Trojan.Siggen - не открываются сайты
ГлавнаяНаш блогСтатьиTrojan.Siggen - не открываются сайты
23.01.2010
Словили вирус. Первый за последние года 3. Называется - Trojan.Siggen.
Вирус себя особо не проявлял, только вешал фотошоп, а также, за счет чего и был замечен - не позволял открыть сайты ни одного антивируса.
Дабы проверить - а не глюки ли это провайдера (что было также вероятно), полезли в файл /windows/system32/drivers/etc/hosts (открывается любым текстовым редактором). А там... все сайты антивирусов имею сопоставление с IP 0.0.0.0, вроде этого:
127.0.0.1 localhost
0.0.0.0 u99.eset.com
0.0.0.0 dnl-00.geo.kaspersky.com
0.0.0.0 update.microsoft.com
0.0.0.0 ftp.kasperskylab.ru
0.0.0.0 ftp.kaspersky.ru
0.0.0.0
www.drweb.com.ua
0.0.0.0 drweb.ru
0.0.0.0
www.symantec.com
0.0.0.0 shop.symantecstore.com
0.0.0.0 liveupdate.symantec.com
0.0.0.0 download.eset.com
0.0.0.0 update.eset.com
Отредактировали, оставив только строчку 127.0.0.1 localhost (такой вид имеет файл hosts по умолчанию):
127.0.0.1 localhost
И что же? И опять ни один сайт ни одной антивирусной программы не запустить.
Ок, скачали CureIt! от DrWeb (как скачать хорошо описано тут). Полечились ночку... Лечиться лучше на самом деле запуская CureIt с проверенной на другом компьютере флешке и перезагрузившись в SafeMode
И что бы вы думали?! Вируса нет, а сайты по прежнему не открываются. Шерстили интернет - ничего не нашли. Вообще, по Trojan.Siggen информации крайне мало.
Оказывается, данный зверек модифицирует следующий ключ реестра Windows:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes
(Примечание от 7 июня 2010: аналогичные испорченные ветки реестра могут находиться тут:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet {номера}\Services\Tcpip\Parameters\PersistentRoutes)
По умолчанию он девственно чист, в нашем случае был забит записями типа "0.0.0.0,87.242.72.150,1" - то есть IP сайта drweb.com соответствовал IP 0.0.0.0 - естественно drweb.com не открывался.
Перезагружаем компьютер - и вуаля :)
Социальные закладки