Trojaner-Board - Fragen zu DNS-Hijacker/Odessa

Hallo

Ein Bekannter hat sich wohl einen DNS-Hijacker/Odessa eingefangen.
Zumindest vermute ich das im Augenblick mal.

Symptome:
- Kein Update von Antivir mehr möglich
- Laut Hijack-Log ein DSN mit 85 vorne, welche bei WHOIS Abfrage Ukraine ergibt

O17 - HKLM\System\CCS\Services\Tcpip\..\{22EFD88B-9853-46F8-A997-1C3B0AD5843A}: NameServer = 85.255.115.235,85.255.112.171
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.235,85.255.112.171
O17 - HKLM\System\CS1\Services\Tcpip\..\{22EFD88B-9853-46F8-A997-1C3B0AD5843A}: NameServer = 85.255.115.235,85.255.112.171
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.235,85.255.112.171
O17 - HKLM\System\CS2\Services\Tcpip\..\{22EFD88B-9853-46F8-A997-1C3B0AD5843A}: NameServer = 85.255.115.235,85.255.112.171
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.235,85.255.112.171

Aufgrund dieser Vorgaben habe ich dann Infos zu Odessa hier und in anderen Foren dazu gefunden.
Das ich den Rechner neu aufsetze steht schonmal fest.

Was mich jetzt an der ganzen Sache interessiert und was ich auch nicht gefunden habe ist,
wie fängt man sich so einen DNS-Jijacker/Odessa ein?
Und wie funktioniert das ganze dann?

Fakt ist nämlich, das bei ipconfig Abfrage über DOS Box der normale DNS Server der Telekom im Router drinsteht.
Macht man aber die Abfrage mit Ipconfig erscheint der 85er DNS.

Wie funktioniert das dann?

Da ich von dem Rechner erstmal Daten, also Bilder, Office-Dateine und Mails sichern muß,
interessiert mich auch ob der Hijacker auf eine ext. HDD mittels USB angeschlossen "überspringen" kann?

Auf jeden Fall schonmal Danke an jeden der antwortet.

Grüße
Alias001