Как восстановить Интернет после изменения вирусом настроек DNS. Яндекс.DNS: защита ПК и смартфонов от вирусов и мошенников
Завязка
Началось все с того, что один из моих знакомых, посетовал, что мобильную версию ВКонтакте закрыли. Я очень удивился, потому как не видел для этого никак объективных причин, и поспешил проверить, так ли это. Переход на m.vk.com развеял мои сомнения - все работало. В ходе расспроса знакомого, выяснилось, что у него m.vk.com сообщает о том, что весь сервис переехал на мобильное приложение и предлагает это приложение скачать. Очевидно, это шалят вирусы, подумал я, и попросил знакомого дать взглянуть на его машину.Первым делом, я самолично взглянул на этот фейк, все выглядело очень правдоподобно: было хорошо сверстано и URL был именно m.vk.com. Так что, можно было действительно подумать, что мобильная версия ВК закрылась.
Ну что это может быть? Конечно же, hosts! Открывая его, я уже был готов спасти знакомого от страшной напасти, но… в файле не оказалось ничего, кроме стандартных комментариев. Так же не было и другого, скрытого hosts, как это иногда бывает. Тщательное изучение запущенных процессов не дало ничего интересного, ровным счетом как и гуглирование предлагаемого для скачивания приложения. Я призадумался.
Мои мыслительные процессы прервал знакомый, сообщив, что та же самая история происходит и при попытке зайти в ВК с телефона. Это была зацепка. Телефон был подключен к домашней wi-fi точке, к той же, что и проблемный компьютер. Попросив знакомого зайти в ВК с мобильного интернета, отключившись от wi-fi, я отмел вариант заражения телефона - открывалась настоящая версия. Вывод был только один - заражен роутер.
Всему виной безответственность
Перейдя на 192.168.1.1, я попросил знакомого логин и пароль от роутера и услышал в ответ… admin:admin ! Что?! Как можно было не сменить пароль на роутере раздающем wi-fi?! Поразительная безответственность! Знакомый пожал плечами.Проверив DNS я обнаружил следующее:
Второй адрес мне хорошо известен, это DNS Google, а вот первый я раньше не встречал. Он был даже не из нашего региона.
Ничего, кроме как перейти по этому адресу , в голову не пришло. Предо мной предстал фейк QIWI, при чем, опять же, отменного качества. (Кстати, он до сих пор там).
Я удалил этот адрес из DNS, заменив его стандартным для нашего региона, сменил пароль на роутере и перезапустил его. После этого, все заработало как положено. Выслушав благодарности знакомого, я решил заняться фейком поплотнее.
Вот это поворот
2ip.ru сказал, что адрес украинский и показал из какого он диапазона. Диапазон был небольшим, поэтому логично было бы его просканировать. Сказано-сделано. Полчаса возни и был обнаружен другой интересный адрес. Вот он: 176.102.38.39 .Сейчас там расположена ненормативная лексика, но когда я его нашел, там была форма с названием «Fake admin panel» и поля для логина и пароля. Чем черт не шутит? Подумал я, и ввел admin:admin . Как вы думаете, что произошло?
Я оказался в админке, с логами всех входов в фейки мошенников! Поразительно, они попались на своем же методе заражения.
Признаю, я сначала подумал, что это ханипот, и попробовал войти в один из кошельков QIWI из лога. Данные были верными, на счету кошелька было около 1000 рублей. Значит, это не ханипот. Я вышел из кошелька, и начал изучать админку.
В тылу врага
Оформлена админка была со вкусом
(эти игрушечки сверху шевелились, когда на них наводишь крыской, и издавали звук (и это была не флешка))
В разделе Stat можно было увидеть сколько всего залогировано входов. Ситуация примерно такая:
VK ~72000
OK ~45000
QIWI ~9000
BTC - 5
Неплохие результаты (не считая btc), да?
Отдельно нужно отметить лог QIWI, судя по всему, ради него это все и было сделано. В логе QIWI отображался не только логин, пароль и IP, но и баланс на момент входа, а так же включено ли SMS подтверждение для платежей (что поразительно, в большей части аккаунтов оно было выключено). Такой лог, говорит о том, что после авторизации через фейк, человека авторизировало на реальном QIWI, и бедняга даже не подозревал о подвохе.
