Яндекс.DNS: защита ПК и смартфонов от вирусов и мошенников
Не для кого не секрет, что есть вирусы, которые закачиваются на компьютер и могут потом очень вредить. Казалось совсем недавно был создан вирус, что менял в хостах на Windows направление того или иного веб сайта. Чаще всего пользователи взломанной системы не могли зайти на сайты с антивирусами. Вредоносный скрипт попросту для вашего ПК изменил направления сайта, то есть ваш сайт стал думать, что данные сайты находятся в другом месте.
В данном случае было замечено не одним пользователем изменения именно ДНС сервера, то есть сервера, что контролирует привязанность доменных имен сайта с их ip-адресами. Что может быть в этом плохого? Всем тем, кто использует данный роутер для выхода в интернет могут подсунуть не правдивую информацию, то есть перенаправлять введенный вами сайт на другой сервер, в результате чего вы можете прочитать и доверится не правдивой информации.
Как это все работает? Вы открываете сайт и видите страничку с предложением обновить флеш-плеер или еще что-то не очень та и важное. Часто такое бывает и на доверенных сайта, на которых вы часто проводите время. Если скачать и запустить программу, то скорей всего вас ждут проблемы в работе с вашим компьютером: это и шифрование ваших файлов, показ рекламы на страницах сайтов, которой до этого не было на данных сайтах, особое внимание стоить уделить интернет атакам серверов и известных сайтов с вашего ПК, также ваш компьютер может быть заблокирован и предложена цена для разблокировки мошенниками. Ни в коем случае не связывайтесь с мошенниками, чтобы заплатить деньги.
Больше того, компьютер начинает медленно работать, нагрузка на процессор может достигать до 100%, нехватка оперативной памяти, постоянные непонятные обращения к жесткому диску.
Как можно заразить роутер новым вирусом?
От простого к сложному, для того чтобы попасть на роутер нужно всего лишь 1 подключенный к нему компьютер. Вирус попадает на компьютер через интернет, в тот момент когда мы что-то скачиваем. Потом вирус проверяет стандартные адреса сети, сканирует cookies, скачивает еще если необходимо вредоносное ПО (уже без вашей помощи) после чего вирус попадает в настройки маршрутизатора.
Обычно для захода в настройки маршрутизатора используют следующие параметры:
http://192.168.1.1/
логин=admin
пароль=admin
Такие данные роутер имеет стандартно, то есть по умолчанию. Если их не изменить, то ваш роутер может быть в опасности, также он будет в опасности если на ПК уже есть вирус, а в браузере сохранился логин и пароль к настройкам роутера.
Для повышения безопасности пароль на роутере нужно сразу менять на более сложный.
Предназначен для того, чтобы защищать вашу домашнюю сеть от вирусов, мошенников и хакерских атак. После нехитрой настройки вы сможете надежно экранировать свой роутер и все устройства при выходе в Интернет.
Мы привыкли, что DNS-сервер - это что-то на стороне провайдера или хостинга. Он помогает Интернету работать: преобразует имена сайтов в IP-адреса и обратно, чтобы мы могли их открывать, пользуясь осмысленными адресами: www.сайт , а не91.109.202.65. Между тем, компания Яндекс предлагает «бытовое» применение для DNS.
При желании вы можете подключить свой домашний роутер, ПК или любое другое устройство к одному из бесплатных DNS-серверов Яндекса. Тогда он будет не только преобразовывать для вас адреса сайтов, но и фильтровать трафик, чтобы защищать ваш домашний ПК и смартфоны от угроз извне и нежелательного контента.
Яндекс.DNS: как это работает?
У компании Яндекс более 80 DNS-серверов по всей России, Европе и СНГ. В последнее время щедрый Яндекс предлагает бесплатно пользоваться своими DNS-адресами. Все, что для этого нужно - настроить соединение с ними на маршрутизаторе, ПК или мобильном девайсе.
