梦幻西游电脑版被挂广告

2018-11-21 10:12| 发布者: moonsgame| 查看: 3255| 评论: 0|原作者: RECKY

环境：易乐游2.2.11.0版本问题现象：运行梦幻西游电脑版右上角有广告问题排查： 1.首先以为是易乐游的咨询易乐游技术得到不是他们下发的。 2.通过ProcessExplorer查看广告的进程名，发现发现 ...

环境：易乐游2.2.11.0版本

问题现象：
运行梦幻西游电脑版右上角有广告

问题排查：
1.首先以为是易乐游的咨询易乐游技术得到不是他们下发的。
2.通过ProcessExplorer查看广告的进程名，发现发现是0y55f55lwe800wq1mr8e7j182lpod6c这个随机名的程序。

手动结束后过几秒0y55f55lwe800wq1mr8e7j182lpod6c会自动运行。随即用Procmon软件打算查看下是谁调用打开的0y55f55lwe800wq1mr8e7j182lpod6c最后发现是explorer打开的，这个明显不对。
3.1.png

查看配置程序文件日志信息也没有用的信息。

问题解决：

重新用ProcessExplorer查看未知进程，发现了一个q3.exe的程序其目录和0y55f55lwe800wq1mr8e7j182lpod6c在同级目录149861下，并用Hash.exe计算了下2个程序的MD5值发现是一样的【44AD3FF64C838E4C91C2C6CDC1162836】文件大小，创建时间都是一样的。先结束q3.exe进程再结束0y55f55lwe800wq1mr8e7j182lpod6c后发现0y55f55lwe800wq1mr8e7j182lpod6c程序没有被调起了，准备排查是是谁导致的，网吧老板有事要出去就没让弄了。

处理方法：将MD5值添加到特征码拦截。

File: C:149861\32f45f3q\lq1\q3.exe
Size: 4228096 bytes
File Version: 1.0.23 1011
Modifed: 2018年11月20日 19:58:34
MD5: 44AD3FF64C838E4C91C2C6CDC1162836
SHA1: 3CE556177ECF7A8768A26350191ED7734155B655
CRC32: 34CB0A96