троян - это троян (Trojan.Corkow) он типа этого https://habrahabr.ru/company/eset/blog/214197/ ?
    Может имеет смысл еще раз переустановить систему и если он опять появиться не стирать файлы, а прислать их для исследования?

    - - - - -Добавлено - - - - -

    Могу повторить скрипты не отключая файервол.
    Сейчас этот фал называется так:
    Вложение 618007

  12. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    Цитата Сообщение от vo2013 Посмотреть сообщение
    Папка принадлежит аутпосту.
    Да скорее всего, хотел убедиться.

    - Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
    • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    • Нажмите кнопку Scan.
    • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
    • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  13. Это понравилось:


  14. #12
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    Готово.
    Первый фал пришлось заархивировать.
    Пишет: "FRST.txt: 60.2 Кб превысил(а) предел на форуме. <a href="misc.php?do=attachments" target="_blank">Нажмите здесь для просмотра ваших вложений</a>"
    Вложения Вложения

  15. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
      Код:
      CreateRestorePoint:
      File: C:\WINDOWS\SET4.tmp
      File: C:\WINDOWS\SET3.tmp
      File: C:\WINDOWS\SET8.tmp
      File: C:\WINDOWS\system32\CONFIG.TMP
    • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
    • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
    • Обратите внимание, что компьютер возможно будет перезагружен.


    В системных событиях логируются проблемы с HDD:
    Код:
    Error: (02/24/2016 05:15:45 PM) (Source: 0) (EventID: 1) (User: )
    Description: 0xC0000001HarddiskVolume1
    
    Error: (02/24/2016 04:20:29 PM) (Source: 0) (EventID: 1) (User: )
    Description: 0xC0000001HarddiskVolume1
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  16. #14
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    Готово.
    Вложения Вложения

  17. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    ничего плохово не замечаю, для того чтобы искючить ложное срабатывание, могли бы один из вредоносных файлов по мнению Malwarebytes Anti-Malware запаковать в архив zip c паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  18. #16
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    Цитата Сообщение от SQ Посмотреть сообщение
    ничего плохово не замечаю, для того чтобы искючить ложное срабатывание, могли бы один из вредоносных файлов по мнению Malwarebytes Anti-Malware запаковать в архив zip c паролем virus и загрузить по ссылке "Прислать запрошенный карантин" вверху темы.
    К сожалению, я их удалил из карантина.

  19. #17
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для SQ
    Регистрация
    18.05.2012
    Адрес
    Searching ...
    Сообщений
    12,843
    Вес репутации
    322
    Цитата Сообщение от vo2013 Посмотреть сообщение
    К сожалению, я их удалил из карантина.
    Согласно посту на оф. форуме malwarebytes - было ложное срабатывание, которое было испралено.
    Подробнее: https://forums.malwarebytes.org/inde...-trojancorkow/

    P.S. Возможно Вам потребуется вернуть удаленный ранее файл, чтобы не нарушить работу ОС: Windows XP

    Код:
    c:\windows\system32\dllcache\fontsub.dll
    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

  20. Это понравилось:


  21. #18
    Junior Member Репутация
    Регистрация
    08.11.2013
    Сообщений
    20
    Вес репутации
    38
    Большое спасибо за терпение и обстоятельную помощь!

  22. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,233
    Вес репутации
    977

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 6
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) vo2013, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Trojan.CorKow.AO
      От slim_line в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 12.09.2014, 12:30
    2. Corkow.Q trojan, TrojanDownloader.Zurgop.AZ trojan., Kryptik.BGFU trojan.
      От Zzzero в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 30.08.2013, 13:17
    3. Ответов: 4
      Последнее сообщение: 03.07.2013, 18:45
    4. Win32/Corkow.M trojan и Kryptik.AZHM trojan.
      От BugaBuga в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 27.05.2013, 14:55
    5. Ответов: 6
      Последнее сообщение: 28.04.2012, 09:41

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00815 seconds with 20 queries