У Яндекса есть три бесплатных DNS - «Базовый», «Безопасный» и «Семейный». Прописав адрес любого из них на роутере или любом устройстве, с которого вы выходите в сеть, вы получите живой «щит» между вами и Интернетом. Они различаются по функциональности.
«Базовый» DNS работает в самом простом режиме, как обычный DNS-сервер. К нему есть смысл подключиться, если вы хотите, например, убрать ограничения своего подключения по скорости соединения и трафику.
«Безопасный» DNS не позволит вредоносным программам просочиться на ваш компьютер. Если вы подключитесь к нему, Яндекс будет блокировать попытки вирусов проникнуть на ваше устройство за счет собственного антивируса с использованием сигнатур Sophos. Кроме того, если у вас на компьютере уже давно тайно «живет» вирус, Яндекс перекроет ему кислород, не позволяя соединяться с серверами злоумышленников для рассылки спама, взлома паролей или проведения атак.
Наконец, «Семейный» DNS имеет ту же функциональность, что и «безопасный», но при еще и этом блокирует сайты и рекламу с эротическим контентом, чтобы ее не посмотрели ваши дети. Кстати, блокирует на убой: даже если вы сами захотите тайком побаловаться нехорошим контентом, ничего не выйдет - настройки исключений нет. И очень строго выбирает контент для блокирования: так, известная энциклопедия отечественных мемов для Яндекса - все равно что порнография.
Как настроить Яндекс.DNS на компьютере с Windows?
Нажмите ОК и переподключитесь к сети.
Как настроить Яндекс.DNS на роутере?
Если у вас есть WiFi-роутер, через который к Интернету подключаются все ваши устройства - компьютеры, ноутбуки, планшеты, смартфоны, смарт-телевизоры и прочее - то разумнее будет настроить DNS для всей сети разом.
Если ваш маршрутизатор выпущен производителем Asus , D-Link , Zyxel , Netis или Upvel , то вы можете скачать для него целую прошивку с предустановленным Яндекс.DNS. Для этого поищите производителя своего WiFi-роутера в списке внизу страницы сервиса. По нажатию на его название откроется подробная инструкция по настройке, где также есть ссылки на прошивки.
Если же у вас маршрутизатор другой фирмы, нажмите на ссылку У меня другой роутер и следуйте указаниям.
Как настроить Яндекс.DNS на смартфоне или планшете?
Инструкции по настройке различных девайсов на Android и iOS можно найти на главной странице Яндекс.DNS. Нажмите на Устройство и выберите тип вашего устройства и его операционную систему, а дальше следуйте инструкции.
Аналогичным образом можно настроить Яндекс.DNS для компьютеров под Linux или Mac OS.
Другие варианты
Яндекс - не пионер в области бесплатных DNS. В качестве альтернативы вы также можете попробовать
Завязка
Началось все с того, что один из моих знакомых, посетовал, что мобильную версию ВКонтакте закрыли. Я очень удивился, потому как не видел для этого никак объективных причин, и поспешил проверить, так ли это. Переход на m.vk.com развеял мои сомнения - все работало. В ходе расспроса знакомого, выяснилось, что у него m.vk.com сообщает о том, что весь сервис переехал на мобильное приложение и предлагает это приложение скачать. Очевидно, это шалят вирусы, подумал я, и попросил знакомого дать взглянуть на его машину.Первым делом, я самолично взглянул на этот фейк, все выглядело очень правдоподобно: было хорошо сверстано и URL был именно m.vk.com. Так что, можно было действительно подумать, что мобильная версия ВК закрылась.
Ну что это может быть? Конечно же, hosts! Открывая его, я уже был готов спасти знакомого от страшной напасти, но… в файле не оказалось ничего, кроме стандартных комментариев. Так же не было и другого, скрытого hosts, как это иногда бывает. Тщательное изучение запущенных процессов не дало ничего интересного, ровным счетом как и гуглирование предлагаемого для скачивания приложения. Я призадумался.
