www.53ff.com劫持IE，广告网页图标常驻桌面，删了又来_e65ff、c0m

　　一、网友求助

　　一位网友本来是想下载一个软件，谁知道下载回来的竟然是流氓软件。

 

　　这个流氓软件不仅替换了图面上的IE浏览器图标，将首页篡改为hxxp://www．53ff．com/?hho，在Internet选项中将主页设置为空白页也不行，还在桌面上创建广告网页的快捷方式文件，这些文件删除后重启电脑又会出现。

 

　　用360卫士、windows优化大师、超级兔子、Windows清理助手来修复，都不能解决问题，于是请偶帮忙检修。

 

　　二、分析

　　通过QQ远程协助，在网友的电脑桌面上看到如下广告的图标：

 

 

　　1、非常好玩小游戏

　　指向： "%ProgramFiles%/Internet Explorer/iexplore．exe"hxxp://www．45575．com/?desk

 

　　2、极品美媚图
　　指向："%ProgramFiles%/Internet Explorer/iexplore．exe" hxxp://www．93rt．com/?desk

 

　　3、免费电影
　　指向："%ProgramFiles%/Internet Explorer/iexplore．exe"hxxp://www．kuku46．com/?we2

 
　　4、淘宝网今日打折特价区
　　指向："%ProgramFiles%/Internet Explorer/iexplore．exe"hxxp://www．223224．com/taobao/?desk

 

　　在回传这些广告网址时，QQ提示：

 

　　警告：对方本次发送的消息中包含的网址被大量用户举报或存在较高安全风险，已经被QQ安全中心过滤。查看风险详情

 

只好将网址中的半角“.”换成全角的“．”才能发回来。

 

　　发现桌面上的IE图标是假的。指向：hxxp://www．53ff．com/?hho

 

 

　　右击出现的快捷方式菜单也不同：

 

　　桌面上创建广告网页的快捷方式文件删除后重启电脑又会出现，说明流氓软件还在网友的电脑中，并且每次开机时都自动运行并创建。

 

　　所以先用360卫士检查开机启动项，没有发现可疑的。

　　再用pe_xscan 扫描log，发现如下可疑项：

/===
pe_xscan 09-06-21 by Purple Endurer
2010-2-9 18:49:49
Windows XP Service Pack 2(5．1．2600)
MSIE:8．0．6001．18702
管理员用户组
正常模式

F2 - REG: system．ini: UserInit = ＜C:/WINDOWS/system32/userinit.exe,C:/Program Files/systemfiles/sys32.exe＞

O4 - Startup: 腾讯QQ.lnk -> C:/Program Files/systemfiles/222.vbs

O30 - IeOpenHomePage = C:/Program Files/Internet Explorer/iexplore.exe hxxp://www．53ff．com/?hho
===/

　　O4项居然冒充或篡改了腾讯QQ在 开始/程序/启动 中的快捷方式文件腾讯QQ.lnk，但直接检查开始菜单的启动组是看不到这一项的。

 

　　到 http://purpleendurer.ys168.com 下载FileInfo这个程序提取文件信息：

 

文件说明符 : C:/Documents and Settings/Administrator/「开始」菜单/程序/启动/腾讯QQ.lnk
属性 : --H-
数字签名:否
PE文件:否
创建时间 : 2010-2-8 18:27:15
修改时间 : 2010-2-8 18:27:16
大小 : 1446 字节 1．422 KB
MD5 : 0e93a85d5122a5576b13abed1229fe0f
SHA1: 5B6537D85C942D54AC353B89F7CA84526FCFBDF2
CRC32: bcfb2e4d

 

原来腾讯QQ.lnk这个文件具有隐藏（H）隐性。不过360卫士检测不出来就讲不过去了罢？

 

　　用WinRAR浏览C:/Documents and Settings/Administrator/「开始」菜单/程序/启动，可以看到腾讯QQ.lnk这个文件。

 

