网吧三国

标题: 梦幻西游电脑版被挂广告 [打印本页]

作者: RECKY 时间: 2018-11-20 22:56
标题: 梦幻西游电脑版被挂广告
本帖最后由 RECKY 于 2018-11-20 22:58 编辑

环境：    易乐游2.2.11.0版本

问题现象：
   运行梦幻西游电脑版右上角有广告
(, 下载次数: 75)

问题排查：
   1.首先以为是易乐游的咨询易乐游技术得到不是他们下发的。
   2.通过ProcessExplorer查看广告的进程名，发现发现是0y55f55lwe800wq1mr8e7j182lpod6c这个随机名的程序。
(, 下载次数: 68)
(, 下载次数: 79)
   手动结束后过几秒0y55f55lwe800wq1mr8e7j182lpod6c会自动运行。随即用Procmon软件打算查看下是谁调用打开的0y55f55lwe800wq1mr8e7j182lpod6c最后发现是explorer打开的，这个明显不对。
(, 下载次数: 72)
   查看配置程序文件日志信息也没有用的信息。

问题解决：
(, 下载次数: 67)
   重新用ProcessExplorer查看未知进程，发现了一个q3.exe的程序其目录和0y55f55lwe800wq1mr8e7j182lpod6c在同级目录149861下，并用Hash.exe计算了下2个程序的MD5值发现是一样的【44AD3FF64C838E4C91C2C6CDC1162836】文件大小，创建时间都是一样的。先结束q3.exe进程再结束0y55f55lwe800wq1mr8e7j182lpod6c后发现0y55f55lwe800wq1mr8e7j182lpod6c程序没有被调起了，准备排查是是谁导致的，网吧老板有事要出去就没让弄了。

处理方法：将MD5值添加到特征码拦截。

File: C:149861\32f45f3q\lq1\q3.exe
Size: 4228096 bytes
File Version: 1.0.23 1011
Modifed: 2018年11月20日 19:58:34
MD5: 44AD3FF64C838E4C91C2C6CDC1162836
SHA1: 3CE556177ECF7A8768A26350191ED7734155B655
CRC32: 34CB0A96

欢迎光临网吧三国 (http://583go.com/)