Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.
Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новые продукты компании PRO32.
PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.
Новая проблема в массовом порядке присутствует в темах на форумах безопасности - автоматическая подмена DNS. Разовое исправление настроек DNS в сетевых подключениях не решает проблему, точнее решает, но лишь на некоторое время. Такие вот сигналы SOS в киберпространстве сейчас актуальны.
"Каждый раз происходит подмена DNS на 37.10.116.201,8.8.8.8.Систему проверил CureIt, нашел Java/Eploit.Agent.NMD. Получается, что я ставлю автоматически получать адрес DNS, через некоторое время прописываться в ручную на 37.10.116.201,8.8.8.8."
"Добрый день! В последнее время стали подменяться DNS сервера выданные DHCP сервером, т.е. сервер выдает одно, а на компьютере DNS сервера заменяются на другие."
"Каждый день, в 14 часов происходит подмена DNS на 27.10.116.201. Систему проверял CureIT и Kaspersky Virus Removal Tool, угроз не обнаружено. Сканировал систему HijackThis, фиксил строчки с данным DNS, эффект ровно такой же, как бы я в ручную поставил автоматическое присвоение DNS, хватает ровно на сутки."
решение
получаем образ автозапуска в uVS и тщательно изучаем раздел задач планировщика. Для автоматизации можно создать критерий поиска, содержащий подстроку "37.10.116.201,8.8.8.8" или "DNS"
в итоге, в образе автозапуска найдется следующая запись.
Цитата
Полное имя C:\WINDOWS\SYSTEM32\WBEM\WMIC.EXE Имя файла WMIC.EXE Тек. статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске
Сохраненная информация на момент создания образа Статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске File_Id 4A5BC7A78D000 Linker 9.0 Размер 566272 байт Создан 14.07.2009 в 03:47:53 Изменен 14.07.2009 в 05:39:55 Тип файла 64-х битный ИСПОЛНЯЕМЫЙ Цифр. подпись Действительна, подписано Microsoft Windows
Оригинальное имя wmic.exe.mui Версия файла 6.1.7600.16385 (win7_rtm.090713-1255) Описание WMI Commandline Utility Производитель Microsoft Corporation
Доп. информация на момент обновления списка SHA1 071A645A88E4236281E58B90A5D50A2AC80E26E5 MD5 FD902835DEAEF4091799287736F3A028
Ссылки на объект Ссылка C:\WINDOWS\TASKS\AT2.JOB Значение "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8. 8)
Ссылка C:\WINDOWS\SYSTEM32\TASKS\AT2
Теперь вы точно знаете, что делать с файлами C:\WINDOWS\TASKS\AT2.JOB, C:\WINDOWS\SYSTEM32\TASKS\AT2
Критерий поиска можно уточнить до ЗНАЧЕНИЕ ~ SETDNSSERVER
Цифр. подпись Действительна, подписано Microsoft Windows
Ссылки на объект Ссылка C:\WINDOWS\TASKS\AT1.JOB Значение "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8.8)
Ссылка C:\WINDOWS\TASKS\AT2.JOB Значение "wmic.exe" nicconfig where IPEnabled=true call SetDNSServerSearchOrder (37.10.116.201, 8.8.8.8)
не вижу смысла обсуждать это здесь . Иначе получится один большой офтоп. А раздел предназначен не для офтопа, а для оказания помощи пользователям. Что мешает тебе открыть тему на АМ?