Перейти к содержанию

[РЕШЕНО] DNS сервера выставляются сами, 127.0.2.2, из за этого, как я подозреваю, не работают некоторые игры, и плохо работают некоторые сайты.


Рекомендуемые сообщения

Сами выставляются DNS сервера. Началось, как я думаю, после взлома офиса KMSом, DrWeb, Kaspersky и Защитник Windows ничего не находят. В HackJackThis нашел эти адреса, но после удаления они появляются снова. Пробовал сбрасывать TCP IP, переустанавливать драйвера, не помогает. При подключении напрямую к компьютеру интернета, а не через роутер DNS сервера сами не устанавливаются, но проблема не исчезает, и в HackJackThis продолжают появляться после удаления.

image.png

image.png

CollectionLog-2022.12.20-22.39.zip

Ссылка на сообщение
Поделиться на другие сайты

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Dmitriy','x32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Dmitriy','x64');
ExecuteSysClean;
ExecuteRepair(21);
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером. 

Ссылка на сообщение
Поделиться на другие сайты
6 часов назад, mike 1 сказал:

Сделайте такой лог

При создании лога выдает троян 'Trojan:Win32/Wacatac.B!ml', так и должно быть?

DESKTOP-UD1LGPE_2022-12-21_18-52-18_v4.12.3.7z

Ссылка на сообщение
Поделиться на другие сайты

Похоже какой-то из установленных VPN сервисов меняет вам DNS на 127.0.2.2. Попробуйте временно деинсталлировать их. 

 

Hotspot Shield 11.3.0
ProtonVPN
ProtonVPNTap
ProtonVPNTun

 

Ссылка на сообщение
Поделиться на другие сайты
7 минут назад, mike 1 сказал:

Похоже какой-то из установленных VPN сервисов меняет вам DNS на 127.0.2.2. Попробуйте временно деинсталлировать их. 

 


Hotspot Shield 11.3.0
ProtonVPN
ProtonVPNTap
ProtonVPNTun

 

Деинсталлировал, в HackJackThis удалил, все равно сами выставляются. Эти программы были установлены давно, проблема появилась гораздо позже, как я предполагаю, это связано с KMSauto, потому что она появилась через дня 2 после его использования. Диагностика сети всегда выводит сообщение, что исправила проблему если стоят эти адреса, а если их поменять или выставить автоматические, то просит перезагрузить роутер, но это не помогает.image.png.9cbbb28980e0d18eeb43ebd22cf9e2c5.png

Ссылка на сообщение
Поделиться на другие сайты
8 часов назад, mike 1 сказал:

Сделайте лог Process Monitor с воспроизведением проблемы с DNS. 

Здравствуйте. Сделал лог. Файл большой, пришлось залить на диск. https://disk.yandex.ru/d/daUwiY6dHoUkzw
Удалил везде где нашел этот DNS, поменял в настройках сети на автоматический DNS, запустил программу, во время работы программы запустил диагностику чтобы вызвать проблему, а не ждать минут 5-10 пока оно само отключит интернет и поменяет DNS, кстати да, еще такой факт, когда DNS меняется сам на 127.0.2.2, интернет отключается минут на 5, а потом включается с новыми адресами DNS, либо пока я не вытащу и не подключу обратно провод.

Ссылка на сообщение
Поделиться на другие сайты

Cloudflare WARP меняет DNS в сетевых подключениях. Деинсталлируйте Cloudflare WARP

image.png

Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты
3 минуты назад, mike 1 сказал:

Cloudflare WARP меняет DNS в сетевых подключениях. Деинсталлируйте Cloudflare WARP

 

image.png

 

 

Спасибо большое, добрый человек

Ссылка на сообщение
Поделиться на другие сайты

  1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе
  2. Запустите DelFix

     

    Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

     

  3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup

  4. Нажмите на кнопку Run

 

  • Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24  отсюда и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите отчет в вашей теме


 

Ссылка на сообщение
Поделиться на другие сайты
8 минут назад, mike 1 сказал:

 

