求助主页被流氓hao123绑架了 求破！！！！！！

川仔

主页莫名其妙被篡改为HAO123  用户策略组  注册表各种改各种删就是清理不干净没办法安装了火绒发现系统文件有问题
操作进程：C:\Windows\System32\services.exe
风险动作：修改IE首页项
目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\First Home Page
用户操作：已阻止
操作进程：C:\Windows\System32\services.exe
风险动作：修改IE首页项
目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\Start Page
用户操作：已阻止
操作进程：C:\Windows\System32\services.exe
风险动作：修改IE首页项
目标注册表：HKEY_USERS\S-1-5-21-1486249777-2899616758-3781597829-1000\Software\Microsoft\Internet Explorer\Main\Start Page
用户操作：已阻止
但是主页还是被改了   求大神支招对付这个流氓

ELOHIM

进注册表搜搜。
可能主页没有被改。
只是，打开链接的时候会跳转…………
当当当！！

大蒜陀

我的已经很多被绑过，现在我只能选择愿意被hao123绑架。

fengyunljp

查一下command line命令，有些是从explorer通过command line命令修改主页的

川仔

ELOHIM 发表于 2016-6-27 17:11
进注册表搜搜。
可能主页没有被改。
只是，打开链接的时候会跳转…………

注册表已经被改了
而且就是删掉也会直径恢复

川仔

大蒜陀 发表于 2016-6-27 17:47
我的已经很多被绑过，现在我只能选择愿意被hao123绑架。

我就是不愿意
TMD我的电脑凭什么被绑架大不了重做系统

ELOHIM

川仔 发表于 2016-6-27 18:40
注册表已经被改了
而且就是删掉也会直径恢复

你的操作系统是什么，用户是什么，安全软件是什么？

注册表改成自己需要的，然后权限更改一下。

看看有没有可疑的开机启动项，开机服务。
检查一下注入到资源管理器的库。
观察一下打开浏览器以后的注册表更改和进程调用、HOOK等行为。

嫌麻烦，可以新建一个普通用户试试。或者进行还原操作。

川仔

ELOHIM 发表于 2016-6-27 18:48
你的操作系统是什么，用户是什么，安全软件是什么？

注册表改成自己需要的，然后权限更改一下。

好复杂  64位WIN7    红伞+火绒     
注册表改了也会自己变回来
看来只有重做系统了   
这种篡改系统的都应该是病毒  为什么红伞和火绒都没报警呢？

ELOHIM

川仔 发表于 2016-6-27 18:59
好复杂  64位WIN7    红伞+火绒     
注册表改了也会自己变回来
看来只有重做系统了   

火绒好像可以锁定主页是吗？
你所顶一下试试。
我没有用过火绒。。

川仔

ELOHIM 发表于 2016-6-27 19:01
火绒好像可以锁定主页是吗？
你所顶一下试试。
我没有用过火绒。。

现在关键在于系统文件对注册表主页设置的的修改