网吧三国

标题: 又一个伪造易乐游程序搞破坏 [打印本页]

作者: RECKY 时间: 2020-11-13 15:45
标题: 又一个伪造易乐游程序搞破坏
本帖最后由 RECKY 于 2020-11-16 12:54 编辑

问题环境： 易乐游 2.3.4.1版本

问题现象：
开机启动项有个未知的易乐游控制台图标的程序。

(, 下载次数: 98)

问题排查：
(, 下载次数: 101)
先看下属性，乍一看易乐游的，问了下易乐游的技术没有出过相关补丁。

(, 下载次数: 111)
开下杀毒程序运行下看看，直接报毒。

(, 下载次数: 99)
准备看下生成的文件签名，好家伙，在C:\windows\system\Lu3XXeLxROdDA45B目录下创建并运行Lu3XXeLxROdDA45B.exe 后就直接删除了Lu3XXeLxROdDA45B.exe，连运行的程序.exe那个文件也删除了。
(, 下载次数: 88)
复制了一份下载的程序看了下系统文件描述，系统文件？？？
(, 下载次数: 95)
(, 下载次数: 85)
(, 下载次数: 96)
过来二十来分钟直接删除了e-yoo目录的所有文件（随机出现），这个操作，妙呀！

看了下这个伪造程序下载器访问的地址：
(, 下载次数: 105)
http://server.slesr.com:65330/root/server_path.txt
(, 下载次数: 109)
http://server.slesr.com:65330/root/server_name.txt
(, 下载次数: 127)
http://server.slesr.com:65330/root/server_config.txt
查下域名今年4月份注册的：
(, 下载次数: 89)
看了下IP地址：
(, 下载次数: 106)
国内的IP地址，顺着网线不就找到了破坏者了。。。

问题解决：
(, 下载次数: 105)

1、直接删除对应的开机启动项。
2、将下方代码复制后添加到特征码拦截
3、路由上屏蔽slesr.com域名。

CC9ADE3F7C74986ECFF3182550FCE14F

复制代码

作者: 六月飞雪 时间: 2020-11-13 18:16
原程序有吗？有的话麻烦上传一下

作者: RECKY 时间: 2020-11-16 12:35

六月飞雪发表于 2020-11-13 18:16
原程序有吗？有的话麻烦上传一下

源文件： (, 下载次数: 2063)

欢迎光临网吧三国 (http://www.583go.com/)