浏览器主页劫持,打开就访问889hao,2345导航(已解决)

RT,前几天碰到了台电脑,打开浏览器就劫持访问889hao。

系统是win10 x64,浏览器是360安全浏览器、IE浏览器,其他没装不清楚。

按以往经验,逐一排查:

  • 检查浏览器主页设置,设百度为首页。主页已经是百度,但是打开浏览器还是访问889hao,点主页按钮正常访问百度。
  • 重置浏览器设置,还是一样。
  • 检查了浏览器快捷方式,没有网址尾巴。
  • 检查了注册表的主页设置项,正常。
  • 检查了代理设置,hosts,本地连接dns设置,都正常。
  • 修复了lsp,重置winsock,依旧劫持。
  • 用360安全卫士锁定主页,打开浏览器还是访问889hao。
  • 卸载,官网重新下载安装360安全浏览器,还是不行。

想起还有命令行参数可以做手脚,打开任务管理器进程列表,右击勾选命令行(或者cmd下wmic,process)。看到浏览器进程的启动参数为889hao的网址。
然后检查了注册表的.exe和exefile项,参数正常。这样看来只可能中毒了。

接着做了些测试:

  • 打开浏览器目录,直接双击打开浏览器主程序,依旧劫持。
  • 改浏览器主程序名字,打开正常访问首页,没浏览器劫持了。
  • 打开cmd,cd到浏览器目录,输入iexplore.exe,打开IE,正常访问首页。同理用任务管理器的新建任务打开,也正常访问首页,没有劫持

根据上面测试,猜测病毒劫持了explorer.exe,用explorer.exe打开浏览器就会被加网址参数运行。
然后尝试复制cmd.exe到浏览器目录,改名为explorer.exe,双击打开,输入iexplore.exe访问,劫持。改回原名,正常。

所以确定有病毒,根据进程名劫持了explorer.exe!

下载Autoruns,Pchunter。

  • 检查所有启动项,优先检查了驱动和服务,wmi,正常。
  • Pchunter里的驱动、服务、内核、内核钩子、进程钩子等等,每个选项都仔细看一遍了,没发现可疑的。注:当时可能没注意到有两个ACPI.sys,特征之一。
  • 查看explorer.exe的加载模块正常,包括cmd.exe改名的也一样。
  • 注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services下,没找到可疑项。
  • 打开C:\Windows\System32\drivers目录,也看不到异常文件(已显示系统文件和隐藏文件了)。
    无解,尝试下载杀毒软件。
  • 小红伞、nod32、火绒。扫描了一遍没发现异常。
  • 装火绒时,勾选了IE保护,打开IE浏览器也一样劫持。其中火绒剑初始化异常。
  • 下载了360急救箱、火绒恶意木马专、Malwarebytes Anti-Rootkit都没查到什么,pe下360急救箱也没查到。
  • mbr、bcd也检查过了,正常。
  • 下载了卡巴斯基,安装时提示系统被病毒感染无法安装。

后来,看了火绒的安全播报,发现现在很多驱动级隐藏自我保护的病毒。想起还没用Pchunter的注册表编辑器。

  • 打开Pchunter,切换到注册表选项卡,展开HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services,一看果然发现了个项目,976e474f5e。一看就很可疑。
  • 切换到Pchunter的文件选项卡,查看windows\system32\drivers目录,也发现了976e474f5e文件。
  • 但是Pchunter的驱动选项卡里看不到这个驱动!系统的注册表编辑器里也看不到这个!Pchunter内核、内核钩子、进程钩子等等,每个选项卡,每个项都仔细看过了,也看不到这个文件。

于是Pchunter删除976e474f5e注册表项和文件,重启。打开pchunter查看还有这个的注册表项和文件,依旧劫持主页。
可能有自我保护。装了个微pe,在pe里删除了这个文件,重启电脑,恢复正常了,正常访问百度首页。
觉得残留注册表项碍事的话,可以管理员运行cmd,输入sc delete 976e474f5e删除残留项,根据自己电脑上木马驱动名字改。

考虑到别的网友可能遇到这问题,但是文件名可能不一样,或者无法运行pchunter之类的。下面给几个可能有用的判断方法。

首先装个微PE到系统上。

  1. 重启,方向键下选择微pe工具箱进入,拷贝C:\Windows\System32\drivers到d:\drivers。再重启进入正常系统,用杀软扫描d:\drivers,指不定能检查出什么。
  2. 进入pe,复制C:\Windows\System32\config下的system到d:\system。重启进入系统,下载Windows Registry Recovery(简称WRR),打开d:\system文件,
    Raw Data,展开ControlSet001\services,查看其下所有项目,尤其注意随机数和字母组合的项,而且对应ImagePath文件没有.sys后缀的,很大可能病毒。
    也可以直接系统注册表下看,考虑到病毒有不同版本,有的系统下还是能看到注册表项的。
    3.下载安装360系统急救盘,用360急救箱查杀(必须联网云查)。官网是u盘版,论坛里有直接本机安装的。

感谢网友@微笑@提供的样本。如下,没有.sys后缀,为了方便查看而已:
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

软件加壳了,又是驱动程序,不好分析。在卡饭发了样本

展开阅读全文

没有更多推荐了,返回首页