　　腾讯QQ.lnk指向的文件222.vbs与F2项中的可疑文件sys32.exe都位于C:/Program Files/systemfiles中。

 

　　F2项这种恶意程序加载方式已经出现N年了，360卫士不仅防不住，还检测不出来。

 

　　用WinRAR浏览C:/Program Files/systemfiles，里面的东东还不少：

 

 

　　1、

　　
文件说明符 : C:/Program Files/systemfiles/222.vbs
属性 : A---
数字签名:否
PE文件:否
创建时间 : 2010-2-8 18:27:10
修改时间 : 2010-2-6 22:27:30
大小 : 9181 字节 8．989 KB
MD5 : 2d5689603ecd6136b4e97151d86a87ef
SHA1: E1B795DB6912D9F43D36E8B9DE4FB209A0D10DCA
CRC32: ff6e48bc

 

 

功能为：
（1）获取特殊文件夹“桌面”、“收藏夹”的说明符。
（2）运行3．bat
（3）修改注册表HKCR/CLSID/{86AEFBE8-763F-0647-899C-A93278894D8E}，在桌面上创建一个无法删除的IE图标，在运行时自动打开hxxp://www．53ff．com/?hho，它的右键快捷菜单与正常的IE图标不同：

（4）在桌面创建广告网页的快捷方式文件：淘宝网今日打折特价区.lnk、非常好玩小游戏.lnk、免费电影.lnk、极品美媚图.lnk
（5）往收藏夹添加：千千体育直播．lnk、九品高清网络电视.lnk
（6）运行3．vbs
（7）修改注册表
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Explorer/HideDesktopIcons/NewStartPanel/{871C5380-42A0-1069-A2EA-08002B30309D}
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Explorer/HideDesktopIcons/ClassicStartMenu/{871C5380-42A0-1069-A2EA-08002B30309D}
并发送F5键刷新
（8）在快速启动栏创建广告网页的快捷方式文件：
超级好玩小游戏.lnk
淘宝网今日打折特价区.lnk
免费电影.lnk
（9）往收藏夹添加：
淘宝网 - 淘！我喜欢.url
45575在线小游戏，最好玩最快的小游戏.url
当当网 – 全球最大的中文网上书店&购物中心.url
卓越亚马逊网上购物图书，手机，数码，家电，化妆品，钟表，首饰等在线销售.url
看电视剧，最新最好的绿色免费电视剧网站.url
最新绿色免费电影！高速高清！天天更新！！！．url
极品美媚清纯写真！！美图大集合！.url
最新免费在线小说阅读！！速度快内容丰富！！！.url
（10）修改注册表，创建F2项。

　　2、
文件说明符 : C:/Program Files/systemfiles/3．bat
属性 : A---
数字签名:否
PE文件:否
创建时间 : 2010-2-8 18:27:10
修改时间 : 2010-2-5 21:19:4
大小 : 3612 字节 3．540 KB
MD5 : ab7717fd438d173f5dc2b0c9aa6d035a
SHA1: 44FF3FB753D4F61890EC51742CCF62D672DE7180
CRC32: c364ef90

 

 

功能为：
（1）强制删除桌面上的：
Internet Explorer.lnk
IEXPLORE.lnk
IEXPLOREr.lnk
Internet Exp*．lnk
Internet*．lnk
Internet *．url

（2）强制删除开始菜单程序组中的：
Internet*．lnk
*Internet*．lnk
Internet Explorer．url
Internet Explorer．lnk

（3）强制删除快速启动栏上的：
Internet Explorer．url
Internet Explorer．lnk

（4）在桌面上创建 指向 hxxp://www．53ff．com/?hho 的 Internet Exp1orer．url

（5）在快速启动栏上创建 指向 hxxp://www．53ff．com/?hho 的 Internet Exp1orer．url

（6）在开始菜单程序组中创建指向 hxxp://www．53ff．com/?hho 的 Internet Exp1orer．url
（7）修改注册表：
将HKEY_CLASSES_ROOT/CLSID/{871C5380-42A0-1069-A2EA-08002B30309D}/shell/OpenHomePage/Command的值改为："%ProgramFiles%/Internet Explorer/iexplore．exe hxxp://www．53ff．com/?hho

