火绒安全软件

标题: 某软件恶意篡改浏览器相关设置并疑似有病毒行为 [打印本页]

作者: 该用户不存在 时间: 2023-1-23 16:59
标题: 某软件恶意篡改浏览器相关设置并疑似有病毒行为
本帖最后由该用户不存在于 2023-5-27 12:35 编辑

近日，在帮助用户解决主页劫持时https://bbs.huorong.cn/forum.php ... tid=118905#lastpost发现一款某类似steam辅助/破解软件安装恶意插件并篡改主页、添加收藏夹栏，并有疑似安装信息钩子，注入explorer进程，反沙箱等病毒行为。

经调查，此插件会在用户文件夹下的子文件下新建名为“AIWeb”的文件夹，其中的“selfdefplus”文件夹含有“tab.html”和“manifest.json”文件，都指向与被劫持的主页有关，均经火绒全盘查杀后无风险。在删除这两个文件后，发现名为“CSRChrm.exe”的文件会在刚才的恶意插件目录下新建这两个文件。通过查看数字签名，发现是名为“上海都梦网络科技有限公司”签名的文件。经过多次排查，居然是explorer与userinit启动的。最后，在用户的temp文件夹中，发现了名为AIwebSetup.exe的文件。但奇怪的是，以上的exe文件提取到其他电脑后均无法正常运行。最后，在其他的检查的过程后，发现了真正的罪魁祸首（已放至楼下）。请工程师分析文件，并按照楼下的补充进行必要的措施。
@火绒安全运营

63cffb1fe50b244c.jpg (111.74 KB, 下载次数: 1603)