|
又一头恶意修改用户IE主页的牲口，其主要表现为修改IE主页为猎人网址http://www.lieit.com，或者猎人搜索http://www.wbiu.net/等，锁定注册表编辑器、任务管理器、建立EXPL0RER.exe和intarnet.exe两个启动项来相互监视注册表的改动情况，该网站可能还会将域名指向http://site.wbiu.com/，下面是简单分析 1、释放文件： C:\WINDOWS\system32\EXPL0RER.exe C:\WINDOWS\system32\intarnet.exe C:\WINDOWS\system32\rundll132.exe 2、创建注册表启动项 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] "EXPL0RER" "C:\WINDOWS\system32\EXPL0RER.exe" [Microsoft Corporation] "intarnet " "C:\WINDOWS\system32\intarnet.exe" [Microsoft Corporation] 3、修改IE的属性，并修改IE起始页、默认搜索页等等 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\ present] [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] Search Page http://www.wbiu.net [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main] Default_page_url http://www.lieit.com Default_page_url http://www.wbiu.net Start Page http://www.lieit.com Search Page http://www.wbiu.net [HKEY_USERS\S-1-5-21-1202660629-1801674531-1417001333-1003\Software\ Microsoft\Internet Explorer\Main] Search Page http://www.wbiu.net 4、禁用注册表和任务管理器 5、创建IE的桌面快捷方式，鼠标右键其快捷方式，目标指为 "C:\Program Files\Internet Explorer\iexplore.exe" http://www.lieit.com/ 6、修改了HOSTS文件，使得访问一些网站，就会直接跑到www.lieit.com这个页面 Hosts: 220.175.8.62 www.hao123.com Hosts: 220.175.8.62 hao123.com Hosts: 220.175.8.62 www.365.com Hosts: 220.175.8.62 365.com Hosts: 220.175.8.62 www.265.com Hosts: 220.175.8.62 265.com Hosts: 220.175.8.62 www.5566.net Hosts: 220.175.8.62 5566.net Hosts: 220.175.8.62 web.chinaren.com Hosts: 220.175.8.62 site.baidu.com Hosts: 220.175.8.62 www.cnww.net Hosts: 220.175.8.62 www.yahoo-cool.com 解决思路和过程： 由于其创建了两个启动项来监视注册表行为，并相互监视，注册表信息一旦被用户修改、或者其中一个进程被终止，它立即就会恢复，所以首要任务是围绕着同时终止这两个进程开始的，为了方便下面的解决，也可以用通过hijackthis扫个日志来辅助。 1、终止EXPLORER.exe和intarnet.exe的进程 这里要用到一个工具Procexp.exe，到百度搜索下载,打开后，看到一列进程，其中就有EXPLORER.exe和intarnet.exe，鼠标右键点击，选择“Kill Procexp Tree”来终止它，要严重强调的是，不要将系统正常的EXPLORER.exe给终止掉，区别办法是鼠标放在即将终止的进程上面后，会提示该进程所在的路径，要终止的EXPLORER.exe和intarnet.exe的路径为 C:\WINDOWS\system32\EXPL0RER.exe C:\WINDOWS\system32\intarnet.exe 2、终止完毕后，删除其在注册表里的启动项信息 开始--运行--msconfig--启动，或者用sreng、hijackthis等都能对启动项有很直观的修复 3、修复被禁用的注册表和任务管理器 开始--运行--gpedit.msc--用户配置--管理模版--系统，看看右边框框里头，“Ctrl+Alt+Del”以及“阻止访问注册表编辑工具”，自行恢复即可； 4、修复Hijackthis日志中的O6项 可以直接用hijackthis修复O6项，这个最简单，也可以进入注册表，找到 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\ present] 我是基本不用IE的，所以就直接删除了项Internet Explorer 至于其修改IE搜索页、起始页等等，直接进入注册表，按照上面的描述来进行删除或修复即可 5、修复被该垃圾修改的hosts文件 可以直接在hijackthis修复O1项，或者用记事本打开,删除其上面列举出来的IP及对应网址 C:\WINDOWS\system32\drivers\etc\hosts 6、删除其释放的所有文件 电脑软硬件应用网站长的建议：如果以上步骤无法为你解决问题请在正常模式用HijackThis扫描一份日志到我的邮箱我给你处理。邮件地址：jinjunhe@21cn.com，主题千万注明电脑门诊多少号读者。不然可能会当垃圾邮件拒收！提示：以上提到的软件到各大下载站搜索都可以找到并下载！ |