  1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе
  2. Запустите DelFix

     

    Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

     

     

  3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup

  4. Нажмите на кнопку Run

 

 

 

  • Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24  отсюда и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите отчет в вашей теме


 

 

SecurityCheck.txt

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • TesikChop
      От TesikChop
      Спустя долгое время я начал замечать что мой компьютер стал шуметь, заходя в игры он шумит невыносимо хотя у него не слабое железо. Мне посоветовали avz, скачал. Шуметь стало меньше, но всё же шумит. Вот вам логи проверьте на наличие угрозы. Заранее спасибо 
      avz_log.rar
      CollectionLog-2023.01.31-17.28.zip
    • NoEndOutcry
      От NoEndOutcry
      Добрый день.
      В какой-то момент начались проблемы с отвалом клавиатуры, как пример - я печатаю сообщение в мессенджере или на форуме, у меня может сам переключиться язык, может самопроизвольно смениться окно в котором я ввожу или просто текст перестает вводиться. 
      На компьютере установлен касперский интернет секьюрити, он пишет что все ок. 
      При попытке выполнить первый пункт инструкции к этому разделу, выяснилось что утилита для удаления вирусов не скачивается(появляется окно сохранения файла, но при нажатии "скачать" оно переходит в состояние - "не отвечает" и аварийно завершается не скачивая файла. 
      Логи которые удалось собрать прикладываю и буду ждать дальнейших инструкций, заранее большое спасибо
      CollectionLog-2023.01.24-10.20.zip
    • weex
      От weex
      Здравствуйте, я не знаю что это но оно очень сильно вчера нагружало мой пк и до сих пор нагружает, после его появления все журналы действий очищены полностью, нет данных никаких что оно сделало с моим пк, удалить его я тоже не могу и в антивирусе оно больше не отображается 
      CollectionLog-2022.10.29-09.52.zip
    • Dvortsov
      От Dvortsov
      Подхватил Wemaeye.A. Следовал инструкциям из похожих веток - дефендер перестал ругаться. Сейчас - ругается на Win32/Beareuws.A!ml из AVbr, безопасно ли это?
    • shop-collection
      От shop-collection
      Проверяю компьютер AVZ и свыдает вот такой кусок лога:
      Протокол антивирусной утилиты AVZ версии 4.46
      Сканирование запущено в 06.04.2022 17:33:35
      Загружена база: сигнатуры - 297569, нейропрофили - 2, микропрограммы лечения - 56, база от 05.04.2022 04:00
      Загружены микропрограммы эвристики: 400
      Загружены микропрограммы ИПУ: 10
      Загружены цифровые подписи системных файлов: 1249748
      Режим эвристического анализатора: Средний уровень эвристики
      Режим лечения: выключено
      Версия Windows: 10.0.19043,  "Windows 10 Enterprise", дата инсталляции 20.08.2020 16:35:03 ; AVZ работает с правами администратора (+)
      Восстановление системы: включено
      1. Поиск RootKit и программ, перехватывающих функции API
      1.1 Поиск перехватчиков API, работающих в UserMode
       Анализ kernel32.dll, таблица экспорта найдена в секции .rdata
      Функция kernel32.dll:ReadConsoleInputExA (1132) перехвачена, метод ProcAddressHijack.GetProcAddress ->776EDB58->760FAB00
      Функция kernel32.dll:ReadConsoleInputExW (1133) перехвачена, метод ProcAddressHijack.GetProcAddress ->776EDB8B->760FAB30
       Анализ ntdll.dll, таблица экспорта найдена в секции .text
      Функция ntdll.dll:NtCreateFile (295) перехвачена, метод ProcAddressHijack.GetProcAddress ->77CA2F00->713317A0
      Функция ntdll.dll:NtSetInformationFile (598) перехвачена, метод ProcAddressHijack.GetProcAddress ->77CA2C20->71331900
      Функция ntdll.dll:NtSetValueKey (630) перехвачена, метод ProcAddressHijack.GetProcAddress ->77CA2FB0->71331970
      Функция ntdll.dll:ZwCreateFile (1838) перехвачена, метод ProcAddressHijack.GetProcAddress ->77CA2F00->713317A0
