大战传奇私服篡改DNS，锁定DNS
本帖最后由 wajimjun 于 2024-8-20 22:00 编辑上周无聊下载了传奇私服，下载解压缩后，火绒提示有木马，自动删除了，我为了玩该私服，把程序设置成信任，恶心的事情发生了，上网奇卡无比，就去查了下DNS发现被修改了DNS,改回自动后，发现还是被反改回去。
第一：火绒杀毒，360断网急救箱都用过，还是无法杀此木马
第二：于是打开 YDArk查看有没可疑的进程，发现个好东东DNS-LOCK 打开一看果然锁住垃圾DNS，于是解锁垃圾DNS，回去修改正确DNS，可是还是无法修改DNS（修改后火绒老是提示，木马是一串网址）
第三：尝试打开edga浏览器中的 代***理设置 设置一看好家伙，自动代***理那里就是 火绒提示的病毒网址，但是 edga 代}理 设置是灰色，明显是病毒修改了设置不让改，那就找到注册表计算机\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings打开一看好家伙，明显有一行 代{过}{滤}理是病毒网址。
第四：删除此注册表设置，还是会自动生成，于是 用注册表监视工具RegFromApp 看看是哪个恶心的木马 在反写修改注册表， 打开RegFromApp 后需要选哪个进程来监控 注册表，大概看了下进程，有个进程很可疑，进程名：sqw868566.exe, 文件位置系统盘:\Windows\SysWOW64\config\systemprofile\AppData\Local\aSSSPYD 于是就选择此进程，监控注册表，对注册表木马网址进行删除后，果然发现此进程反写进木马网址，OK找到此进程后，找到文件位置进行删除，
再删除注册表的木马网址，修改正确DNS，问题解决。
https://imgse.com/i/pAiFUgS
https://imgse.com/i/pAiFN38
https://imgse.com/i/pAiFt9f
https://imgse.com/i/pAiF8AI
https://imgse.com/i/pAiFGNt
https://imgse.com/i/pAiFGNt
https://imgse.com/i/pAiFQnH walykyy 发表于 2024-8-21 19:24
找到lock-dns服务里面停止，然后删掉就行，360修复一下
不行的，双重锁，一个是 dns-lock锁住另外一个是使用浏览器代{过}{滤}理，自动更新木马网站 现在玩私服都得打开影子系统 玩传奇的顶一顶 如果不是你会这个就只能受着了
花葬 发表于 2024-8-21 12:35
现在玩私服都得打开影子系统
影子系统是啥
听着像是虚拟机 花葬 发表于 2024-8-21 12:35
现在玩私服都得打开影子系统
私服私服{:1_926:}是有风险的 我都是自己写版本从来没中过毒哈哈哈哈哈 搞一个简单点的外挂用用{:1_907:} {:1_907:}我为了玩私服，专门搞了台win7的电脑，都懒得用自己主力机 找到lock-dns服务里面停止，然后删掉就行，360修复一下
页:
[1]
2