又一个伪造易乐游程序搞破坏
本帖最后由 RECKY 于 2020-11-16 12:54 编辑问题环境： 易乐游 2.3.4.1版本
问题现象：
开机启动项有个未知的易乐游控制台图标的程序。
问题排查：
先看下属性，乍一看易乐游的，问了下易乐游的技术没有出过相关补丁。
开下杀毒程序运行下看看，直接报毒。
准备看下生成的文件签名，好家伙，在C:\windows\system\Lu3XXeLxROdDA45B目录下创建并运行Lu3XXeLxROdDA45B.exe 后就直接删除了Lu3XXeLxROdDA45B.exe，连运行的程序.exe那个文件也删除了。
复制了一份下载的程序看了下系统文件描述，系统文件？？？
过来二十来分钟直接删除了e-yoo目录的所有文件（随机出现），这个操作，妙呀！
看了下这个伪造程序下载器访问的地址：
http://server.slesr.com:65330/root/server_path.txt
http://server.slesr.com:65330/root/server_name.txt
http://server.slesr.com:65330/root/server_config.txt
查下域名今年4月份注册的：
看了下IP地址：
国内的IP地址，顺着网线不就找到了破坏者了。。。
问题解决：
1、直接删除对应的开机启动项。
2、将下方代码复制后添加到特征码拦截
3、路由上屏蔽slesr.com域名。
CC9ADE3F7C74986ECFF3182550FCE14F
原程序有吗？有的话麻烦上传一下 六月飞雪 发表于 2020-11-13 18:16
原程序有吗？有的话麻烦上传一下
源文件：
页:
[1]