Мои мыслительные процессы прервал знакомый, сообщив, что та же самая история происходит и при попытке зайти в ВК с телефона. Это была зацепка. Телефон был подключен к домашней wi-fi точке, к той же, что и проблемный компьютер. Попросив знакомого зайти в ВК с мобильного интернета, отключившись от wi-fi, я отмел вариант заражения телефона - открывалась настоящая версия. Вывод был только один - заражен роутер.
Всему виной безответственность
Перейдя на 192.168.1.1, я попросил знакомого логин и пароль от роутера и услышал в ответ… admin:admin ! Что?! Как можно было не сменить пароль на роутере раздающем wi-fi?! Поразительная безответственность! Знакомый пожал плечами.Проверив DNS я обнаружил следующее:
Второй адрес мне хорошо известен, это DNS Google, а вот первый я раньше не встречал. Он был даже не из нашего региона.
Ничего, кроме как перейти по этому адресу , в голову не пришло. Предо мной предстал фейк QIWI, при чем, опять же, отменного качества. (Кстати, он до сих пор там).
Я удалил этот адрес из DNS, заменив его стандартным для нашего региона, сменил пароль на роутере и перезапустил его. После этого, все заработало как положено. Выслушав благодарности знакомого, я решил заняться фейком поплотнее.
Вот это поворот
2ip.ru сказал, что адрес украинский и показал из какого он диапазона. Диапазон был небольшим, поэтому логично было бы его просканировать. Сказано-сделано. Полчаса возни и был обнаружен другой интересный адрес. Вот он: 176.102.38.39 .Сейчас там расположена ненормативная лексика, но когда я его нашел, там была форма с названием «Fake admin panel» и поля для логина и пароля. Чем черт не шутит? Подумал я, и ввел admin:admin . Как вы думаете, что произошло?
Я оказался в админке, с логами всех входов в фейки мошенников! Поразительно, они попались на своем же методе заражения.
Признаю, я сначала подумал, что это ханипот, и попробовал войти в один из кошельков QIWI из лога. Данные были верными, на счету кошелька было около 1000 рублей. Значит, это не ханипот. Я вышел из кошелька, и начал изучать админку.
В тылу врага
Оформлена админка была со вкусом
(эти игрушечки сверху шевелились, когда на них наводишь крыской, и издавали звук (и это была не флешка))
В разделе Stat можно было увидеть сколько всего залогировано входов. Ситуация примерно такая:
VK ~72000
OK ~45000
QIWI ~9000
BTC - 5
Неплохие результаты (не считая btc), да?
Отдельно нужно отметить лог QIWI, судя по всему, ради него это все и было сделано. В логе QIWI отображался не только логин, пароль и IP, но и баланс на момент входа, а так же включено ли SMS подтверждение для платежей (что поразительно, в большей части аккаунтов оно было выключено). Такой лог, говорит о том, что после авторизации через фейк, человека авторизировало на реальном QIWI, и бедняга даже не подозревал о подвохе.
В правом верхнем углу отображается количество записей, которые еще не убраны в архив (замечу, что эти записи пополнялись очень быстро).
А внизу (на картинке не видно), были кнопочки для удобного экспорта не архивных логов в txt файл и кнопочка для восстановления всех записей из архива.
Ощущая, что мое время на исходе, я восстановил все записи из архива QIWI и скачал их себе. Хотел проделать тоже самое с остальными сервисами, но не смог. Потому как при следующем запросе я увидел ошибку 403, а потом и то, что там есть сейчас.
Результаты
Полученный файл я очистил от одинаковых записей и проверил нет ли там кошелька моего знакомого. Знакомому повезло, его кошелек в руки мошенников не попал.Вот этот
Напоролся на тут на интересный вирус, который не встречал еще до этого. Собственно познакомился с ним на стадии того, что клиент, вернувшись из командировки, не смог войти с ноута в инет, так что пришлось подъехать посмотреть.
Машинка Windows 7, стоит NOd32, но Comodo я ему ставить не стал, так как оперативки на ноуте маловато. В инет он оказывается входил, ибо скайп подключался, но вот с бродилкой были какие то проблемы. Глянул ipconfig /all , так и есть – DNS почему то стоит 127.0.0.1 . Зашел в настройки сетки- действительно прописан руками.
