Подмена DNS [Trojan-Clicker.BAT.Agent.az ]

У меня регулярно (несколько раз в час) меняются DNS в настройках адаптера (Ethernet) на 89.108.106.89 и 8.8.8.8. Проверка на DR.WEB результатов не дал. Лог hijackthis прилагаю. Помогите справиться с этой проблемой.

Уважаемый(ая) [B]dadzen[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.resworb.bat','');
QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.emorhc.bat','');
DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.emorhc.bat','32');
DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.resworb.bat','32');
DeleteFile('C:\Windows\system32\Tasks\{B137A7D0-E631-45CB-A5D9-FE760F361247}','64');
ExecuteSysClean;
ExecuteRepair(21);
RebootWindows(true);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserslnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы в папке [b]Log[/b] будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

Выполнил, логи прилагаю, архив карантина выслал.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прилагаю Check_Browsers_LNK

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Сделано.

Что с проблемой?

К сожалению, пока все по прежнему.Настройки DNS по прежнему меняются с завидным постоянством.

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Странно, все сделал как вы сказали, программа написала, что сохранено и путь указан. Захожу, а его там нет. И поиск говорит, что его нет.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Запустил от имени администратора, все строго по инструкции. Но, лог он не сохраняет.

Архива с логом точно нет?

Точно нет, все проверил. В окне программы пишет, что архив создан и путь показывает, в реальности его нет, поиск тоже результата не дает. Пытался сохранять в разные места, но, архива нет.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Все таки получилось. Архив слишком большой, по этому выкладываю на Яндекс.Диск. Вот ссылка: https://yadi.sk/d/mnxg6Hlsf5eaf

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]

[code]
;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
breg

delref HTTP://WWW.APEHA.RU
del %SystemDrive%\PROGRAM FILES (X86)\OPERA\K.BAT
delall %SystemDrive%\PROGRAM FILES (X86)\PRICELESS\92I2GIARKLWHZJ.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\PRICELESS\92I2GIARKLWHZJ.X64.DLL
delall %SystemDrive%\USERS\МИРАСЛАВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\VOPACKAGE\CONFIGURE.LNK
exec32 "C:\Users\Мираслава\AppData\Roaming\VOPackage\Uninstall.exe"
deltmp
restart
[/code]

На запросы удаления программ соглашайтесь. Компьютер перезагрузится.

Сделайте логи AVZ (стандартный скрипт №9)

Сделано, но проблема осталась.

[QUOTE]Сделайте логи AVZ (стандартный скрипт №9)[/QUOTE]
???

После проверки он просто перезагружает компьютер. Куда он сохраняет лог и откуда его взять?

В подпапку LOG в папке с AVZ.

Я проверил, к сожалению там нет логов.

Архив с AVZ распаковывали?

Да, распаковал, в отдельную папку на рабочем столе. Папка по умолчанию (avz 4.43)