Обнаружена атака путем подделки записей кэша DNS - Форум технической поддержки ESET NOD32

Сообщений: 6

Баллов: 3

Регистрация: 05.03.2015

Размещено 05.03.2015 12:35:49

Здравствуйте. Эта ошибка выскакивает несколько раз в день (в течение последнего месяца) и после нее не могу открыть ни одну вкладку в любом браузере (они у меня всегда последних актуальных версий), закрыть все браузеры и разорвать подключение к сети, чтобы потом заново подключиться и открыть все по новому - не спасает положения. Лечится только перезагрузкой компьютера. Вчера проверил на вирусы всю систему. Удалил два подозрительных файла из карантина потом. Но проблема осталась.

Оператор: Дом.ру
Продукт: Eset Smart Security 8.0.304.1

Спасибо.
Прикладываю необходимый файл, сделанный утилитой uVS http://forum.esetnod32.ru/forum9/topic2687/

Прикрепленные файлы

MYSPACE_2015-03-05_13-03-27.7z (350.17 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.03.2015 12:50:47

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.7 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE hide %SystemDrive%\PROGRAM FILES\SPEEDFAN\SPEEDFAN.EXE ;------------------------autoscript--------------------------- chklst delvir delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID] delref /C ATTRIB -H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS && COPY C:\DOCUME~1\C4C5~1\LOCALS~1\TEMP\8609171AQ C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS /Y && ATTRIB +H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS ; OpenAL exec C:\Program Files\OpenAL\oalinst.exe" /U deltmp delnfr ;------------------------------------------------------------- dnsreset regt 14 restart

Код

;uVS v3.85.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

hide %SystemDrive%\PROGRAM FILES\SPEEDFAN\SPEEDFAN.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]
delref /C ATTRIB -H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS && COPY C:\DOCUME~1\C4C5~1\LOCALS~1\TEMP\8609171AQ C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS /Y && ATTRIB +H C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS

; OpenAL
exec C:\Program Files\OpenAL\oalinst.exe" /U
deltmp
delnfr
;-------------------------------------------------------------
dnsreset
regt 14
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 6

Баллов: 3

Регистрация: 05.03.2015

Размещено 05.03.2015 14:36:21

Все сделано.
Просьба пока не закрывать эту тему в течение суток, если "болячка" опять появится, я здесь отпишусь.
Спасибо.

Прикрепленные файлы

MBAM MYSPACE 2015-03-05 15-32-00.txt (1.48 КБ)

Изменено: Михаил - 05.03.2015 14:36:47

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 05.03.2015 15:47:05

1) В Malwarebytes - чисто. ( записи, что есть в логе - это нормальные записи )

--------
2) Далее: Выполните лог в АdwСleaner
http://forum.esetnod32.ru/forum9/topic7084/
после завершения сканирования:
Записи относящиеся к Mail.Ru можете не удалять ( если пользуетесь программой )
На вкладке:
Папки (Folders) для Mail.Ru снимите [V]

Удалите найденное в AdwCleaner по кнопке Очистить (Clean), подтвердите действие
с автоперезагрузкой

--------
Оцените результат.

Изменено: RP55 RP55 - 05.03.2015 15:47:30

Сообщений: 6

Баллов: 3

Регистрация: 05.03.2015

Размещено 05.03.2015 21:03:39

Готово. А вам не нужен файл AdwCleaner[R0].txt или AdwCleaner[S0].txt? Пока все в порядке, буду дальше проверять, спасибо.

Сообщений: 6

Баллов: 3

Регистрация: 05.03.2015

Размещено 11.03.2015 19:35:44

Неделя прошла, но опять началось, так что спасает добавление ip адресов, с которых идет "атака" в «Исключения IDS»

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 11.03.2015 20:49:22

Браузер расширения.

В адресной строке браузера пропишите:
для
Яндекс браузер:
browser://extensions/

ХРОМ:
chrome://extensions/

Опера:
opera://extensions

Firefox:
about:addons

nternet Explorer:
Зайти в раздел настроек браузера, выбрать меню "Настроить надстройки":
В открывшемся окне кликните на расширение.

Откроется список расширений браузера.

Отключите все расширения кроме: Flash ( Adobe Systems ) и Kaspersky
* Если возникнет необходимость потом их можно включить.
Оцените результат.

Сообщений: 6

Баллов: 3

Регистрация: 05.03.2015

Размещено 11.03.2015 21:14:56

Цитата
Отключите все расширения кроме: Flash ( Adobe Systems ) и Kaspersky

Ну а как я без своих любимых расширений в браузерах?) Мне они "голые" не нужны. Касперского в системе нет, остальное попробую. Но это будет долго. Это нужно использовать только один из перечисленных браузеров и через день включать по одному расширению в нём, чтобы отслеживать его работу) У меня в каждом браузере по 5-10 штук))

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 11.03.2015 21:20:30

Если точно знаете, что все расширения чистые то...
Можно их не трогать.
- Сейчас есть и поддельные расширения под Adblok Plus например.

Сообщений: 6241

Баллов: 4992

Регистрация: 25.05.2010

Размещено 11.03.2015 21:22:10

А бывает, что разработчик популярного продукта продаёт расширение.
А новый владелец при обновлении запихивает в него...
чаще всего идёт показ рекламы.