Человек естественно клялся и божился, что ничего не трогал, но мы то этих клиентов знаем. В итоге сменил на автоматическую выдачу DNS, перегрузил- все работает. Ну и забыл.
Вечером звонок, снова не могу войти- ну по телефону попросил его провести несколько манипуляций, опять DNS сброшен и в настройках в поле DNS ручками прописан 127.0.0.1
Объяснил как исправить и на следующий день, уже вооружившись флехой, поперся смотреть что там происходит
Оказалось вирь, выцепляемый HackJack’ом и Dr.Web CureIT!
пишется в реестр многочисленная настройка DNS, который и сбрасывает ручные- выглядит запись примерно так, только продублирована 5-6 раз для разных классов:
HKLM\System\CCS\Services\Tcpip\..: NameServer = 127.0.0.1
а также автостарт пары рандомных файлов из темпов юзверя. Так что все поотрубал через HackJack, после чего отсканил машинку CureIT!, которая и отловила зверька. Сам что то тормазнул, так как трепался с клиентом за жизнь, и не записал классификацию по Dr.Web, но как я понимаю по классификации Касперского – это Trojan-Downloader.Win32.Injecter.lfi
После удаления зловредов и чистки следов их присутствия стоит перетряхнуть стек TCP/IP либо обнулением параметров, либо удалением интерфейса, так как на паре компов была замечена не понятный глюк, что после исправления настройка все равно сбрасывалась, не смотря на то, что в системе уже не было следов присутствия пакости.
Совсем свежачок, появившийся в конце мая.
Отзывов: 14 на «Вирус меняет настройки DNS на 127.0.0.1»
Спасибо, работаю в техподдержке, штук 20 абонентов уже отзвонилось с такой проблемой.
А если вирус блокировал доступ к контекстному меню и отключил кнопки на изменение настроек?
Спасибо за пост…поймал эту гадость на ноут…причем ни касперыч ни др.веб немогли отловить..спасло только формат диск с комплит…а вот на стационарнике, поймав его еще раз, уже смог отловить без жестких мер…еще раз спасибо!
Знакомый принес комп – та же фигня 127.0.0.1.
HackJack’ ловит – но исправить не может и Dr.Web CureIT не излечил даже із LiveCD… находит файлы – удаляет, а через 10 сек они снова на месте. Вирус оказался не убиваем утилитой.
Удалил так –
Рецепт Лечения:
1. программа Starter – запускаем и ищем svchost.exe которий находиться вне папки system32.
в моес случае был в – C:\Documents and Settings\PERSIO\Application Data….
(P/S. обычно там кокой-то левый ярлык напротив “левого” процесса)
2. Запоминаем маршрут – ищем файл (я искал в TotalComander 7.56 с включенной функцией – “показать скрытые файлы”)- так-как он скрытий
3. В программе Starter убиваем-удаляем сам процесс
4. удаляем в TotalComander найденый нами ранее файл svchost.exe
5. (для гарантии поставил бесплатный АВАСТ и в настройках включил -”сканировать при запуске”)
Здравствуйте! Только что поборол такой же зловред у клиента. DrWeb ничего не нашел. Скачал adwcleaner нашел и обезвредил за пару минут. + прошелся ccleaner отключил все подозрительные процессы в автозапуске и отключил подозрительные запланированные задачи. Вручную очистил папки drivercache, dllcache, prefetch+ очистка диска и реестра средствами ccleaner. Все Good!! Всем удачи!
Чтобы защититься от трояна Trojan.Rbrute, поражающих модемы/маршрутизаторы фирмы TP-link нужно выполнять несколько простых условий. Вирус распространяется перебором сканированием IP-адресов по n-ому диапазону, после чего начинается подбор пароля методом brutforce. Атаке подвержены практически все популярные модели роутеров Tp-link. Пробираясь в настройки устройства троян меняет адреса DNS провайдера на адреса злоумышленников.
