病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« XueTr使用教程netpas.sys »

劫持淘宝网站的HOSTS

  此木马篡改系统中的HOSTS文件,即使修复,每次开机启动后仍会“还原”成篡改后的状态,同时劫持IE主页到www.haol23.in。此木马可能捆绑在某游戏或软件中,通过下载安装而侵入用户电脑。被修改过的HOSTS的部分内容如下,所有网址指向同一个IP:173.252.193.47,因此打开淘宝网站就被劫持跳转到钓鱼网站上。

......
173.252.193.47 www.taobao.com
173.252.193.47 www.mbaobao.com
173.252.193.47 www.91kd.cn
173.252.193.47 www.66taoke.com
173.252.193.47 www.haixitaoke.com
173.252.193.47 www.ttcome.cn
173.252.193.47 www.taoke.info
173.252.193.47 www.taoke.la
173.252.193.47 www.cntorg.com
173.252.193.47 www.taokw.com
173.252.193.47 www.nvtaoke.com
173.252.193.47 www.4155.cn
173.252.193.47 www.fanql.com
173.252.193.47 www.taoke01.cn
173.252.193.47 www.dgtaoke.com
......

劫持IE主页是通过修改以下注册表项(每次启动时导入注册表),即引导IE每次启动时都打开www.haol23.in网站:

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command]
@=hex(2):63,00,3a,00,5c,00,70,00,72,00,6f,00,67,00,72,00,61,00,6d,00,20,00,66,\
00,69,00,6c,00,65,00,73,00,5c,00,69,00,6e,00,74,00,65,00,72,00,6e,00,65,00,\
74,00,20,00,65,00,78,00,70,00,6c,00,6f,00,72,00,65,00,72,00,5c,00,69,00,65,\
00,78,00,70,00,6c,00,6f,00,72,00,65,00,2e,00,65,00,78,00,65,00,20,00,77,00,\
77,00,77,00,2e,00,68,00,61,00,6f,00,6c,00,32,00,33,00,2e,00,69,00,6e,00,00,\
00

通过16进制转换成ASCII码,以上内容“翻译”为:

C:\Program Files\Internet Explorer\iexplore.exe www.haol23.in

此位置正常的注册表值内容如下:

C:\Program Files\Internet Explorer\iexplore.exe

  修复方法如下:

1.删除以下文件:
d:\vmware\vmware.exe

2.使用SREng修复下面内容:
启动项目 -- 启动文件夹之如下项删除:
[vmware] <D:\VMware\vmware.exe>

3.修复以上注册表项的值(搜索C盘,可能每次开机启动时导入注册表的注册表文件就在上面,后缀名为.reg,通过右击-编辑打开,内容如上面所示,不要双击,双击将导入注册表)

4.使用SREng修复HOSTS,系统修复--HOSTS文件--重置(或手工修复,用记事本打开,全部删除其中内容,仅保留一行:127.0.0.1  localhost)

注意,可能会有不同的启动项,本例仅供参考,据了解,可能有的启动项是在注册表中,如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{f92B23AB-A707-22d2-9CBD-0000F87A469H}],有的虽然也是是启动文件夹项中,但文件名不同,如d:\my documents\ghhv.exe或C:\\Documents and Settings\\All Users\\Microsoftof.exe,还有个别的可能有加入驱动。


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/976.html

  • 3楼.不好
  • 简直是在胡扯
    流风33 于 2011-9-11 21:26:13 回复
    如果你能告诉我更详尽的理由我会很感激的。我上面收集的信息只是基于一两次实例,不一定能适应所有的与更新的情况,仅供参考

  • 2011-9-11 12:57:15  [引用
  • 4楼.lucky
  • 空间不错
    流风33 于 2011-9-22 17:4:31 回复
    没看出哪不错来,你评论的当口正在被折磨中……

  • 2011-9-22 16:20:23  [引用

发表评论(欢迎交流,无须注册 | 如申请友链与本站要求不符,恕不回复,见谅):

验证码

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

  • 收藏文章:
  • 新浪微博:
  • 订阅博客:
  • 腾讯微博:

最新发表

最新评论及回复

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2016 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号