Атака путем подделки записей кэша DNS - Форум технической поддержки ESET NOD32

Сообщений: 4

Баллов: 2

Регистрация: 28.01.2015

Размещено 28.01.2015 00:31:29

Доброй ночи!
Помогите определить программу, которая пытается получить доступ в интернет:
77.232.128.1 атака путем подделки записей кэша DNS 01/24/15 22:54:50
77.232.135.1 атака путем подделки записей кэша DNS 01/24/15 23:02:41
И такие сообщения с периодичностью в час появляются в файерволе ESETа.

Прикрепленные файлы

HELL_2015-01-26_22-04-43.rar (408.47 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 28.01.2015 05:51:10

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.3 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE zoo %SystemDrive%\PROGRAM FILES\SAFESURF\SURFGUARD.EXE addsgn 0DC977BA156A4C720BD4AEB164C81205258AFCF689FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA79DFEB7255DA802C2DF7AA2FC7067273 63 Win32/Adware.SafeSurf.AC [ESET-NOD32] delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\0.42736045692086955.EXE hide %SystemDrive%\PROGRAM FILES\THE BAT!\THEBAT.EXE hide %SystemDrive%\PROGRAM FILES\AVG\AVG PC TUNEUP\REGISTRYDEFRAG.EXE ;------------------------autoscript--------------------------- chklst delvir delref HTTP://HOME.WEBALTA.RU delref HTTP://WEBALTA.RU/SEARCH deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAM FILES\SAFESURF\SURFGUARD.EXE
addsgn 0DC977BA156A4C720BD4AEB164C81205258AFCF689FA1F7885C3C5BC50D6714C2317C3573E559D492B80849F461649FA79DFEB7255DA802C2DF7AA2FC7067273 63 Win32/Adware.SafeSurf.AC [ESET-NOD32]

delall %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\0.42736045692086955.EXE
hide %SystemDrive%\PROGRAM FILES\THE BAT!\THEBAT.EXE
hide %SystemDrive%\PROGRAM FILES\AVG\AVG PC TUNEUP\REGISTRYDEFRAG.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://HOME.WEBALTA.RU

delref HTTP://WEBALTA.RU/SEARCH

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 28.01.2015

Размещено 28.01.2015 23:27:12

Доброй ночи!
Не помогло. Все тоже самое:
77.232.128.1 атака путем подделки записей кэша DNS 01/28/15 23:14:30
77.232.135.1 атака путем подделки записей кэша DNS 01/28/15 23:16:26
Прилагаю отчет Anti-Malware

Прикрепленные файлы

555.txt (3.78 КБ)

Сообщений: 12962

Баллов: 10371

Регистрация: 16.03.2010

Размещено 28.01.2015 23:29:41

Удалить все записи в программе, ПК перезагрузить.

Выполнить такой лог
http://forum.esetnod32.ru/forum9/topic7084/

Сообщений: 4

Баллов: 2

Регистрация: 28.01.2015

Размещено 29.01.2015 00:18:11

Выполнено сканирование AdwCleaner v4.109. Лог прилагаю.

Прикрепленные файлы

AdwCleaner[R0]_290115.txt (4.81 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 29.01.2015 05:49:07

в АдвКлинере, после завершения сканирования, в секции [b]Папки[/b] снимите галки с записей mail.ru, yandex

остальное удалите по кнопке [b]Очистить[/b]

далее,

если проблема не решится, добавьте логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic10570/

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 28.01.2015

Размещено 31.01.2015 20:33:14

Добрый вечер!
Огромнейшее СПАСИБО за помощь.
Все нормализовалось!!!

[ Закрыто ] Атака путем подделки записей кэша DNS , атака путем подделки записей кэша DNS