В правом верхнем углу отображается количество записей, которые еще не убраны в архив (замечу, что эти записи пополнялись очень быстро).
А внизу (на картинке не видно), были кнопочки для удобного экспорта не архивных логов в txt файл и кнопочка для восстановления всех записей из архива.
Ощущая, что мое время на исходе, я восстановил все записи из архива QIWI и скачал их себе. Хотел проделать тоже самое с остальными сервисами, но не смог. Потому как при следующем запросе я увидел ошибку 403, а потом и то, что там есть сейчас.
Результаты
Полученный файл я очистил от одинаковых записей и проверил нет ли там кошелька моего знакомого. Знакомому повезло, его кошелек в руки мошенников не попал.Вот этот
Напоролся на тут на интересный вирус, который не встречал еще до этого. Собственно познакомился с ним на стадии того, что клиент, вернувшись из командировки, не смог войти с ноута в инет, так что пришлось подъехать посмотреть.
Машинка Windows 7, стоит NOd32, но Comodo я ему ставить не стал, так как оперативки на ноуте маловато. В инет он оказывается входил, ибо скайп подключался, но вот с бродилкой были какие то проблемы. Глянул ipconfig /all , так и есть – DNS почему то стоит 127.0.0.1 . Зашел в настройки сетки- действительно прописан руками.
Человек естественно клялся и божился, что ничего не трогал, но мы то этих клиентов знаем. В итоге сменил на автоматическую выдачу DNS, перегрузил- все работает. Ну и забыл.
Вечером звонок, снова не могу войти- ну по телефону попросил его провести несколько манипуляций, опять DNS сброшен и в настройках в поле DNS ручками прописан 127.0.0.1
Объяснил как исправить и на следующий день, уже вооружившись флехой, поперся смотреть что там происходит
Оказалось вирь, выцепляемый HackJack’ом и Dr.Web CureIT!
пишется в реестр многочисленная настройка DNS, который и сбрасывает ручные- выглядит запись примерно так, только продублирована 5-6 раз для разных классов:
HKLM\System\CCS\Services\Tcpip\..: NameServer = 127.0.0.1
а также автостарт пары рандомных файлов из темпов юзверя. Так что все поотрубал через HackJack, после чего отсканил машинку CureIT!, которая и отловила зверька. Сам что то тормазнул, так как трепался с клиентом за жизнь, и не записал классификацию по Dr.Web, но как я понимаю по классификации Касперского – это Trojan-Downloader.Win32.Injecter.lfi
После удаления зловредов и чистки следов их присутствия стоит перетряхнуть стек TCP/IP либо обнулением параметров, либо удалением интерфейса, так как на паре компов была замечена не понятный глюк, что после исправления настройка все равно сбрасывалась, не смотря на то, что в системе уже не было следов присутствия пакости.
Совсем свежачок, появившийся в конце мая.
Отзывов: 14 на «Вирус меняет настройки DNS на 127.0.0.1»
Спасибо, работаю в техподдержке, штук 20 абонентов уже отзвонилось с такой проблемой.
А если вирус блокировал доступ к контекстному меню и отключил кнопки на изменение настроек?
Спасибо за пост…поймал эту гадость на ноут…причем ни касперыч ни др.веб немогли отловить..спасло только формат диск с комплит…а вот на стационарнике, поймав его еще раз, уже смог отловить без жестких мер…еще раз спасибо!
Знакомый принес комп – та же фигня 127.0.0.1.
HackJack’ ловит – но исправить не может и Dr.Web CureIT не излечил даже із LiveCD… находит файлы – удаляет, а через 10 сек они снова на месте. Вирус оказался не убиваем утилитой.
Удалил так –
Рецепт Лечения:
1. программа Starter – запускаем и ищем svchost.exe которий находиться вне папки system32.
в моес случае был в – C:\Documents and Settings\PERSIO\Application Data….
