游览器被劫持，RQ求救

显示全部楼层 · 发表于 2016-5-2 10:38:42

有没有考虑运营商的DNS劫持的可能

显示全部楼层 · 发表于 2016-5-2 11:10:36

dlei6699 发表于 2016-5-2 00:11
好吧，还是你说的对，确实没有解决。

主要是360全面各种修复查杀后，问题当场解决了，但是重启了下系 ...

既然360查杀修复能暂时解决问题，说明问题肯定是出在系统上。至于重启后问题恢复，那么就应该从开机启动项入手。你用sreng扫描一份报告传上来吧。

显示全部楼层 · 发表于 2016-5-2 13:39:25

神社小凡发表于 2016-5-2 10:38
有没有考虑运营商的DNS劫持的可能

并不是，DNS以换，无效

显示全部楼层 · 发表于 2016-5-2 13:50:44

用WIMExplorer 看一下ActiveScriptEventConsumer参数后面有没有尾巴，有的话删除

显示全部楼层 · 发表于 2016-5-2 14:18:12

我遇到的最多的就是快捷方式里有跳转和流氓软件锁定其余的很少能遇到

显示全部楼层 · 发表于 2016-5-2 14:29:37

labazhou 发表于 2016-5-2 13:50
用WIMExplorer 看一下ActiveScriptEventConsumer参数后面有没有尾巴，有的话删除

如图，并没有什么

显示全部楼层 · 发表于 2016-5-2 15:50:28

落华无痕发表于 2016-5-2 11:10
既然360查杀修复能暂时解决问题，说明问题肯定是出在系统上。至于重启后问题恢复，那么就应该从开机启动 ...

SREngLOG报告再次，麻烦了

显示全部楼层 · 发表于 2016-5-3 11:25:03

看了下报告，虽然有些可疑项，但没发现特别可疑的项目。如果可以的话加个qq联系下。至于wmi劫持你可以下载个autoruns，里面可以查看wmi项目。

显示全部楼层 · 发表于 2016-5-3 13:16:55

使用notepad++，打开搜索栏，搜索整个系统盘，关键字hao123或者sogou 。应该可以检索出来包含关键字内容的文档。找见它删掉，然后新建一个僵尸，设置权限拒绝访问。

显示全部楼层 · 发表于 2016-5-3 13:21:32

如果是VSB批处理之类的脚本notepad++可以直接搜索到内部的代码内容，要是编译成可执行程序，那就搜不出来了。这样的话，只有一个办法，查看系统盘有可能藏身的文件夹，创建日期以及是否存在数字签名。看着样子，即便是编译过的可执行程序，应该也没多大。有条件检索系统盘(指定一个文件大小范围)。出来结果之后，按照创建时间排序，基本上大部分的文件创建时间都是一致的，一小部分是系统安装日期，剩下的就都有可能了，接下来再慢慢检查数字签名之类的排除吧

[软件] 游览器被劫持，RQ求救

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源