Подмена страниц гугла/яндекса, как лечить?

Question

[Equillibrium]

Добрый день!
Один из моих подконтрольных менеджеров на работе получил подмену гугла/яндекса во всех браузерах. Сайты выглядят одинаково с оригинальными, но просят ввести телефон для «разблокирования доступа к поиску».
Cureit нашел руткит, удалил его — подмена сохранена. Virus Removal Tool ничего не нашел, Trojan Remover находит что то каждый раз, удаляет, после перезагрузки все то же самое…

Кто-нибудь сталкивался с конкретным зверем? Как это лечить?
Посоветуйте пожалуйста альтернативу cureit/virus removal tool.

На компьютере кстати стоит AVG internet security последний… И в нём тишина.

Answer 1

[ZUZ]

Ну коли avz не помогает, то поможет «мощное оружие, бьющее точно в цель» — запустите на пациенте ComboFix — www.bleepingcomputer.com/combofix/how-to-use-combofix
если и он не поможет даже после пары запусков (дождайтесь вывода отчета о проверке в Блокноте), то только ручками искать (составляя отчет в avz и отправляя на virus total или подобное) или переставлять.
Могу еще порекомендовать проверить комп при помощи вот этого антивируса — он больше специализируется на троянах и прочей гадости — www.malwarebytes.org/
Скачайте бесплатную версию, установите и запустите проверку например всего диска С:.
Платная отличается только резидентным модулем.

Comments

[Equillibrium]

Спасибо за советы по софту, интересно!

[Equillibrium]

+1 кудос поинт, помог комбофикс! Спасибо ещё раз

Answer 2

[xrays72]

Проверьте ключ в реестре

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters\DataBasePath

Значение данного ключа равно следующему значению?

%SystemRoot%\system32\drivers\etc\hosts

Comments

[Equillibrium]

Проверю в понедельник! Спасибо за наводку

Answer 3

[Максим]

Попробуйте пройтись еще AVZ — z-oleg.com/secur/avz/download.php. Пару раз выручала, когда cureit ничего не находил. Правда, базы там сейчас не самые свежие.

Comments

[Equillibrium]

Забыл указать, что им тоже проходился, нашел даже пару скриптов в интернете по данной теме, они что-то тоже находили, и удаляли, но видимо не до конца

Answer 4

[Пума Тайланд]

ну логично же что либо прописана лажа в файле hosts или же сменили адреса днс серверов.

Comments

[Equillibrium]

hosts восстановоенный cureit'ом, адреса днс те, что и должны быть (корпоративные)

[Пума Тайланд]

Ну выложите с машины пинг до гугла поглядим что там восстановили.
И что прописано сейчас в hosts файле?
Какие днсы сейчас прописаны?

[Equillibrium]

Пинг до гугла и файл хостс. По айпишнику из пинга открывается похоже как-раз таки заглушка, подделанная под гугл.

Пока делал скрин ipconfig/all, отвалился интернет (похоже в здании, может свет вырубился, там у нас бывает). Как только заработает удалёнка, выложу скрин!

Answer 5

[egorinsk]

Ой, а может проблема не на компьютере, а например, на зараженном ДНС-сервере в локалке? Или зараженном роутере? Или зараженный сосед-компьютер подделывает DNS-ответы? Можете сделать с зараженного компьютера nslookup google.com 8.8.8.8? Это отправка ДНС-запроса напрямую в Гугл. Она дложна вернуть что-то вроде этого:

Server: google-public-dns-a.google.com
Address: 8.8.8.8

Non-authoritative answer:
Name: google.com
Addresses: 173.194.71.100, 173.194.71.102, 173.194.71.113, 173.194.71.101
173.194.71.139, 173.194.71.138

Comments

[Equillibrium]

Сервер в локалке точно впорядке, так как проблема только на одном этом компе.

Пока что не могу ничего сделать потому что пропала удалёнка =(

Answer 6

[d4rkr00t]

Лечил такое на днях с помощью DrWev Cureit

Comments

[Equillibrium]

Скачал в пятницу последнюю версию, прогнал с наиболее глубокими настройками сканирования, он что-то нашел, удалил, поправил hosts — после перезагрузки всё равно была подмена =\

Answer 7

[Valeftin]

Попробуйте файл C:\Windows\system32\rpcss.dll проверить на virustotal. Если заражен — заменить с такой же системы.

Comments

[Equillibrium]

Спасибо за совет! Проверим

Answer 8

[Владимир Мартьянов]

HijackThis и курить логи…

Answer 9

[Олег Матрозов]

К слову, полученный вами IP 74.125.232.225 принадлежит действительно гуглу. Может дело в проксе?