又一个伪造易乐游程序搞破坏

问题环境：       易乐游 2.3.4.1版本

问题现象：
       开机启动项有个未知的易乐游控制台图标的程序。



问题排查：

先看下属性，乍一看易乐游的，问了下易乐游的技术没有出过相关补丁。


开下杀毒程序运行下看看，直接报毒。


准备看下生成的文件签名，好家伙，在C:\windows\system\Lu3XXeLxROdDA45B目录下创建并运行Lu3XXeLxROdDA45B.exe 后就直接删除了Lu3XXeLxROdDA45B.exe，连运行的程序.exe那个文件也删除了。

复制了一份下载的程序看了下系统文件描述，系统文件？？？



过来二十来分钟直接删除了e-yoo目录的所有文件（随机出现），这个操作，妙呀！

看了下这个伪造程序下载器访问的地址：

http://server.slesr.com:65330/root/server_path.txt

http://server.slesr.com:65330/root/server_name.txt

http://server.slesr.com:65330/root/server_config.txt
查下域名今年4月份注册的：

看了下IP地址：

国内的IP地址，顺着网线不就找到了破坏者了。。。

问题解决：


1、直接删除对应的开机启动项。
2、将下方代码复制后添加到特征码拦截
3、路由上屏蔽slesr.com域名。

1. CC9ADE3F7C74986ECFF3182550FCE14F

复制代码

原程序有吗？有的话麻烦上传一下

六月飞雪 发表于 2020-11-13 18:16
原程序有吗？有的话麻烦上传一下

源文件：

上传的附件：

000.rar (249.25 KB, 下载次数: 2148)

2020-11-16 12:35 上传

点击文件名下载附件