PCDVD數位科技討論區 - 被這網站給綁架首頁了.......

引用:

作者snappy

www.bibikan.net.cn （請勿點選，以免中毒！！）

照網路一些常見教學執行解救，不過似乎沒有辦法
這個網站相當惡劣，我修改了一些機碼如 START PAGE
但一秒後他的網址又出現在START PAGE裡面。

不知有無高人可幫忙解救？

通常這種修正 regedit, 馬上又被改回的情形，非常有可能是記憶體已經常駐程式了..
所以.. 要先抓出他的程式來源..
通常會在 Docoment & Setting 建立不明的資料夾, 裡頭僅有一兩個檔..(某些木馬是這樣)
砍掉後, 在去砍掉記憶體的木馬..
最後再來修正機碼...

會感染的部分, 不外乎..
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
以及 RunOnce 的目錄...

一定要確實切斷主來源, 這樣才能夠乾淨解掉..
先前遇過的情況是.. Document & Setting 裡頭的怪怪目錄中的兩個執行檔木馬程式用 ad-ware 掃瞄不到, 真正 ad-ware 掃到的是 Documents & Settings\user id\Local Settings\Temp
所以即使 ad-ware 殺掉 temp 的木馬, 依然沒有斷絕來源..

現在很多木馬都是改上述的那個 Main 裡頭的機碼..
所以.. 檢查再分析一下, 應該可以順利解掉...