(P/S. обычно там кокой-то левый ярлык напротив “левого” процесса)
2. Запоминаем маршрут – ищем файл (я искал в TotalComander 7.56 с включенной функцией – “показать скрытые файлы”)- так-как он скрытий
3. В программе Starter убиваем-удаляем сам процесс
4. удаляем в TotalComander найденый нами ранее файл svchost.exe
5. (для гарантии поставил бесплатный АВАСТ и в настройках включил -”сканировать при запуске”)
Здравствуйте! Только что поборол такой же зловред у клиента. DrWeb ничего не нашел. Скачал adwcleaner нашел и обезвредил за пару минут. + прошелся ccleaner отключил все подозрительные процессы в автозапуске и отключил подозрительные запланированные задачи. Вручную очистил папки drivercache, dllcache, prefetch+ очистка диска и реестра средствами ccleaner. Все Good!! Всем удачи!
Чтобы защититься от трояна Trojan.Rbrute, поражающих модемы/маршрутизаторы фирмы TP-link нужно выполнять несколько простых условий. Вирус распространяется перебором сканированием IP-адресов по n-ому диапазону, после чего начинается подбор пароля методом brutforce. Атаке подвержены практически все популярные модели роутеров Tp-link. Пробираясь в настройки устройства троян меняет адреса DNS провайдера на адреса злоумышленников.
Ваш роутер заражен, если:
При попытке выйти на любой сайт, будь-то remont-sro.ru или сервис Gmail.com открывается сайт загрузки фейкового Google Chrome или другие подозрительные ресурсы. Изначально редирект работал только для запросов пользователя, содержащие слова Facebook или Google, но теперь троян реагирует на любой из них. Индикация на модеме остается прежней, «Интернет» горит стабильно, компьютер показывает, что подключение выполнено, авторизация пройдена, но сам интернет не работает, а лишь перебрасывает на рекламные и/или фейковые страницы загрузок
Пункт 1. Reset. Перенастройка модема
Инструкцию подготовил специалист ГТП ЦОО Корчагина Мария
Если вы не можете зайти в настройки модема через 192.168.1.1, то попробуйте сделать это через адрес 192.168.42.1
На данной странице настройки указаны только для услуги Интернет. Для настройки IP-TV и WI-FI скачайте полный мануалы
Русская версия - http://yadi.sk/d/JC6l6FPVRbU9P
Английская версия - http://yadi.sk/d/j6Ly7bA4RbU8r
1. Чтобы правильно сбросить настройки на модеме следует зажать иголкой/пастой/зубочисткой кнопку Reset в небольшом углублении. Держим от 5 до 15 секунд до исчезновения индикации на устройстве. Лампочки должны погаснуть так, как после обычной перезагрузки роутера
2. Для настройки модем следует подключать кабелем в любой LAN-порт, не проводите настройку посредством Wi-Fi соединения.
3. Зайдите через браузер Internet Explorer в интерфейс роутера, по адресу: 192.168.1.1. Откроется диалоговое окно. В полях «Имя пользователя» и «Пароль» введите соответственно admin/admin. Откроется стартовая страница роутера (см. ниже)
На этой странице вы увидите, какие настройки уже существуют:
4. Перед тем как приступить к настройке маршрутизатора, необходимо удалить все ранее созданные настройки, для этого нужно перейти в раздел «Настройка интерфейса» -> «Интернет» , выбираем «Виртуальный канал» - PVC0, внизу страницы нажимаем кнопку «удалить». Так проделываем с каждым виртуальным каналом (их всего 8).
В итоге вот, что должно получиться (снова перейдите в раздел «Состояние» ):
5. Теперь перейдите в раздел «Настройка интерфейса»
, затем выберете подраздел «Интернет»
(см. скриншоте ниже). Указываем параметры как на скриншоте ниже (пользователь и пароль: rtk), затем сохраняем все параметры, нажав кнопку «Сохранить».
На этом настройка в режим PPPoE закончилась.