（8）强制删除快速启动栏上的：启动 Internet Explorer 浏览器．lnk
（9）强制删除桌面上的：*Internet*．lnk
（10）在开始菜单中创建指向 hxxp://www．53ff．com/?hho 的 Internet Exp1orer．url

 

　　3、

　　
文件说明符 : C:/Program Files/systemfiles/3．vbs
属性 : A---
数字签名:否
PE文件:否
创建时间 : 2010-2-8 18:27:10
修改时间 : 2010-2-5 20:43:20
大小 : 2812 字节 2．764 KB
MD5 : 86aeb8066ce39296ade59254f7212571
SHA1: A0B86FB5F679C9A74A03ED3C43063ECAEA3F018F
CRC32: c6af776f

 

功能为：
（1）获取特殊文件夹“桌面”、“收藏夹”的说明符。
（2）将桌面上所有扩展名为lnk的文件指向的目标修改为 hxxp://www．53ff．com/?hho
（3）将快速启动栏上所有扩展名为lnk的文件指向的目标修改为 hxxp://www．53ff．com/?hho
（4）将开始菜单上所有扩展名为lnk的文件指向的目标修改为 hxxp://www．53ff．com/?hho
（6）调用Doits22255()，对下面的浏览器进行处理：
TTraveler．exe
SogouExplorer．exe
TheWorld．exe
Maxthon．exe
360SE．exe

 

　　4、

 

文件说明符 : C:/Program Files/systemfiles/9ptvs1．exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-2-8 18:27:10
修改时间 : 2010-2-6 21:40:48
大小 : 3928071 字节 3．764 MB
MD5 : 8cd430104b07827d188f63510fa4d9f5
SHA1: 5900885143489970327A40ABAE6304DDF4B6B4A5
CRC32: 687f1d47

 

 

 

　　5、

文件说明符 : C:/Program Files/systemfiles/ffate．exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-2-8 18:27:10
修改时间 : 2010-2-5 20:54:24
大小 : 504832 字节 493．0 KB
MD5 : 944246b3426526bae101ae472cc9013e
SHA1: A31D5F047B559E82A7D3DFAE1B4AE6689E5D4100
CRC32: 2fa99a25

 

 

 

 

　　6、

文件说明符 : C:/Program Files/systemfiles/sys32．exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2010-2-8 18:27:10
修改时间 : 2010-2-6 21:11:36
大小 : 193361 字节 188．849 KB
MD5 : ce43529db2daf47b586ff489bfa91177
SHA1: 58E7843A1F5768D2D5202723DC939B752034290B
CRC32: eed7e6ae

 

 

　　O30这种劫持IE的方式也已经出现很久了。

 

　　三、修复

　　1、删除桌面上的广告网页的快捷方式文件
　　2、用Windows自带的“桌面清理”工具来删除桌面的两个IE浏览器的快捷方式。步骤如下：

　　在桌面空白处右键单击，然后依次选择“属性→桌面→自定义桌面→现在清理桌面”，在打开的“清理桌面向导”中点“下一步”，然后在“快捷方式”区域选中桌面上的假IE图标，然后 下一步 → 完成。

　　3、到http://endurer.ys168.com下载HijackThis修复 F2 和 O24项。

　　4、运行注册表编辑器regedit，搜索：53ff.com，双击找到的项目，将值中的hxxp://www．53ff．com/?hho删除。
　　5、　用WinRAR删除启动文件夹中的快捷方式文件腾讯QQ.lnk
　　6、用WinRAR删除文件夹：C:/Program Files/systemfiles
　　7、检修桌面、开始菜单程序、快速启动项上的快捷方式

 

　　让网友重启电脑，这下电脑正常了。