|
Нужно избавиться от поддельного гугла
Всем доброго времени суток.
Сразу оговорюсь, что сам я далеко не ламер в администрировании систем, но тут пару дней назад на моем ноуте, совершенно непонятно откуда появилась странная проблема. Стоит ввести в адресную строку google.ru, как загружается страница, предлагающая скачать новую версию браузера из которого она запущена. То есть если открыть гугл хром, то появится вот это http://img36.imageshack.us/img36/4302/aq4o.png если оперу, то подобная страница для оперы. Вроде похожа на настоящую, но меня сразу насторожило то, что ссылки слишком простые на скачку файлов. Скачал файл, проверил антивирусом, и действительно, троян. Вопрос, как избавиться от этого редиректа? Вот что делал я: 1) проверил файл hosts, там все чисто. Никаких дополнительных скрытых файлов в его директории тоже не создалось 2) проверил весь реестр на наличие ссылок на google.ru, ничего 3) проверил автозапуск в реестре, там тоже все чисто, ничего лишнего. Вообще убрал все кроме KIS 2013 из автозапуска. Не помогло. 4) Поостанавливал все службы, кроме майкросовтовских. Бесполезно. 5) Проверил весь комп на вирусы (касперыч (kis 2013) лицензионный и постоянно обновляется). Никакой активности не обнаружил. 6) пробовал очищать и кэш браузеров и днс кэш системы, все бестолку. На этом у меня идеи кончились. Прошу помощи, хотя бы в подсказках что еще можно попробовать. п.с. Со всех других компов дома гугл работает нормально. Пингую гугл, беру ip, ввожу на ноуте, по IP переходит на реальный гугл п.п.с и еще одна вещь, если ввести запрос прямо в адресную строку, то откроется реальный гугл и запрос сработает. А вот если адрес google.ru/com или gmail.com - этот фейк |
Сделайте логи по этой инструкции.
|
Вложений: 4
Вот логи
п.с. Кстати еще заметил, что если ввести не google.ru, а https://google.ru то тоже откроется реальный гугл. То есть с указанием протокола secure такое впечатление, что в браузерах пропатчились поисковики |
Сделайте дополнительно лог HijackThis
|
Вот он
Сейчас пока проблема не наблюдается. Она каким-то образом появляется в районе 7 вечера каждый день. Предполагаю, что какая-то зараженная служба висит/ела или задание было на 7 вечера. В общем, снес все задания, AVZ нашел пару каких-то троянов в System32/drivers их удалил почистил кэш браузеров, и пока все нормально если вечером не проявится, отпишусь здесь |
Проблема полностью исчезла. Видимо дело и было в каком-то из тех двух троянов, которые нашла avz
|
Цитата:
Для профилактики повторных заражений скачайте и запустите SecurityCheck by glax24, когда откроется отчет, скопируйте и вставьте его сюда, сам файл выкладывать не нужно. В отчете будет показано, что в вашей системе нуждается в обновлении и другие угрозы безопасности. Скачайте и установите обновления по ссылкам. Рекомендации. |
Рано радовался. Проблема не исчезла.
Сегодня в семь вечера опять та же фигня. При этом касперский вообще никакой реакции не проявил. Захожу глянуть файл hosts и вижу, что он был изменен в 19:08 сегодня. Но он чист. Вообще не знаю уже куда копать.. хоть систему переустанавливай Обнаружил в системных заданиях вот такую фигню http://prntscr.com/22a519 похоже это оно, хотя может и просто совпадение. Но в задании было указано, что нужно запускать при подключении к сети |
И не в задачах проблема. Уже вообще не знаю куда копать. Этот фейк просто задолбал своим периодическим появлением
|
• Скачайте Malwarebytes Anti-Malware, установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - . Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. Интернет у вас какой ? Через модем , роутер или оптоволокно ? |
Выяснил в чем проблема. Она оказалась куда глобальнее, чем пределы моего компа. Кто-то хакнул провайдера.
Удивляло то, что на работе все нормально, прихожу домой, вылезает эта хрень. Собственно, этот факт и насторожил. Принес совершенно чистый ноутбук домой, приконнектился к вайфаю, и вылезла та же проблема. Причем сделано хитро. Несколько запросов действительно идут на реальный гугл. А дальше, запросов после десяти, начинает редиректить на этот фейк. Причем редирект происходит только с винды. Видимо поставили проверку на ОС и браузер. В опере переадресует на фейковое обновление оперы, в хроме на хром, а в огелисе, на фейк-сайт мозиллы. Если отключить модем, то после смены айпи, еще раз десять сработает настоящий гугл. А дальше та же песня. И срабаытвает это все после 7 вечера. Когда уже все специалисты ушли домой, и проверять некому. Естественно решить эту проблему я не могу. Разговор с провайдером - все равно что со стеной. Единственный вариант, который остался - прокси. П.с. провайдер ростелеком, запсиб. |
| Время: 08:44. |
Время: 08:44.
© OSzone.net 2001-