安天锐甲

     2010年5月31日，安天实验室接到用户上报一个篡改快速启动栏以及开始菜单内的IE浏览器主页并锁定IE首页为www.68262.com或www.46.com的顽固样本，当此样本运行后会弹出一个wwv.cz3.net/index14.htm的页面，具体分析如下：

图1.

图2.

    安天实验室最近接到大量用户上报的流氓网站，黑客流氓手段层出不穷，导致用户面对各种五花八门的流氓行为遗留给系统的让人抓狂的迹象时束手无策。浏览器首页被修改，桌面假IE、假淘宝、在线电影播放图标删不掉，浏览器主题被改，修改添加系统自启动项等等等等就在一瞬间侵袭了你的系统环境。上网，找修复工具，请人帮忙，找对大夫算是万幸，反之生病乱投医乱用药，不但没使症状减轻，反而浪费了时间，到头来系统里安装了一堆不治病的工具，甚者再次误入黑客骗子的恶意网站，导致二次杯具……

    为了应对这一情况，安天实验室紧急开发出“IE浏览器修复工具”，帮助用户第一时间将IE首页修改回来。对于1155.com,50283.com，PP2345.com，7322.com，N999.com，6dudu.com，9999q.com，6656.net等等流氓网站，如果用其他安全工具还是没有彻底查杀掉，可以通过下面“三枪”来实现彻底完美清除：

第一枪：用“IE浏览器修复工具”先改回来你原来的浏览器主页，官方下载地址：www.ruijia.cn/download/i

    安天实验室接到用户提交木马样本，该修改主页的木马运行后，将自身复制到IE目录下，并衍生病毒文件，在磁盘根目录下创建快捷方式指向病毒体。当用户打开IE后，首先进入到用户原首页地址，之后病毒马上将地址跳转到导航地址：http://www.qq5.com/index8.htm。病毒将衍生文件注册为BHO，使用户打开IE时自动加载病毒文件。

一、行为分析：
1、衍生文件：
c:\1.lnk ;指向snss.exe
c:\Program Files\snss.exe
c:\2.lnk ;指向IE目录下的病毒文件
c:\Program Files\Internet Explorer\原文件名
c:\WINDOWS\system32\Thunder.dll

2、修改注册表：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\C

该恶意插件是一个包裹文件，该恶意插件在用户计算机上运行以后会自动删除包裹文件体,并在桌面创建快捷方式（如图1）

用户反映，他在一个游戏下载网站下载的破解版的游戏，安装后发现浏览器首页被改成 http://www.6656.net/yx.html，同时桌

2010年5月7日，安天实验室接到很多用户上报的篡改并锁定IE首页为www.9999q.com的顽固样本，分析如下：

病毒名称：Trojan/Win32.Chifrax.gen

病毒类型：恶意插件

文件MD5：9bc60a88dc

     2010年4月29日，安天实验室接到用户上报，一个采用Borland Delphi 7写的“西游冰封”小游戏运行后，浏览器主页被篡改为www.6dudu.com网址导航，无法通过正常渠道还原主页。经分析发现此“西游冰封”小游戏采用了流氓软件惯用的非法手段去劫持浏览器主页，以此来增加被绑定网站的流量。