      Функция ntdll.dll:ZwSetInformationFile (2139) перехвачена, метод ProcAddressHijack.GetProcAddress ->77CA2C20->71331900
      Функция ntdll.dll:ZwSetValueKey (2171) перехвачена, метод ProcAddressHijack.GetProcAddress ->77CA2FB0->71331970
       Анализ user32.dll, таблица экспорта найдена в секции .text
      Функция user32.dll:CallNextHookEx (1536) перехвачена, метод ProcAddressHijack.GetProcAddress ->7790B3D0->71331690
      Функция user32.dll:SetWindowsHookExW (2399) перехвачена, метод ProcAddressHijack.GetProcAddress ->77910610->713319E0
      Функция user32.dll:Wow64Transition (1504) перехвачена, метод CodeHijack (метод не определен)
       Анализ advapi32.dll, таблица экспорта найдена в секции .text
      Функция advapi32.dll:CveEventWrite (1234) перехвачена, метод ProcAddressHijack.GetProcAddress ->776059E2->760FD500
      Функция advapi32.dll:I_ScRegisterPreshutdownRestart (1387) перехвачена, метод ProcAddressHijack.GetProcAddress ->77606909->76CCC160
       Анализ ws2_32.dll, таблица экспорта найдена в секции .text
       Анализ wininet.dll, таблица экспорта найдена в секции .text
       Анализ rasapi32.dll, таблица экспорта найдена в секции .text
       Анализ urlmon.dll, таблица экспорта найдена в секции .text
       Анализ netapi32.dll, таблица экспорта найдена в секции .text
      Функция netapi32.dll:NetFreeAadJoinInformation (130) перехвачена, метод ProcAddressHijack.GetProcAddress ->7518DF5A->5F3BAB10
      Функция netapi32.dll:NetGetAadJoinInformation (131) перехвачена, метод ProcAddressHijack.GetProcAddress ->7518DF89->5F3BAE90
      1.4 Поиск маскировки процессов и драйверов
       Проверка не производится, так как не установлен драйвер мониторинга AVZPM
      2. Проверка памяти
       Количество найденных процессов: 13
       Количество загруженных модулей: 236
      Проверка памяти завершена
      3. Сканирование дисков
      4. Проверка Winsock Layered Service Provider (SPI/LSP)
       Настройки LSP проверены. Ошибок не обнаружено
      5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
      6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
       Проверка отключена пользователем
      7. Эвристичеcкая проверка системы
      Обратите внимание: в настройках IE задан прокси-сервер S-1-5-21-3347954527-2061021529-2534387101-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings, ProxyServer="158.69.137.132:14159"
      Проверка настройки поиска IE через Policies [x64] HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{F35BB6EA-0085-4A76-9FEE-9B60F95305B0}, SuggestionsURL_JSON="http://suggestqueries.google.com/complete/search?output=firefox&client=firefox&qu={searchTerms}"
      Проверка настройки поиска IE через Policies [x32] HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{F35BB6EA-0085-4A76-9FEE-9B60F95305B0}, SuggestionsURL_JSON="http://suggestqueries.google.com/complete/search?output=firefox&client=firefox&qu={searchTerms}"
      Проверка завершена
      8. Поиск потенциальных уязвимостей
      >> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)
      > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
      >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
      >> Безопасность: к ПК разрешен доступ анонимного пользователя
      >> Проводник - включить отображение расширений для файлов известных системе типов
      Проверка завершена
      9. Мастер поиска и устранения проблем
      Проверка завершена
      Просканировано файлов: 249, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
      Сканирование завершено в 06.04.2022 17:34:07
      Сканирование длилось 00:00:34
      Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
      то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18
      Для автоматической проверки файлов, не опознаных как чистые или заподозренных AVZ 
      можно использовать сервис http://virusdetector.ru/
       
       
      CollectionLog-2022.04.06-17.44.zip
×
×
  • Создать...