病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« 微软呼吁用户合理使用Windows清理类产品强制关闭后台应用能延长iPhone续航?苹果说.. »

烦人的www.927927.com

  安装完win10后就有一个网址死活赖在系统里不走,就是www.927927.com/?Axxxx,打开IE和Edge就就是它,然后很快就转到web.sogou.com/?xxxxx,这两个网址后面的x代表不同的数字组合,应该是推广编号,前面927927后的面的数字在我每次清理后重新出现时都会改变,以下是我的一系列清理历史。

  最早装完win10,发现927927后,以为是装win10时用的PE带来的,或者是激活工具带来的,没太在意,找一找IE快捷方式属性,改属性的大多是激活工具,而www.927927.com却是在注册表里,HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main、HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main,在win10的注册表编辑器里这两地能很快速的访问,在它们的右键菜单里就是访问对方的命令,还有一地是HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer,这是32位IE的地盘,我装的是64位系统,所以还有32位的IE(在C:\Program Files (x86)\Internet Explorer)需要清理,在main的右边,找这个网址,如Default_Page_URL、First Home Page、Start Page(这个就是Internet选项里的主页设置,所以仅在那里改是没用的,其它地方的值依然被篡改并劫持IE主页或打开IE后跳出的第一个网页)等,改成自己想要的网址就行,或者改成空白页:about:blank,或者空白标签页:about:tab。

  以上修改也是目前网上所说的通用修复方法,万一遇到不让改的情况,设置一下main的权限就是。但是这样的修改对我遇到的这个情况并不彻底,改好后能消停一段时间,但没几天,长一个月,短一两天,它又自己回来了,不得不再改一次。当发现927927重复出现后,我开始怀疑电脑上有什么隐藏的程序在监视,所以一度再次怀疑到激活工具。为了监视系统修改情况,我用上了Procmon,但连续几天下来都没有抓到修改对应注册表的黑手。

  而每次927927清理后重复出现似乎都在win10蓝屏(win10似乎比较喜欢蓝屏,每次蓝屏会自动重启,然后就安宁一阵,有时重启好几次,直到进入修复界面,不得不使用系统还原才能搞定,不知道是内存兼容还是新补丁引起的问题,每月补丁日后都是让我担心的时间,题外话不提)后,一启动这个网址就出现,说明它并不是中途上车,而是在从起点站就来的,这用Procmon就难监视了,特别是Procmon启动监视默认日志保存在系统盘占用大量空间,让我不得不停用它。加上蓝屏重启恢复这个因素,我又怀疑上win10是不是有什么机制在刚安装好时保留了初始设置,而初始设置是不是已经被污染。

  这个污染的想法来源于网上所说的927927网址来源于老毛桃PE,我用的正是这个PE,但是我翻了好久也没找到初始设置存在哪里,连系统还原也清理掉了,927927仍然顽固地出现,后来我找到C:\Windows\System32\config,这里保存着当前的系统配置(注册表),在其中的RegBack文件夹里应该是上一次稳定运行时保留的注册表信息,在其中几次清理干净后再从注册表编辑器里挂载其中的software(即HKEY_LOCAL_MACHINE\SOFTWARE),发现上一次的信息里就有927927的网址,用pe启动再挂载software,修改过来,保存回去,但几天再次验证这个方法不行,927927又回来了。

  最后我决定重现犯罪现场,用那个PE到虚拟机再装一次WIN10(PE启动虚拟机就是把U盘作物理硬盘添加到虚拟机中),终于发现原来是里面带的window安装器的毛病,在它安装install.wim后会把私货带入系统,其中一个vbs脚本文件放到C:\ProgramData\下的开始菜单(C:\programdata\microsoft\windows\start menu\programs\startup\)启动文件夹内(文件名是随机字母数字组合,后缀名是.vbs),在系统第一次启动时就开始运行它,它将启动c:\windows\底下一个也是随机字母数字组合的.exe程序,当然执行完这个脚本文件就删掉自己看不到了,我是在系统第一次启动前就去找才找到它的,那个随机文件名的exe程序也会在执行完后消失(怪不得曾经尝试全盘扫描,果不出所料杀毒软件们没有发现任何有用的东西),但会留下一个驱动放在c:\windows\system32\drivers\下,文件名是usbxxxx.sys,xxxx是四位数字组合,看一下文件属性,日期和其它系统驱动就不一样,还有数字签名,如图,那个拼音,河池市077网络科技有限公司?

927927网址劫持主页

除了落下这个usb开头的驱动外,当然还有添加注册表的行为,就是那一堆www.927927.com,如果检测到还有其它浏览器,一样改,同时还在浏览器收藏夹里加上好多的广告链接网址,这些网址倒是在我清理一次后再也没出现过,看来留下的usb开头的驱动只有劫持IE的功能,不断重复添加927927。

  为了确实一点,又用那个安装器(注,不是所有的此类安装器都是这样,但挟带私货的还是有的)装了个WIN7,一样结果,没跑了。找准对象就可以动手了,干掉usb开头的驱动并删除文件。累!


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/1755.html

  • 1楼.阿弥陀佛
  • 只要888... 你就再没烦恼 所有的问题全可以指向官网.... 不过,嘿嘿嘿,888要花掉你多少工资呐
  • 2016-3-12 18:04:00  [引用
  • 2楼.Joy
  • 我也中了这个招,从深度下载的镜像,删完注册表监视半天都没能找到……
  • 2016-3-13 15:57:30  [引用
  • 3楼.good
  • 顶一个!!!!!!!!!
  • 2016-3-14 11:28:03  [引用
  • 4楼.robin
  • 高人,真的干掉927927了.
    还有种方法,在复制完系统文件后,再进一次pe把.vbs文件干掉,再重启完成系统安装.
    流风33 于 2016-4-1 15:23:55 回复
    此法甚好!不过,仍会有残留在启动项,虽然目标文件没有了。而且主页仍会被改,在启动系统后要进注册表检查清理一遍,但会比不事先删除少一些篡改的地方



  • 2016-3-30 14:40:49  [引用
  • 5楼.123
  • 引自 robin
    高人,真的干掉927927了.
    还有种方法,在复制完系统文件后,再进一次pe把.vbs文件干掉,再重启完成系统安装.流风33 于 2016-4-1 15:23:55 回复此法甚好!

    那个vbs文件叫什么
    流风33 于 2016-4-13 12:50:24 回复
    "C:\ProgramData\下的开始菜单启动文件夹内(文件名是随机字母数字组合,后缀名是.vbs)",一般就只有一个vbs

  • 2016-4-12 18:23:31  [引用
  • 6楼.nice
  • 感谢楼主分享。一开始我还以为是金山搞的鬼,上次发现收藏夹网址老是删不掉,关闭浏览器打开又出现了,后来找了半天才发现是金山搞的鬼。但927927还是有。过段时间就出来,烦人的很。然后我直接把927927和sougou映射到了127.0.0.1,出现了一次改一次注册表。
  • 2016-8-1 12:06:42  [引用
  • 7楼.enemy
  • 大神能不能找出 是什么程序在调用 usbxxxx.sys 我想删的彻底点
    流风33 于 2016-10-24 8:37:19 回复
    它是加载成驱动或者服务,找个能查系统启动驱动和服务的工具,就能看到调用了,或者去注册表中搜索这个文件名,也能找到调用


  • 2016-10-23 21:49:36  [引用

发表评论(欢迎交流,无须注册 | 如申请友链与本站要求不符,恕不回复,见谅):

验证码

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

  • 收藏文章:
  • 新浪微博:
  • 订阅博客:
  • 腾讯微博:

最新发表

最新评论及回复

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2016 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号