大战传奇私服篡改DNS，锁定DNS

wajimjun · 发表于 2024-8-20 21:35

本帖最后由 wajimjun 于 2024-8-20 22:00 编辑

上周无聊下载了传奇私服，下载解压缩后，火绒提示有木马，自动删除了，我为了玩该私服，把程序设置成信任，恶心的事情发生了，上网奇卡无比，就去查了下DNS发现被修改了DNS,改回自动后，发现还是被反改回去。
第一：火绒杀毒，360断网急救箱都用过，还是无法杀此木马

第二：于是打开 YDArk 查看有没可疑的进程，发现个好东东 DNS-LOCK 打开一看果然锁住垃圾DNS，于是解锁垃圾DNS，回去修改正确DNS，可是还是无法修改DNS（修改后火绒老是提示，木马是一串网址）

第三：尝试打开edga浏览器中的代***理设置设置一看好家伙，自动代***理那里就是火绒提示的病毒网址，但是 edga 代}理设置是灰色，明显是病毒修改了设置不让改，那就找到注册表计算机\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings打开一看好家伙，明显有一行代{过}{滤}理是病毒网址。

第四：删除此注册表设置，还是会自动生成，于是用注册表监视工具 RegFromApp 看看是哪个恶心的木马在反写修改注册表，打开RegFromApp 后需要选哪个进程来监控注册表，大概看了下进程，有个进程很可疑，进程名：sqw868566.exe, 文件位置系统盘:\Windows\SysWOW64\config\systemprofile\AppData\Local\aSSSPYD 于是就选择此进程，监控注册表，对注册表木马网址进行删除后，果然发现此进程反写进木马网址，OK找到此进程后，找到文件位置进行删除，

再删除注册表的木马网址，修改正确DNS，问题解决。

wajimjun · 发表于 2024-8-21 21:21

walykyy 发表于 2024-8-21 19:24
找到lock-dns服务里面停止，然后删掉就行，360修复一下

不行的，双重锁，一个是 dns-lock锁住另外一个是使用浏览器代{过}{滤}理，自动更新木马网站

花葬 · 发表于 2024-8-21 12:35

现在玩私服都得打开影子系统

auditorAA · 发表于 2024-8-21 13:14

玩传奇的顶一顶

shqvc · 发表于 2024-8-21 13:15

如果不是你会这个就只能受着了

shqvc · 发表于 2024-8-21 13:16

花葬发表于 2024-8-21 12:35
现在玩私服都得打开影子系统

影子系统是啥
听着像是虚拟机

matrixzpc · 发表于 2024-8-21 13:28

花葬发表于 2024-8-21 12:35
现在玩私服都得打开影子系统

私服私服

是有风险的

lcg888 · 发表于 2024-8-21 14:13

我都是自己写版本从来没中过毒哈哈哈哈哈

qwaa · 发表于 2024-8-21 14:25

搞一个简单点的外挂用用

大禹、 · 发表于 2024-8-21 15:39

我为了玩私服，专门搞了台win7的电脑，都懒得用自己主力机

walykyy · 发表于 2024-8-21 19:24

找到lock-dns服务里面停止，然后删掉就行，360修复一下

帐号		自动登录	找回密码
密码			注册[Register]