恶意广告程序shellpro.dll

欢迎访问我的新博客，地址 www.sheenspace.wordpress.com

最近几天每次机器重启后都会弹出一个windows消息框



似乎是某程序要访问public document目录失败，很可能是前几天访问某中国绿色软件网站并下载某绿色软件安装后开始出现的症状。打开Task Manager，右键单击提到的windows消息框项目，选择Go to Process，可以跳到具体的进程项目，



是一个陌生的rundll32.exe进程，如下：



可以确定其中的shellpro.dll就是肇事程序，看参数shellsethome，猜测该程序的目的是把IE主页设成某地址。搜索程序启动项，找到启动脚本：C:/Users/Ying/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/start.vbs

set ws = WScript.CreateObject("WScript.Shell")

ws.Run "rundll32.exe /c shellpro.dll shellsethome", 0

在c:/windows/system32/下找到shellpro.dll，安装源位置c:/windows/programsetup。删除启动脚本，删除shellpro.dll和programsetup目录，问题解决。