непонятно что редиректит на сайты

[коржик]

со страниц выдачи поисковиков, да и просто из адресной строки без лишних вопросов перенаправляет на другие сайты (причем не всегда почему то)
еще стала частенько тормозить загрузка страниц.
avast home ниче не видит.

[AndreyKa]

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 QuarantineFile('C:\WINDOWS\system32\kdrpy.exe','');
 BC_QrFile('C:\WINDOWS\system32\kdrpy.exe');
 BC_DeleteFile('C:\WINDOWS\system32\kdrpy.exe');
 BC_Activate;
 RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) по ссылке http://virusinfo.info/upload_virus.php?tid=18638
Обновите базы AVZ.
Выполните пункты Правил 8-9. Новый лог virusinfo_syscure.zip приложите к своей теме.

[коржик]

скрипт выполнил.
карантин отправил.
базы обновил.
пункты 8-9 выполнил.
лог прилагаю.

[коржик]

вот лог

[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
  DeleteFile('kdrpy.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Добавлено через 1 минуту

Повторите лог virusinfo_syscure.zip и HJT

[коржик]

во время выполнения скрипта AVZ аваст обнаружил троян.
логи прилагаю.

[V_Bond]

антивирус нужно выключать на время выполнения скрипта (читаем правила) ..
выругался он на драйвер от авз ... так что в логах чисто ....

[коржик]

так что?
все вылечилось?
а что было то?
логи повторять не надо?

[V_Bond]

было kdrpy.exe_ - Trojan.Win32.DNSChanger.apn
теперь чисто ...

[коржик]

Спасибо!

[Макcим]

Здесь нет "левых" адресов?

O17 - HKLM\System\CCS\Services\Tcpip\..\{1EBECFFA-1A2A-4DB8-8C8E-C004518F6219}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{4C1A7209-D56E-4D65-94A7-5E24064EE290}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{82185D37-1F8E-4B58-BFEB-393B0B156F8F}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{935F18FF-1C0D-43D2-9D42-B09015A838B6}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{C6A38068-104B-4A35-8A2B-CE79E2888AEB}: NameServer = 217.76.36.129
O17 - HKLM\System\CCS\Services\Tcpip\..\{D3039FB7-E66C-4DA2-8126-AC26513611C3}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.35 85.255.112.79
O17 - HKLM\System\CS1\Services\Tcpip\..\{1EBECFFA-1A2A-4DB8-8C8E-C004518F6219}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.35 85.255.112.79

[pig]

85.255.114.35 и 85.255.112.79 производят впечатление именно левых. Принадлежат домену dedi.inhoster.com (сама сеть украинская - УкрТелеГруп, Одесса), но DNS там другие.
217.76.36.129 - аналогично. Безымянный хост из сети московского ВНИИТЕМР, DNS там другой.

[коржик]

ВНИИТЕМР это провайдер инета на работе.
УкрТелеГруп - левый.
что то нужно еще сделать?

[rubin]

Пофиксьте в HiJackThis

O17 - HKLM\System\CCS\Services\Tcpip\..\{1EBECFFA-1A2A-4DB8-8C8E-C004518F6219}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{4C1A7209-D56E-4D65-94A7-5E24064EE290}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{82185D37-1F8E-4B58-BFEB-393B0B156F8F}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{935F18FF-1C0D-43D2-9D42-B09015A838B6}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{D3039FB7-E66C-4DA2-8126-AC26513611C3}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.35 85.255.112.79
O17 - HKLM\System\CS1\Services\Tcpip\..\{1EBECFFA-1A2A-4DB8-8C8E-C004518F6219}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.35 85.255.112.79

Если понадобится - потом восстановите оригинальные настройки доступа в Интернет

[коржик]

вот теперь похоже что все.
пока не пофиксил в HJK меня редиректило все равно.
Спасибо еще раз!

[rubin]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\kdrpy.exe - Trojan.Win32.DNSChanger.apn (DrWEB: BackDoor.Mbot)