微点交流论坛
» 游客:  注册 | 登录 | 帮助

 微点交流论坛 » 微点主动防御软件 » 【求救】DNS被强制设定，是否为病毒或木马？  

 12  1/2  1  2  > 
作者:
标题: 【求救】DNS被强制设定，是否为病毒或木马？
shambhala
注册用户





积分 115
发帖 115
注册 2008-6-20
#1  【求救】DNS被强制设定，是否为病毒或木马？

本人家中的电脑，WINXP SP3,杀软是开微点监控，今天突然发现个问题，TCP/IP协议设置中，DNS服务器被改为：85.255.114.20；85.25.112.21.并且我不能更改。改无论是设置为自动获取还是指定本地DNS服务器，确定后重新打开，都会恢复到上面的两个IP地址。微点未报可以程序，先后装上卡巴2009、AVK2009(BD和AVST引擎)，都扫描不到问题。似乎有后台运行的程序在不断控制着这DNS设置。真不明白想做什么？我没有装任何VPN软件。
想请教微点的老大如何处理！

附件 1: QQ截图未命名.jpg (2008-10-4 21:36, 21.26 K,下载次数： 43)


※ ※ ※ 本文纯属【shambhala】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 21:36
查看资料  发送邮件  发短消息   编辑帖子
Legend
超级版主

超级版主



积分 77171
发帖 70170
注册 2005-10-29
#2  

请楼主断网设置一下，也请查看一下C:\WINDOWS\system32\drivers\etc\hosts文件是否被更改，正常应该是：127.0.0.1       localhost

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入 微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息
2008-10-4 21:46
查看资料  发短消息   编辑帖子
shambhala
注册用户





积分 115
发帖 115
注册 2008-6-20
#3  

相关信息邮件已发支持邮箱了。另我用360安全卫士扫描时发现有伪Antivirus恶意程序，但清理有依旧。

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System [NoDispScrSavPage]: (0)
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System [NoDispBackgroundPage]: (0)

※ ※ ※ 本文纯属【shambhala】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 21:49
查看资料  发送邮件  发短消息   编辑帖子
shambhala
注册用户





积分 115
发帖 115
注册 2008-6-20
#4  



  Quote:
Originally posted by Legend at 2008-10-4 21:46:
请楼主断网设置一下，也请查看一下C:\WINDOWS\system32\drivers\etc\hosts文件是否被更改，正常应该是：127.0.0.1       localhost

这个没问题。127.0.0.1       localhost。

总体我感觉是中了未知的病毒，曾经有个不明文件c:\windows\system32\kdvcq.exe，但我用冰刃强制删除后没再出现，但问题依旧，并且在启动项始终有加载这一程序，删除不掉。

※ ※ ※ 本文纯属【shambhala】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 21:55
查看资料  发送邮件  发短消息   编辑帖子
shambhala
注册用户





积分 115
发帖 115
注册 2008-6-20
#5  

把网线拔掉后，设置DNS,结果依旧。还是会被改回来的。

※ ※ ※ 本文纯属【shambhala】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 21:58
查看资料  发送邮件  发短消息   编辑帖子
koo
注册用户





积分 332
发帖 327
注册 2007-11-17
#6  

看看系统自启动信息里面是否有相关启动项，你的这个问题看看这个网页有帮助不
http://hi.baidu.com/zhangzqt/blo ... 4d0d11b07ec519.html

※ ※ ※ 本文纯属【koo】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 21:59
查看资料  发短消息   编辑帖子
shambhala
注册用户





积分 115
发帖 115
注册 2008-6-20
#7  



  Quote:
Originally posted by koo at 2008-10-4 21:59:
看看系统自启动信息里面是否有相关启动项，你的这个问题看看这个网页有帮助不
http://hi.baidu.com/zhangzqt/blo ... 4d0d11b07ec519.html

谢谢，好像用不太上啊。从迹象上看应该是中了不明木马了。

※ ※ ※ 本文纯属【shambhala】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 22:01
查看资料  发送邮件  发短消息   编辑帖子
独孤不平
注册用户





积分 128
发帖 122
注册 2008-10-3
#8  

找同网段机器设置好ip地址后将如下注册表导出后导入自己机器，设置所有用户及其组权限都为只读属性.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces

※ ※ ※ 本文纯属【独孤不平】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 22:56
查看资料  发送邮件  发短消息   编辑帖子
shambhala
注册用户





积分 115
发帖 115
注册 2008-6-20
#9  

好了，用卡巴2009,升级到最新病毒包，然后进安全模式，扫倒这个木马了：
2008-10-4 22:56:22        已删除        木马程序 Trojan.Win32.DNSChanger.jje        c:\windows\system32\kdvcq.exe               
把注册表中这个木马相关的垃圾清理掉，重新进系统就正常了。
微点还要加油啊。像这种情况，微点根本没反应，。
没有危害吗？难说，病毒完全可以把我正常访问的网址解析到病毒网站上去。

※ ※ ※ 本文纯属【shambhala】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
2008-10-4 23:48
查看资料  发送邮件  发短消息   编辑帖子
Legend
超级版主

超级版主



积分 77171
发帖 70170
注册 2005-10-29
#10  

请楼主将此样本从卡巴的有害隔离区里面另存为出来，再加密压缩（密码：virus）发送到我们support@micropoint.com.cn 邮箱，随信请附带此贴链接和微点的技术支持信息（微点主界面-->辅助功能-->生成技术支持信息）。

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入 微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息
2008-10-5 00:02
查看资料  发短消息   编辑帖子
 12  1/2  1  2  > 



论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏


[ 联系我们 - 东方微点 ]

北京东方微点信息技术有限责任公司 福建东方微点信息安全有限责任公司

闽ICP备05030815号