[ Закрыто ] Не пускают на eset.com и др антивирусные сайты , Не пускают на eset.com и др антивирусные сайты

"Произошла ошибка при загрузке файлов обновлений"
При попытке зайти на сайт www.eset.com попадаю на yandex.kz
Антивирусные сайты kaspersky.ru, drweb.ru, z-oleg.com перенаправляются на yandex.kz

ping eset.com
Обмен пакетами с ya.ru [87.250.250.3] по 32 байт:
Ответ от 87.250.250.3: число байт=32 время=155мс TTL=52
Ответ от 87.250.250.3: число байт=32 время=156мс TTL=52

Файл Hosts проверил чист. Путь к нему в реестре правильный, скрытых файлов нет.

Маршруты статические проверял, есть только те которые я сам прописывал для работы.

 10.245.0.0      255.255.0.0     192.168.15.1       1
192.168.0.0      255.255.0.0     192.168.15.1       1
10.240.13.0    255.255.255.0     192.168.15.1       1
 10.190.1.0    255.255.255.0      10.191.30.1       1
 10.190.0.0      255.255.0.0      10.191.30.1       1
192.168.1.0    255.255.255.0      192.168.1.1       1
   10.8.3.0    255.255.255.0      10.191.30.1       1
10.191.82.0    255.255.255.0      10.191.30.1       1
 10.192.0.0      255.255.0.0      10.191.30.1       1

Есть подозрительный файл ilkukmd.exe находится в C:\WINDOWS\AppPatch , удалял его,
он снова через пару секунд прописывается с тем же именем.


Лог прикреплен ниже.

Тот же лог в архиве

1. выполните в uVS приложенный скрипт (меню- скрипт - выполнить скрипт из файла);

после перезагрузки,
2. пробуем обновить антивирус, выполнить полное сканирование;

далее,
3. архив из папки uVS (с копиями вирусов для вирлаба, имя автоматически формируется от текущей даты,
  например: 2010-10-04_13-30-55.rar/7z)
... отправить в почту [email protected], [email protected];
*** если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected

далее,
4. добавить на форум новый образ автозапуска uVS.

5. пишем кратко о состоянии системы после выполнения действий.

1. Скрипт выполнен.

2. Пробуем зайти на www.eset.com попадем на yandex.kz, обновить антивирус не получается.

3. Архив с подозрительным файлом Вам на почту отправил, с указанным паролем infected.

4. Файл нового образа прикреплен ниже.

5. Первое что проверил подозрительный файл ilkukmd.exe  - находится в C:\WINDOWS\AppPatch по прежнему на месте с тем же именем.
  Скрипт удалил все постоянные маршруты, это не проблема, пропишу снова.
  Интересную информацию выдает KidoKiller, как я понял идет полная подмена DNS сайтов, но где? лог прилагаю ниже, может поможет разобраться, файл dnsapi.dll заменял на новый скачанный, результат тот же.
  Проверил DNS программой Hosts Virus Detector, результат - подмена DNS, лог приложен.

  Прошу помощи, заранее благодарен.

ок,
выполните в uVS скрипт из буфера обмена



будет автоматическая перезагрузка,
после перезагрузки добавьте новый образ автозапуска в uVS
--------
сорри, да, не обратил внимание в вашем сообщении по статическим маршрутам.

ping eset.com

Обмен пакетами с eset.com [72.3.254.86] по 32 байт:

Ответ от 72.3.254.86: число байт=32 время=335мс TTL=114
Ответ от 72.3.254.86: число байт=32 время=327мс TTL=114
Ответ от 72.3.254.86: число байт=32 время=327мс TTL=114
Ответ от 72.3.254.86: число байт=32 время=327мс TTL=114

Фух, все заработало, сайты открываются!

Как я понял все дело было именно в файле ILKUKMD.EXE, Вы удалили ссылку на файл из реестра, так?
Файл не удалился, но теперь не имеет связи с запуском. Не понятно каким образом он подменял DNS?

Я ВАМ ОЧЕНЬ БЛАГОДАРЕН! СПАСИБО ЗА ПОМОШЬ!

Лог ниже.

да, я исключил его из автозапуска, видимо самозащита не позволяла удалить его в активном режиме.
образ новый сейчас посмотрю

выполните в uVS скрипт из буфера обмена.
перед выполнением скипта закрыть браузеры


--
после перезагрузки:
1. архив из папки uVS (с копиями вирусов для вирлаба, имя автоматически формируется от текущей даты,
  например: 2010-10-04_13-30-55.rar/7z)
... отправить в почту [email protected], [email protected];
*** если архив не был создан автоматически, самостоятельно добавьте папку ZOO в архив с паролем infected
2. сделайте дополнительно лог малваребайт
http://forum.esetnod32.ru/forum9/topic682/

по DNS,
возможно переадресация была на динамический_поддельный DNS-сервер.

C:\WINDOWS\ABJDA\PKMAILER.EXE
Полной уверенности нет но могли увести цифровую подпись.
Стоит проверить файл на Virus Total.
http://www.virustotal.com/index.html