又是主页被修改的事【又有受害者27、28楼】

Q1628393554

找到了一些线索，先感谢大家。
用了大谷歌各种搜索，发现了以下线索：
http://bbs.160.com/thread-79467-1-1.html
http://bbs.160.com/forum.php?mod ... mp;highlight=hao123
http://tieba.baidu.com/p/1625755804
还有一个网页截图
而我这段时间用着驱动人生出品的人生日历软件，表示强烈怀疑。然后还发现它加载了驱动，不过内容是CalendarProtect Driver相关的，具体做什么不清楚。

最后，如果不是人生日历造成的，我表示歉意，没有污蔑的意思。对我来说人生日历确实很实用。

恋爱的夏娜

Q1628393554 发表于 2013-9-25 20:08
找到了一些线索，先感谢大家。
用了大谷歌各种搜索，发现了以下线索：
http://bbs.160.com/thread-79467- ...

尝试寻找替代吧。

loms126

虚拟机中装了人生日历，没见有主页修改。

装了快播之后，到发现了这个：29065018_59，最后两位虽有不同，但前面的一致程度让人怀疑。

所以，请检查是否安装了快播，是否有相关进程。

Q1628393554

loms126 发表于 2013-9-25 20:49
虚拟机中装了人生日历，没见有主页修改。

装了快播之后，到发现了这个：29065018_59，最后两位虽有不同， ...

感谢测试，我没有安快播啊。
我这边的情况是不定期，好几天改一次，毫无征兆，游击战一般。
HIPS之类的软件监控哪些项目可以发现这样的修改动作啊，我想试试能不能堵到它。

loms126

Q1628393554 发表于 2013-9-25 22:11
感谢测试，我没有安快播啊。
我这边的情况是不定期，好几天改一次，毫无征兆，游击战一般。
HIPS之类的 ...

如你在14楼找的，http://bbs.kafan.cn/forum.php?mo ... &fromuid=539915

删掉那四项，添加到受保护注册表项（或其他类似监视项目）中，添加全局(*.*文件)询问、记录日志规则，静候弹窗。用HIPS的话最好备份原规则后，清空默认规则，只监视注册表即可。用Procmon、火绒之类的监视工具的话，设置注册表过滤也行。

Q1628393554

loms126 发表于 2013-9-25 22:26
如你在14楼找的，http://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=1631394&pid=29628108 ...

好的，我尝试一下，真不确定哪天才再改一次，如果哪天发现问题我会分享一下经验的。
谢谢啦！

alabao

楼主抓到凶手了吗？
我也是受害者。
你说的人生日历我也装过，卸载后还是会出现，而且我家里也装，但是不会被篡改，初步排除

Q1628393554

alabao 发表于 2013-10-15 10:55
楼主抓到凶手了吗？
我也是受害者。
你说的人生日历我也装过，卸载后还是会出现，而且我家里也装，但是不 ...

又多了嫌疑人
我有连续两次修改前的操作类似。
用Oracle VM VirtualBox装的XP系统，刷小a的Key，
一次是虚拟机里的小a卸载后重装，之后没进行什么操作，后来主页就改了，但是否在开虚拟机前就改了不清楚；
前两天是虚拟机里【重装】XP系统，第二天刚开机发现主页改了，不过这之间没有检查，所以也不能确定。但第二次已经用Malware监控之前在注册表里发现的hao123项目，木有提示。
我自己也很无语，游击战啊！！！！！！

airstar

我已经锁定主页了     就算有强行添加 也会有提示出来