原本只是一个IE主页的问题,www.henbucuo.com占据IE死活不走,又是一个“很不错”导航网站劫持浏览器的例子。经检查,也确是如此,IE快捷方式属性中添加了该网址,导致一打开IE就上了那个所谓的“很不错”网站,同样在IE的ACTIVE安装组件中也有添加项……
原本只是一个IE主页的问题,www.henbucuo.com占据IE死活不走,又是一个“很不错”导航网站劫持浏览器的例子。经检查,也确是如此,IE快捷方式属性中添加了该网址,导致一打开IE就上了那个所谓的“很不错”网站,同样在IE的ACTIVE安装组件中也有添加项……
症状:进程表中出现众多的rundll32.exe进程,数量有上百个,挤占内存资源,即使手动结束rundll32.exe,仍然会很快再次启动。不过似乎这些rundll32.exe只是单纯的自身程序运行,并未调用其它程序。
在杀毒完成后,运行某程序出现了“应用程序正常初始化(0xc00000ba)失败。请单击‘确定’,终止应用程序”的提示。这种初始化失败可能是由于ws2_32.dll引起,但我并没有从那个应用程序的目录中找到ws2_32.dll,而从网上搜索得知这个初始化失败除了ws2_32.dll外还有一个可能,是msvcirt.dll。
检查某电脑时,发现硬盘各分区下都出现了autorun.inf与1.exe,任务管理器中出现kqokq.exe可疑进程,电脑运行缓慢。结束kqokq.exe进程后尝试删除autorun.inf与1.exe,但1.exe不能直接被删除,只有从任务管理器中结束explorer.exe后,才能删除1.exe成功。
上次写的苹果工具条调查篇和清除篇虽然分析了苹果工具条劫持、篡改IE主页为365j.com的工作原理与篡改注册表的位置,不过还是有些遗漏,确实需要不断研究学习才有更多进步。引起我继续的原因是某篇文章中关于HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\下创建的项目,因此我决定再去看看。
应该是从8月28日上周五晚上起,诺顿(包括赛门铁克)、麦咖啡等杀毒软件就开始报量子统计的代码为infostealer病毒,很多使用量子恒道统计的网站都受到影响,至9月1日中午量子统计论坛发表声明“诺顿,麦咖啡目前已不报病毒”为止,这次误报基本结束。被诺顿、麦咖啡等杀毒软件报为infostealer病毒的文件名是tongji[1].js。
昨天在论坛上看到有人因为下载电脑报推荐的软件而被365j.com绑架了IE主页,原来电脑报推荐软件的下载是链接到天极下载站,而天极下载和目前众多的下载站点一样,放置大量的广告与推广软件,并与下载内容不作明显区分,造成不明真相的用户误点下载。
最近很多人抱怨由于安装苹果工具条而导致被365j.com劫持IE主页,虽然以前有收录一篇相关文章《苹果工具条带来的365j》,不过其中有的内容并不详细,因此决定亲身测试一下这个苹果工具条的365j.com有多难缠。