找回密码
 注册

QQ登录

只需一步,快速开始

搜索
网吧三国 首页 IT技术 热点问题 查看内容

又一个伪造易乐游程序搞破坏

2020-11-13 18:13| 发布者: 六月飞雪| 查看: 1625| 评论: 2|原作者: RECKY

问题环境: 易乐游 2.3.4.1版本 问题现象: 开机启动项有个未知的易乐游控制台图标的程序。 问题排查: 先看下属性,乍一看易乐游的,问了下易乐游的技术没有出过相关补丁。 开下杀毒程序运 ...

问题环境:       易乐游 2.3.4.1版本

问题现象:
       开机启动项有个未知的易乐游控制台图标的程序。

11.png

问题排查:
12.png
先看下属性,乍一看易乐游的,问了下易乐游的技术没有出过相关补丁。

13.png
开下杀毒程序运行下看看,直接报毒。

15.png
准备看下生成的文件签名,好家伙,在C:\windows\system\Lu3XXeLxROdDA45B目录下创建并允许Lu3XXeLxROdDA45B.exe 后就直接删除了Lu3XXeLxROdDA45B.exe,连运行的程序.exe那个文件也删除了。
14.png
复制了一份下载的程序看了下系统文件描述,系统文件???
20.jpg
16.png
17.png
过来二十来分钟直接删除了e-yoo目录的所有文件(随机出现),这个操作,妙呀!

看了下这个伪造程序下载器访问的地址:
20.png
http://server.slesr.com:65330/root/server_path.txt
21.png
http://server.slesr.com:65330/root/server_name.txt
22.png
http://server.slesr.com:65330/root/server_config.txt
查下域名今年4月份注册的:
26.png
看了下IP地址:
28.png
国内的IP地址,顺着网线不就找到了破坏者了。。。

问题解决:
19.png

1、直接删除对应的开机启动项。
2、将下方代码复制后添加到特征码拦截
3、路由上屏蔽slesr.com域名。
  1. CC9ADE3F7C74986ECFF3182550FCE14F
复制代码




1

鲜花

握手

雷人

路过

鸡蛋

刚表态过的朋友 (1 人)

  • 鲜花

    匿名

发表评论

最新评论

引用 六月飞雪 2020-11-13 18:16
原程序有吗?有的话麻烦上传一下
引用 RECKY 2020-11-16 12:35
六月飞雪 发表于 2020-11-13 18:16
原程序有吗?有的话麻烦上传一下

源文件: 000.rar (249.25 KB, 下载次数: 2056)


查看全部评论(2)

小黑屋|手机版|Archiver|联系我们|网吧三国

GMT+8, 2024-3-29 14:13 , Processed in 1.034541 second(s), 13 queries , Gzip On, MemCache On.

Powered by Discuz! X3.4

© 2001-2013 Comsenz Inc.

返回顶部