Подмена DNS [Trojan-Clicker.BAT.Agent.az ]

[dadzen]

У меня регулярно (несколько раз в час) меняются DNS в настройках адаптера (Ethernet) на 89.108.106.89 и 8.8.8.8. Проверка на DR.WEB результатов не дал. Лог hijackthis прилагаю. Помогите справиться с этой проблемой.

[Info_bot]

Уважаемый(ая) dadzen, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.resworb.bat','');
 QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.emorhc.bat','');
 DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
 DeleteFile('C:\Users\Мираслава\AppData\Roaming\Browsers\exe.resworb.bat','32');
 DeleteFile('C:\Windows\system32\Tasks\{B137A7D0-E631-45CB-A5D9-FE760F361247}','64');
ExecuteSysClean;
ExecuteRepair(21);
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Скачайте CheckBrowserLnk и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите checkbrowserslnk.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет CheckBrowserLnk.log
5. Прикрепите этот отчет в вашей теме.

[dadzen]

Выполнил, логи прилагаю, архив карантина выслал.

- - - - -Добавлено - - - - -

Прилагаю Check_Browsers_LNK

[mike 1]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

[dadzen]

Сделано.

[mike 1]

Что с проблемой?

[dadzen]

К сожалению, пока все по прежнему.Настройки DNS по прежнему меняются с завидным постоянством.

[mike 1]

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[dadzen]

Странно, все сделал как вы сказали, программа написала, что сохранено и путь указан. Захожу, а его там нет. И поиск говорит, что его нет.

- - - - -Добавлено - - - - -

Запустил от имени администратора, все строго по инструкции. Но, лог он не сохраняет.

[mike 1]

Архива с логом точно нет?

[dadzen]

Точно нет, все проверил. В окне программы пишет, что архив создан и путь показывает, в реальности его нет, поиск тоже результата не дает. Пытался сохранять в разные места, но, архива нет.

- - - - -Добавлено - - - - -

Все таки получилось. Архив слишком большой, по этому выкладываю на Яндекс.Диск. Вот ссылка: https://yadi.sk/d/mnxg6Hlsf5eaf

[mike 1]

Выполните скрипт в uVS:

;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
breg

delref HTTP://WWW.APEHA.RU
del %SystemDrive%\PROGRAM FILES (X86)\OPERA\K.BAT
delall %SystemDrive%\PROGRAM FILES (X86)\PRICELESS\92I2GIARKLWHZJ.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\PRICELESS\92I2GIARKLWHZJ.X64.DLL
delall %SystemDrive%\USERS\МИРАСЛАВА\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\VOPACKAGE\CONFIGURE.LNK
exec32 "C:\Users\Мираслава\AppData\Roaming\VOPackage\Uninstall.exe"
deltmp
restart

На запросы удаления программ соглашайтесь. Компьютер перезагрузится.

Сделайте логи AVZ (стандартный скрипт №9)

[dadzen]

Сделано, но проблема осталась.

[mike 1]

Сделайте логи AVZ (стандартный скрипт №9)

???

[dadzen]

После проверки он просто перезагружает компьютер. Куда он сохраняет лог и откуда его взять?

[mike 1]

В подпапку LOG в папке с AVZ.

[dadzen]

Я проверил, к сожалению там нет логов.

[mike 1]

Архив с AVZ распаковывали?

[dadzen]

Да, распаковал, в отдельную папку на рабочем столе. Папка по умолчанию (avz 4.43)