У меня регулярно (несколько раз в час) меняются DNS в настройках адаптера (Ethernet) на 89.108.106.89 и 8.8.8.8. Проверка на DR.WEB результатов не дал. Лог hijackthis прилагаю. Помогите справиться с этой проблемой.
Printable View
У меня регулярно (несколько раз в час) меняются DNS в настройках адаптера (Ethernet) на 89.108.106.89 и 8.8.8.8. Проверка на DR.WEB результатов не дал. Лог hijackthis прилагаю. Помогите справиться с этой проблемой.
Уважаемый(ая) [B]dadzen[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.resworb.bat','');
QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.emorhc.bat','');
DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.emorhc.bat','32');
DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.resworb.bat','32');
DeleteFile('C:\Windows\system32\Tasks\{B137A7D0-E631-45CB-A5D9-FE760F361247}','64');
ExecuteSysClean;
ExecuteRepair(21);
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserslnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы в папке [b]Log[/b] будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]
Выполнил, логи прилагаю, архив карантина выслал.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Прилагаю Check_Browsers_LNK
[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]
Сделано.
Что с проблемой?
К сожалению, пока все по прежнему.Настройки DNS по прежнему меняются с завидным постоянством.
[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
Странно, все сделал как вы сказали, программа написала, что сохранено и путь указан. Захожу, а его там нет. И поиск говорит, что его нет.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Запустил от имени администратора, все строго по инструкции. Но, лог он не сохраняет.
Архива с логом точно нет?
Точно нет, все проверил. В окне программы пишет, что архив создан и путь показывает, в реальности его нет, поиск тоже результата не дает. Пытался сохранять в разные места, но, архива нет.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Все таки получилось. Архив слишком большой, по этому выкладываю на Яндекс.Диск. Вот ссылка: https://yadi.sk/d/mnxg6Hlsf5eaf
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]
[code]
;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
breg
delref HTTP://WWW.APEHA.RU
del %SystemDrive%\PROGRAM FILES (X86)\OPERA\K.BAT
delall %SystemDrive%\PROGRAM FILES (X86)\PRICELESS\92I2GIARKLWHZJ.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\PRICELESS\92I2GIARKLWHZJ.X64.DLL
delall %SystemDrive%\USERS\МИРАСЛАВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\VOPACKAGE\CONFIGURE.LNK
exec32 "C:\Users\Мираслава\AppData\Roaming\VOPackage\Uninstall.exe"
deltmp
restart
[/code]
На запросы удаления программ соглашайтесь. Компьютер перезагрузится.
Сделайте логи AVZ (стандартный скрипт №9)
Сделано, но проблема осталась.
[QUOTE]Сделайте логи AVZ (стандартный скрипт №9)[/QUOTE]
???
После проверки он просто перезагружает компьютер. Куда он сохраняет лог и откуда его взять?
В подпапку LOG в папке с AVZ.
Я проверил, к сожалению там нет логов.
Архив с AVZ распаковывали?
Да, распаковал, в отдельную папку на рабочем столе. Папка по умолчанию (avz 4.43)
Вообще странно, что он у вас не формируется.
Скачайте ComboFix [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]здесь[/url] и сохраните в корень диска С.
1. [color=red]Внимание![/color] Обязательно закройте все браузеры, [URL="http://virusinfo.info/showthread.php?t=130828"]временно выключите антивирус, firewall и другое защитное программное обеспечение[/URL]. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите [b]combofix.exe[/b], когда процесс завершится, скопируйте текст из [b]C:\ComboFix.txt[/b] и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe
Решил проблему. Вылечил удалением левого сервиса AdBlockerService (В установке-удалении программ, потом остановка сервиса и удаление каталога C:\Program Files (x64)\AdBlocker\. Спасибо за подсказку [URL="http://virusinfo.info/member.php?u=259758"]AndreyVKo[/URL]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\мираслава\appdata\roaming\browsers\exe.emorhc.bat - [B]Trojan-Clicker.BAT.Agent.az[/B][*] c:\users\мираслава\appdata\roaming\browsers\exe.erolpxei.bat - [B]Trojan-Clicker.BAT.Agent.az[/B][*] c:\users\мираслава\appdata\roaming\browsers\exe.resworb.bat - [B]Trojan-Clicker.BAT.Agent.az[/B][/LIST][/LIST]