刪除杭州微通新成,microdone.cn,這個流氓中的流氓
時間：2023-05-21 16:56:01 | 來源：網(wǎng)站運營
時間：2023-05-21 16:56:01 來源：網(wǎng)站運營
刪除杭州微通新成,microdone.cn,這個流氓中的流氓： 這幾天監(jiān)控總是告警提示關(guān)鍵系統(tǒng)文件host正在被非法篡改，打開host文件發(fā)現(xiàn)里面增加了一條記錄：
192.168.0.1
http://windows10.microdone.cn ，這是個什么東西？？？于是直接刪掉，可是沒過一會兒又提示host被非法篡改，上去一看 這條又回來了 變成了 127.0.0.1
http://windows10.microdone.cn , 于是刪除幾次觀察一下。
我發(fā)現(xiàn)沒次刪掉這條記錄以后 這個ip就會變成另一個地址。厲害了，還帶隨機更換的。
我嘗試把host文件改成只讀屬性，結(jié)果仍然能被強勢插入，我搜了一下
http://microdone.cn這個網(wǎng)站，是一個叫杭州微通新成的安全公司...我說這么厲害呢，做安全的公司搞個個人電腦那不是輕松愉快？于是又搜了下關(guān)于怎么解決非法篡改host的文章，參考了一下 一塊基因磚：windows10 代理頻繁被自動篡改 windows10.microdone.cn的解決辦法親測 ，但是我發(fā)現(xiàn)這個流氓工具應(yīng)該升級了，按照文章里的方法根本找不到注冊表里的相關(guān)項。于是裝上了火絨看看火絨能不能阻止隨便篡改host文件。然而讓我失望的是 火絨啥反應(yīng)都沒有，host仍然被插的很開心。
忙完了手頭的工作，閑下來開始按個梳理windows里的進程，看看到底是哪個東西在往host里插數(shù)據(jù)。排查了一通之后，發(fā)現(xiàn)3個可疑進程 PBCCRCPassGuardXInputService.exe PBCCRCPassGuardXInput.exe PBCCRCPassGuardX.exe ，干掉這三個進程以后host文件 不在被改寫，找到這幾個文件的位置，搜一下是干嘛的，銀聯(lián)征信控件... 毫不猶豫的卸掉這個流氓垃圾。整個世界都清凈了
后來我發(fā)現(xiàn)Hosts 文件被修改? 這個提問跟我的 方式一樣。呵呵
在線咨詢