Ваш роутер заражен, если:
При попытке выйти на любой сайт, будь-то remont-sro.ru или сервис Gmail.com открывается сайт загрузки фейкового Google Chrome или другие подозрительные ресурсы. Изначально редирект работал только для запросов пользователя, содержащие слова Facebook или Google, но теперь троян реагирует на любой из них. Индикация на модеме остается прежней, «Интернет» горит стабильно, компьютер показывает, что подключение выполнено, авторизация пройдена, но сам интернет не работает, а лишь перебрасывает на рекламные и/или фейковые страницы загрузок
Пункт 1. Reset. Перенастройка модема
Инструкцию подготовил специалист ГТП ЦОО Корчагина Мария
Если вы не можете зайти в настройки модема через 192.168.1.1, то попробуйте сделать это через адрес 192.168.42.1
На данной странице настройки указаны только для услуги Интернет. Для настройки IP-TV и WI-FI скачайте полный мануалы
Русская версия - http://yadi.sk/d/JC6l6FPVRbU9P
Английская версия - http://yadi.sk/d/j6Ly7bA4RbU8r
1. Чтобы правильно сбросить настройки на модеме следует зажать иголкой/пастой/зубочисткой кнопку Reset в небольшом углублении. Держим от 5 до 15 секунд до исчезновения индикации на устройстве. Лампочки должны погаснуть так, как после обычной перезагрузки роутера
2. Для настройки модем следует подключать кабелем в любой LAN-порт, не проводите настройку посредством Wi-Fi соединения.
3. Зайдите через браузер Internet Explorer в интерфейс роутера, по адресу: 192.168.1.1. Откроется диалоговое окно. В полях «Имя пользователя» и «Пароль» введите соответственно admin/admin. Откроется стартовая страница роутера (см. ниже)
На этой странице вы увидите, какие настройки уже существуют:
4. Перед тем как приступить к настройке маршрутизатора, необходимо удалить все ранее созданные настройки, для этого нужно перейти в раздел «Настройка интерфейса» -> «Интернет» , выбираем «Виртуальный канал» - PVC0, внизу страницы нажимаем кнопку «удалить». Так проделываем с каждым виртуальным каналом (их всего 8).
В итоге вот, что должно получиться (снова перейдите в раздел «Состояние» ):
5. Теперь перейдите в раздел «Настройка интерфейса»
, затем выберете подраздел «Интернет»
(см. скриншоте ниже). Указываем параметры как на скриншоте ниже (пользователь и пароль: rtk), затем сохраняем все параметры, нажав кнопку «Сохранить».
На этом настройка в режим PPPoE закончилась.
Пункт 2. Смена пароля на вход в маршрутизатор
Для того чтобы сменить пароль, перейдите в раздел «Эксплуатация устройства» , затем «Администрирование» , где собственно и меняется пароль на вход в маршрутизатор (придумать сложный пароль) (см. скриншот ниже). После чего нажать кнопку «Сохранить»
Пункт 2.5 Список паролей, которые не рекомендуется ставить на вход в маршрутизатор
111111
12345
123456
12345678
abc123
admin
Administrator
password
qwerty
root
tadpassword
trustno1
consumer
dragon
gizmodo
iqrquksm
letmein
Все эти пароли вирус уже «знает» и подбор пароля займет 1 секунду. Пароль следует ставить не только из одних цифр или букв. ОБЯЗАТЕЛЬНО должны присутствовать спец.символы (решетки. звездочки, проценты, кавычки) и буквы различного регистра (заглавные и строчные). Чем больше и разнообразней пароль, тем дольше его придется «брутить» (если вообще удастся).
Пункт 3. Ограничиваем доступ к модему к WAN-порту.
1. Заходим в настройки модема и ищем меню «Управление доступом» и выставляем параметры, как на скрине ниже:
2. В результате должна добавиться строка с параметрами (см. рисунок ниже):
Тоже самое для АНГЛИЙСКОЙ версии:
Пункт 4. Настройка LAN (DHCP + DNS)
