Board logo

标题: 【求救】DNS被强制设定，是否为病毒或木马？ [打印本页]
作者: shambhala     时间: 2008-10-4 21:36    标题: 【求救】DNS被强制设定，是否为病毒或木马？

本人家中的电脑，WINXP SP3,杀软是开微点监控，今天突然发现个问题，TCP/IP协议设置中，DNS服务器被改为：85.255.114.20；85.25.112.21.并且我不能更改。改无论是设置为自动获取还是指定本地DNS服务器，确定后重新打开，都会恢复到上面的两个IP地址。微点未报可以程序，先后装上卡巴2009、AVK2009(BD和AVST引擎)，都扫描不到问题。似乎有后台运行的程序在不断控制着这DNS设置。真不明白想做什么？我没有装任何VPN软件。
想请教微点的老大如何处理！
附件 1: QQ截图未命名.jpg (2008-10-4 21:36, 21.26 K,下载次数： 43)


作者: Legend     时间: 2008-10-4 21:46
请楼主断网设置一下，也请查看一下C:\WINDOWS\system32\drivers\etc\hosts文件是否被更改，正常应该是：127.0.0.1       localhost
作者: shambhala     时间: 2008-10-4 21:49
相关信息邮件已发支持邮箱了。另我用360安全卫士扫描时发现有伪Antivirus恶意程序，但清理有依旧。

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System [NoDispScrSavPage]: (0)
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System [NoDispBackgroundPage]: (0)
作者: shambhala     时间: 2008-10-4 21:55


  Quote:
Originally posted by Legend at 2008-10-4 21:46:
请楼主断网设置一下，也请查看一下C:\WINDOWS\system32\drivers\etc\hosts文件是否被更改，正常应该是：127.0.0.1       localhost

这个没问题。127.0.0.1       localhost。

总体我感觉是中了未知的病毒，曾经有个不明文件c:\windows\system32\kdvcq.exe，但我用冰刃强制删除后没再出现，但问题依旧，并且在启动项始终有加载这一程序，删除不掉。
作者: shambhala     时间: 2008-10-4 21:58
把网线拔掉后，设置DNS,结果依旧。还是会被改回来的。
作者: koo     时间: 2008-10-4 21:59
看看系统自启动信息里面是否有相关启动项，你的这个问题看看这个网页有帮助不
http://hi.baidu.com/zhangzqt/blo ... 4d0d11b07ec519.html
作者: shambhala     时间: 2008-10-4 22:01


  Quote:
Originally posted by koo at 2008-10-4 21:59:
看看系统自启动信息里面是否有相关启动项，你的这个问题看看这个网页有帮助不
http://hi.baidu.com/zhangzqt/blo ... 4d0d11b07ec519.html

谢谢，好像用不太上啊。从迹象上看应该是中了不明木马了。
作者: 独孤不平     时间: 2008-10-4 22:56
找同网段机器设置好ip地址后将如下注册表导出后导入自己机器，设置所有用户及其组权限都为只读属性.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces
作者: shambhala     时间: 2008-10-4 23:48
好了，用卡巴2009,升级到最新病毒包，然后进安全模式，扫倒这个木马了：
2008-10-4 22:56:22        已删除        木马程序 Trojan.Win32.DNSChanger.jje        c:\windows\system32\kdvcq.exe               
把注册表中这个木马相关的垃圾清理掉，重新进系统就正常了。
微点还要加油啊。像这种情况，微点根本没反应，。
没有危害吗？难说，病毒完全可以把我正常访问的网址解析到病毒网站上去。
作者: Legend     时间: 2008-10-5 00:02
请楼主将此样本从卡巴的有害隔离区里面另存为出来，再加密压缩（密码：virus）发送到我们support@micropoint.com.cn 邮箱，随信请附带此贴链接和微点的技术支持信息（微点主界面-->辅助功能-->生成技术支持信息）。
作者: Legend     时间: 2008-10-7 16:54
请楼主将C:\WINDOWS\SYSTEM32\KDVCQ.EXE加密压缩（密码：virus）发送到我们support@micropoint.com.cn 邮箱，随信请附带此贴链接。
作者: Legend     时间: 2008-10-15 15:07
由于没有收到楼主进一步的反馈信息，本主题暂作关闭处理，如有问题，请另开新帖讨论。



欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/) bbs.micropoint.com.cn