hxxp://www.hao923.com.cn/劫持瀏覽器

　　一位網友在國慶那天，為了在網上看閱兵式，從網上下載安裝了一個軟體，不料IE首頁被劫持為hxxp://www.hao923.com.cn/，用超級巡警無法修複，請偶幫忙檢修。

　　右擊網友電腦案頭上的IE表徵圖，發現彈出的是網址捷徑的捷徑功能表，看來那個軟體把案頭原有的IE表徵圖換成了指向的hxxp://www.hao923.com.cn/的捷徑，開始菜單中的Internet Explorer功能表項目也被換了，全部刪除。

　　快速啟動項中的IE捷徑也被篡改為：

"C:/Program Files/Internet Explorer/iexplore.exe" hxxp://www.hao923.com.cn/

　　改回為：

"C:/Program Files/Internet Explorer/iexplore.exe"
 
　　用電腦中的HijackThis掃描log，發現如下可疑項：

O4 - HKLM/../Run: [0CE164] C:/WINDOWS/system32/827828/0CE164.EXE
O4 - Startup: 0CE164.lnk = C:/WINDOWS/system32/827828/0CE164.EXE

　　用FileInfo提取C:/WINDOWS/system32/827828/0CE164.EXE檔案資訊，用bat_do打包備份後刪除。

 

　　在HijackThis把這兩個O4項鉤上，修複。

　　開啟登錄編輯程式，定位到

[HKEY_CLASSES_ROOT/CLSID/{871C5380-42A0-1069-A2EA-08002B30309D}/shell/OpenHomePage/Command

右邊的預設值被篡改為

"C:/Program Files/Internet Explorer/iexplore.exe" hxxp://www.hao923.com.cn/

了，雙擊之，改為：

"C:/Program Files/Internet Explorer/iexplore.exe"
 
附：

檔案說明符 : C:/WINDOWS/system32/827828/0CE164.EXE
屬性 : -SH-
數位簽章:否
PE檔案:是
擷取檔案版本資訊大小失敗!
建立時間 : 2009-2-26 17:14:50
修改時間 : 2009-2-26 17:14:52
大小 : 114688 位元組 112.0 KB
MD5 : cd1e6a2e9ca60ddd73c38433bb76b5b8
SHA1: C441992B69671D5E845FB9BF0090F7B6B1B65542
CRC32: 25010717

 

檔案 0CE164.EXE 接收於 2009.10.03 05:30:34 (UTC)

反病毒引擎	版本	最後更新	掃描結果
a-squared	4.5.0.24	2009.10.03	Trojan.Dloader!IK
AhnLab-V3	5.0.0.2	2009.10.02	-
AntiVir	7.9.1.27	2009.10.02	-
Antiy-AVL	2.0.3.7	2009.10.02	-
Authentium	5.1.2.4	2009.10.02	W32/Agent.CM.gen!Eldorado
Avast	4.8.1351.0	2009.10.02	-
AVG	8.5.0.420	2009.10.02	Agent.4.I
BitDefender	7.2	2009.10.03	-
CAT-QuickHeal	10.00	2009.10.03	(Suspicious) - DNAScan
ClamAV	0.94.1	2009.10.03	-
Comodo	2498	2009.10.03	-
DrWeb	5.0.0.12182	2009.10.03	Trojan.Siggen.3067
eSafe	7.0.17.0	2009.10.01	-
eTrust-Vet	31.6.6774	2009.10.02	-
F-Prot	4.5.1.85	2009.10.02	W32/Agent.CM.gen!Eldorado
F-Secure	8.0.14470.0	2009.10.02	Worm.Win32.FlyStudio.cd
Fortinet	3.120.0.0	2009.10.03	-
GData	19	2009.10.03	-
Ikarus	T3.1.1.72.0	2009.10.03	Trojan.Dloader
Jiangmin	11.0.800	2009.09.27	-
K7AntiVirus	7.10.858	2009.10.01	-
Kaspersky	7.0.0.125	2009.10.03	Worm.Win32.FlyStudio.cd
McAfee	5759	2009.10.02	Generic Downloader!hv.u
McAfee+Artemis	5759	2009.10.02	Generic Downloader!hv.u
McAfee-GW-Edition	6.8.5	2009.10.02	Heuristic.LooksLike.Win32.Suspicious.H
Microsoft	1.5101	2009.10.02	TrojanDropper:Win32/Silly_P2P.B
NOD32	4477	2009.10.02	-
Norman	6.01.09	2009.10.02	-
nProtect	2009.1.8.0	2009.10.03	-
Panda	10.0.2.2	2009.10.02	Suspicious file
PCTools	4.4.2.0	2009.10.02	-
Prevx	3.0	2009.10.03	-
Rising	21.49.22.00	2009.09.30	Worm.Win32.Autorun.fje
Sophos	4.45.0	2009.10.03	Mal/Autorun-I
Sunbelt	3.2.1858.2	2009.10.02	-
Symantec	1.4.4.12	2009.10.03	Backdoor.Trojan
TheHacker	6.5.0.2.027	2009.10.02	-
TrendMicro	8.950.0.1094	2009.10.02	PAK_Generic.001
VBA32	3.12.10.11	2009.10.03	Backdoor.Win32.FlyAgent.kn
ViRobot	2009.10.2.1968	2009.10.02	-
VirusBuster	4.6.5.0	2009.10.02	-
附加資訊
File size: 114688 bytes
MD5...: cd1e6a2e9ca60ddd73c38433bb76b5b8
SHA1..: c441992b69671d5e845fb9bf0090f7b6b1b65542
SHA256: ff6d00599cb586bce0c010c5364b3f5ff1cc6e68d8d64c769dec8ae6a6b6d105
ssdeep: 3072:qFijZxiWGPey3dFEtEut3V0PxrxEyUppOl1uYxtbBwJd6sI4M6AM0fUHSmp<BR>sFijd:qwjPtYqt/5HyFijgPTBQCxggo<BR>
PEiD..: -
PEInfo: -
RDS...: NSRL Reference Data Set<BR>-
pdfid.: -
trid..: Win32 Executable Generic (38.5%)<BR>Win32 Dynamic Link Library (generic) (34.2%)<BR>Clipper DOS Executable (9.1%)<BR>Generic Win/DOS Executable (9.0%)<BR>DOS Executable Generic (9.0%)
sigcheck:<BR>publisher....: n/a<BR>copyright....: n/a<BR>product......: n/a<BR>description..: n/a<BR>original name: n/a<BR>internal name: n/a<BR>file version.: n/a<BR>comments.....: n/a<BR>signers......: -<BR>signing date.: -<BR>verified.....: Unsigned<BR>
packers (Kaspersky): PE-Crypt.CF, PE-Crypt.CF
packers (F-Prot): PE-Crypt.CF

 這種劫持瀏覽器的方法，以前也遇到過，如：掛羊頭賣狗肉的播放器
http://blog.csdn.net/Purpleendurer/archive/2009/07/05/4323084.aspx