一例盗号问题的排查

现象：网吧反馈盗号问题，而且直接登录LOL会出来wegame登录窗口。
排查 : 上工具查看，这窗口果然是假的，路径和界面没有扫码登录都是有问题的。

用PM开机查看是谁生成的假窗口文件LKUAiliqnf_1.dat,如图：

查看是explorer.exe生成LKUAiliqnf_1.dat，

谁挂在explorer.exe查看如图：

查看谁生成l1FNOU2i9DmnJK.dat.如图

谁生成了svchost.exe

谁生成了71Mt8CH.EXE

是360chrome.exe生成的，开机启动项被加了360chrome.exe,

MD5如下：



后续：年关将至，各种盗号手动层出不穷，这个网吧最后发现是被人入侵修改了还原点，加了开机启动项，假冒wemage登录，从而盗号。