Пункт 2. Смена пароля на вход в маршрутизатор
Для того чтобы сменить пароль, перейдите в раздел «Эксплуатация устройства» , затем «Администрирование» , где собственно и меняется пароль на вход в маршрутизатор (придумать сложный пароль) (см. скриншот ниже). После чего нажать кнопку «Сохранить»
Пункт 2.5 Список паролей, которые не рекомендуется ставить на вход в маршрутизатор
111111
12345
123456
12345678
abc123
admin
Administrator
password
qwerty
root
tadpassword
trustno1
consumer
dragon
gizmodo
iqrquksm
letmein
Все эти пароли вирус уже «знает» и подбор пароля займет 1 секунду. Пароль следует ставить не только из одних цифр или букв. ОБЯЗАТЕЛЬНО должны присутствовать спец.символы (решетки. звездочки, проценты, кавычки) и буквы различного регистра (заглавные и строчные). Чем больше и разнообразней пароль, тем дольше его придется «брутить» (если вообще удастся).
Пункт 3. Ограничиваем доступ к модему к WAN-порту.
1. Заходим в настройки модема и ищем меню «Управление доступом» и выставляем параметры, как на скрине ниже:
2. В результате должна добавиться строка с параметрами (см. рисунок ниже):
Тоже самое для АНГЛИЙСКОЙ версии:
Пункт 4. Настройка LAN (DHCP + DNS)
Ранее мы писали о подмене DNS, вследствие чего на компьютере появлялась реклама и баннеры-вымогатели. В ряде случаев, DNS-сервера были изменены не только в Windows, но и на роутере. Если выражаться технически корректно, то подмена ДНС — это конечно же не вирус в классическом смысле слова, а вредоносная настройка, которая тем не менее приносит немало неудобств.
В чем смысл подмены DNS-серверов и какой от этого вред
ДНС сервер отвечает за сопоставление доменных имен с IP-адресами. Мошеннические DNS-серверы способны сопоставлять имя любого порядочного сайта с другим — неверным адресом, и загружать подменное содержимое вместо подлинного. Если прописать такие «неправильные» ДНС на роутере, то все устройства, подключенные к нему, будут в опасности.
Выглядит это так. Во время просмотра сайтов вдруг открывается страница с предложением обновить флеш-плеер, java, установить бесплатный антивирус, скачать программу якобы для ускорения работы и оптимизации ПК или любую другую на первый взгляд безобидную вещь. Немаловажно, что при этом в адресной строке может отображаться имя знакомого и проверенного сайта. Если пользователь скачает и запустит предложенный файл, то скорее всего в скором будущем у него начнутся большие проблемы с ПК:
- На компьютере может начаться показ рекламных объявлений.
- Файлы могут быть зашифрованы.
- При попытке открыть любой сайт может появляться требование .
- Рабочий стол может быть заблокирован винлокером опять же с требованием перечислить деньги за разблокировку.
- Компьютер может использоваться для осуществления интернет-атак на сайты и серверы, взлома других компьютеров (ботнет) и других нехороших дел.
При этом, как правило, снижается быстродействие ПК, идут постоянные обращения к жесткому диску, загрузка процессора достигает 100% в состоянии простоя.
Как происходит заражение роутера
Как правило, вначале происходит заражение одного из компьютеров в локальной сети. Вирус проникает на компьютер при скачивании какого-либо файла из Интернета. Затем, он посылает запросы на стандартные для сетевого оборудования адреса, может сканировать файлы cookies, скачивать вспомогательное вредоносное ПО (троян) и в результате попадает в настройки роутера или ADSL-модема.
Вирусы и трояны могут изменить настройки маршрутизатора (в частности, подменить DNS), если:
1. Для входа на веб-интерфейс используются стандартные реквизиты — IP, логин и пароль (например, 192.168.1.1, admin/admin)
2. Адрес, логин и пароль роутера сохранены в браузере.
Признаки заражения роутера
(могут встречаться как все вместе, так и отдельные признаки)
1. На устройствах, которые подключены к маршрутизатору, выскакивает реклама, в браузерах самостоятельно открываются левые вкладки/всплывающие окна, может появиться баннер-вымогатель на весь экран.
2. Часть сайтов не открывается. Вместо них отображаются веб-страницы со странным содержимым либо ошибка «404».
