作者dogs1231992 (河豚)
看板AntiVirus
標題[求救]
時間Sun Oct 19 15:01:38 2014
1. 敘述問題：
我前一陣子發現電腦"突然"被hao123綁架(我沒安裝QVOD)
我先去刪除regedit內的所有hao123，然後把firefox內的設定改回來
後來就可以了，但是當我重開機之後hao123就又回來了
我就想說該不會是之前安裝的軟體出問題
我就去控制台內把一個製造廠商是簡體字的軟體刪除，然後一樣是整個清理
直到剛剛，發生了超詭異的狀況
我開機後打開firefox，發現被hao123綁架，我就關掉網頁，再重開，就又好了
所以現在似乎是只發生在 "開機後第一次打開網頁時" 會發生綁架，第二次就沒事
查regedit也完全找不到任何hao123
我在C槽搜尋，只找到三個檔案有關(但是昨天應該已經刪掉了)
2. 系統資料：
第一個：
C:\Users\Wang\AppData\Roaming\Macromedia\Flash Player\macromedia.com\support
\flashplayer\sys
內含 #s1.hao123img.com
第二個：
C:\Users\Wang\AppData\Roaming\Macromedia\Flash Player\
#SharedObjects\4GZNSDAR
內含 s1.hao123img.com
第三個：
C:\Users\Wang\AppData\Roaming\Macromedia\Flash
Player\
#SharedObjects\4GZNSDAR\s1.hao123img.com\index\swf\LocalStorage.swf
內含：$hao123$.sol
以上三個是我目前在電腦內唯三找到與hao123有關的檔案
3. 分析報告：
剛剛用Combofix分析之後的結果如下：
https://mega.co.nz/#!4FFEWDAa!pqUVJstlHhc4_BYNOf0sOPeYmzz1FNrbWhjU6yzVHj4
不知道各位鄉民們是否有遇過類似的情形??
只有在第一次開網頁時被綁架，雖然影響不大，但這也代表著我的電腦被控制著 O口O
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.112.218.125
※ 文章網址: http://webptt.com/m.aspx?n=bbs/AntiVirus/M.1413702103.A.F8F.html
1F：推 hirokofan: 把FX的捷徑砍掉，去資料夾找本尊重作一個捷徑 10/19 15:48
2F：→ dogs1231992: 本來沒出現，但是我剛剛去本尊資料夾弄出來之後 10/19 17:04
3F：→ dogs1231992: 就突然跑出hao123了... 10/19 17:04
4F：→ dogs1231992: 現在的問題似乎是電腦會自動產生上面那三個檔案 10/19 17:07
5F：→ mmis1000: 那就是有東西沒刪乾淨 10/19 18:36
6F：→ mmis1000: 另外關於掃描報告，用pastebin之類貼會比較方便 10/19 18:37
7F：→ mmis1000: 有先試試adw嗎？ 10/19 18:37
8F：推 hirokofan: 該不會是迅雷搞的吧.... 10/19 22:00
9F：推 tank44444: 資料備份後 重灌最快 10/21 13:24
10F：→ dogs1231992: 最近又沉寂了說，感謝各位的幫忙 10/21 22:22
11F：→ dogs1231992: 想請問adw是什麼?? 10/21 22:22
12F：→ dogs1231992: 資料備份重灌最方便了，但是我目前D槽有接近2T的資料 10/21 22:23
13F：→ dogs1231992: 外接硬碟只有1T，無法備份全部="= 10/21 22:24
14F：→ mmis1000: adwcleaner 10/22 01:35