病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« 手动删除365j.com及专杀工具实战苹果工具条清除365j.com(清除篇) »

实战苹果工具条清除365j.com(调查篇)

  最近很多人抱怨由于安装苹果工具条而导致被365j.com劫持IE主页,虽然以前有收录一篇相关文章《苹果工具条带来的365j》,不过其中有的内容并不详细,因此决定亲身测试一下这个苹果工具条的365j.com有多难缠。

  下载安装苹果工具条(或者叫果果工具条),这是从它的“官方”网站www.ggkkj.com下载的。安装过程中没有任何提示将修改IE主页的信息。安装后运行,任务管理器中出现两个进程macjie.exe和macjie.ax,后者macjie.ax就是悬浮在桌面上方的工具条,前者可是一个很有用的进程,担任多种任务:首先是修改注册表HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON\USERINIT,将其值“C:\WINDOWS\system32\userinit.exe,”改为“C:\WINDOWS\system32\userinit.exe,C:\Program Files\avd\macjie.exe”作为启动项,然后修改HOSTS文件,将其内容改为“127.0.0.1  localhost”,也就是说如果你想在HOSTS中设置拦截恶意网站,它都给你清空了,而且此行为在MACJIE.EXE每次启动运行时都会执行一遍,即使你将www.365j.com加入HOSTS并指向127.0.0.1来拦截,它也会把HOSTS给“复原”了,使你目的落空;除此外macjie.exe还有一个保护的任务,就是不让你修复被添加了365.com网址的快捷方式,即使你结束macjie.exe进程并修复了快捷方式,下次它再运行会又一次添加自己的网址到快捷方式的属性中。

  在安装完苹果工具条后,桌面上的原来的IE图标与快速启动栏中的IE快捷方式会被删除(或隐藏),然后自己创建一个桌面IE图标(不带快捷方式的小箭头)及快速启动栏中的IE快捷方式,当然这都是经过修改的。先说说桌面的这个假IE图标,看下图,图标都是一样,但左为假,右为真,右击后菜单顺序不一样,即使是假的IE图标,点那个菜单中的“属性”也能打开internet选项,IE主页是http://www.365j.com/?gg,但那个“删除”命令是没用的,你想点它来删除是不可能的。

真假桌面IE图标比较

下面看看构造这个以假乱真的IE图标的注册表,

[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}]
@="Internet Explorer"
[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\DefaultIcon]
@="C:\\Program Files\\Internet Explorer\\iexplore.exe,-32528"
[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell]
@=""

[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell\D]
@="删除(&D)"
[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell\D\Command]
@="Rundll32.exe"
 这个就是假IE图标菜单上的“删除”命令,实际的指令是rundll32.exe,怎么能真的删除呢

[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell\Open]
@="打开主页(&H)"
[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell\Open\Command]
@="C:\\Program Files\\Internet Explorer\\iexplore.exe %1 h%t%t%p%:%/%/%w%w%w%.%13%16%15%j%.%c%o%m%/%?"

注意这个主页,后面的h%t%t%p%:%/%/%w%w%w%.%13%16%15%j%.%c%o%m%/%?"就是http://www.365j.com,很有创意。

[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell\属性(&R)]
@=""
[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\Shell\属性(&R)\Command]
@="Rundll32.exe Shell32.dll,Control_RunDLL Inetcpl.cpl"
 这个“属性”确实调用了internet选项,所以能打开真实的internet选项

[HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B}\ShellFolder]
@=""
"Attributes"=dword:00000010 

这整个项都是新建的,修复时可以直接删除HKEY_CLASSES_ROOT\CLSID\{BB47BD1D-B162-35DB-B0D4-DD26BD64216B},这样桌面的图标才能消失。

  下面看快速启动栏上的IE快捷方式,这个也是新建的,原来的IE快捷方式是从原桌面的IE图标那关联过来的,正常的属性中目标那一栏是灰色的Internet Explorer,而新建的目标一栏是可修改的,并在ie程序后加上365.com的网址,而且整个快捷方式文件属性是“只读”。如果你直接修改这个快捷方式想删除其中的网址,或者想删除它,都是不可能的,会提示“无法将所做的改动保存到Internet Explorer.lnk 拒绝访问”和“无法删除Internet Explorer:访问被拒绝 请确定磁盘未满或未被写保护而且文件未被使用”,这是因为它的权限被修改了,以及那个只读在作怪。修复方法:先结束macjie.exe进程(别忘了它在保护),然后右击快速启动栏上的IE快捷方式,点击进入属性-安全页,看到everyone的权限,把“完全控制”勾选,点“应用”确认,返回第一页“常规”,把只读属性去掉,再应用,最后进入“快捷方式”页,到目标那就可以修改并保存修改了。其实,上面这些只是为了说明这个苹果工具条的篡改IE快捷方式的过程,真正修复不用这么复杂,权限恢复、只读去掉,就直接删除,然后重新建(这个后面说)。

  说到权限,还有一处,也是因为权限的限制,而不能修改,是注册表HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main,其中的Start Page也是被修改成365j,如果想删除这个值,也不让改,这时右击Main-权限,同样everyone:完全控制,然后就能改了。这就是论坛求助时有人说注册表不让改的原因。

  具体的清除过程下篇再说。


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/462.html

发表评论(无须注册,所有评论在审核通过后显示):

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

  • 微信订阅号
    微信订阅

最新发表

最新评论及回复

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2020 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号