3. Нет доступа к Интернету, хотя индикатор WAN/Internet светится.
4. Компьютер получает IP-адрес из диапазона 169.254.*.*
Как удалить вирус с роутера
Как защитить роутер от вирусов
1. Обновить прошивку до последней
Зайдите на сайт производителя, введите свою модель, и скачайте самую свежую прошивку. Читайте на примере оборудования TP-Link.
2. Установить нестандартный пароль на веб-интерфейс
Не все маршрутизаторы позволяют изменить логин. Но если вы установите сложный пароль, этого будет достаточно.
3. Запретить вход в интерфейс маршрутизатора из Интернета
4. Изменить IP-адрес роутера в локальной сети
Даже не сомневайтесь, что первым делом вирус-взломщик роутеров будет обращаться к самым популярным адресам: 192.168.0.1 и 192.168.1.1. Поэтому мы вам советуем изменить третий и четвертый октет локального IP-адреса в настройках LAN. Задайте например:
192.168.83.254
После этого все устройства в сети будут получать IP из диапазона 192.168.83.*
После изменения локального IP роутера, для входа на веб-интерфейс нужно будет вводить http://[новый адрес]
5. Установить надежный антивирус на компьютер
Даже если вредоносное ПО проникнет на компьютер, оно будет нейтрализовано и не успеет заразить роутер.
6. Не сохранять пароли в браузере
Думаю, вы в состоянии запомнить пароль от веб-интерфейса маршрутизатора. Или как минимум его записать на бумаге.
Не для кого не секрет, что есть вирусы, которые закачиваются на компьютер и могут потом очень вредить. Казалось совсем недавно был создан вирус, что менял в хостах на Windows направление того или иного веб сайта. Чаще всего пользователи взломанной системы не могли зайти на сайты с антивирусами. Вредоносный скрипт попросту для вашего ПК изменил направления сайта, то есть ваш сайт стал думать, что данные сайты находятся в другом месте.
В данном случае было замечено не одним пользователем изменения именно ДНС сервера, то есть сервера, что контролирует привязанность доменных имен сайта с их ip-адресами. Что может быть в этом плохого? Всем тем, кто использует данный роутер для выхода в интернет могут подсунуть не правдивую информацию, то есть перенаправлять введенный вами сайт на другой сервер, в результате чего вы можете прочитать и доверится не правдивой информации.
Как это все работает? Вы открываете сайт и видите страничку с предложением обновить флеш-плеер или еще что-то не очень та и важное. Часто такое бывает и на доверенных сайта, на которых вы часто проводите время. Если скачать и запустить программу, то скорей всего вас ждут проблемы в работе с вашим компьютером: это и шифрование ваших файлов, показ рекламы на страницах сайтов, которой до этого не было на данных сайтах, особое внимание стоить уделить интернет атакам серверов и известных сайтов с вашего ПК, также ваш компьютер может быть заблокирован и предложена цена для разблокировки мошенниками. Ни в коем случае не связывайтесь с мошенниками, чтобы заплатить деньги.
Больше того, компьютер начинает медленно работать, нагрузка на процессор может достигать до 100%, нехватка оперативной памяти, постоянные непонятные обращения к жесткому диску.
Как можно заразить роутер новым вирусом?
От простого к сложному, для того чтобы попасть на роутер нужно всего лишь 1 подключенный к нему компьютер. Вирус попадает на компьютер через интернет, в тот момент когда мы что-то скачиваем. Потом вирус проверяет стандартные адреса сети, сканирует cookies, скачивает еще если необходимо вредоносное ПО (уже без вашей помощи) после чего вирус попадает в настройки маршрутизатора.
Обычно для захода в настройки маршрутизатора используют следующие параметры:
http://192.168.1.1/
логин=admin
пароль=admin
Такие данные роутер имеет стандартно, то есть по умолчанию. Если их не изменить, то ваш роутер может быть в опасности, также он будет в опасности если на ПК уже есть вирус, а в браузере сохранился логин и пароль к настройкам роутера.
Для повышения безопасности пароль на роутере нужно сразу менять на более сложный.
