IE瀏覽器主頁被頻繁綁架的奧秘

月下閑人 2009-07-01

展開全文

IE瀏覽器主頁被頻繁綁架的奧秘

見怪不怪：主頁被強行修改
網(wǎng)友A：什么東西把主頁改成930930.com了；
網(wǎng)友B：雙擊IE就上了一個導航頁，修改為自定義的主頁后，重啟IE發(fā)現(xiàn)修改完全無效；
網(wǎng)友C：主頁被改后，我在注冊表里搜索這個地址，刪除之后重啟電腦，結(jié)果打開IE還是那個惡意網(wǎng)址導航。

--------------------------------這里是分隔線-------------------------------------

為什么IE主頁會被強行修改？
IE主頁是瀏覽互聯(lián)網(wǎng)的窗口，并不是所有用戶都會自己設(shè)定主頁，hao123的成功證明導航類網(wǎng)站存在巨大商機，在這個導航頁里，每個鏈接和搜索窗口都可以成為商品，只要這個主頁實現(xiàn)足夠高的訪問量。這些訪問量，會給主頁的作者帶來收益。只是hao123已不可復制，越來越多的人企圖通過惡意軟件讓自己成為hao123。

另外，還有很多共享軟件，因為在中國發(fā)行共享軟件幾乎是無利可圖的，注冊費的收入相當有限，軟件開發(fā)者只能從第三方獲利。而這種作法又會被稱為流氓，采用這種辦法獲得的共享軟件，也會自然而然的被戴上流氓軟件的帽子。

--------------------------------這里是分隔線-------------------------------------
綁架IE都用的什么招
1 常規(guī)方法——IE瀏覽器提供給大家DIY主頁的方法
打開IE經(jīng)常要訪問的網(wǎng)站，可以直接在IE的選項中添加主頁。
（1）手工設(shè)置的方法
方法一：右鍵桌面 Internet Explorer圖標－－屬性－－主頁
方法二：打開IE瀏覽器－－工具－－Internet選項－－主頁

（2）惡意程序修改主頁的方法
惡意程序一般是通過修改注冊表中關(guān)于IE主頁設(shè)置項目來將主頁修改為自己的網(wǎng)站
對應(yīng)的注冊表項目（可以通過注冊表編輯器修改：開始－－運行－－輸入regedit.exe 回車依次打開）
主鍵：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main
鍵名：
"Start Page" REG_SZ

--------------------------------這里是分隔線-------------------------------------
2.IE瀏覽器快捷方式被惡意修改
（1）桌面和快速啟動欄IE瀏覽器快捷方式修改
步驟一：隱藏桌面默認存在的IE快捷方式，或者直接刪除
惡意軟件通常通過修改注冊表的方法來隱藏或者刪除IE快捷方式
主鍵：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\
子鍵NewStartPanel
鍵值：{871C5380-42A0-1069-A2EA-08002B30309D} 設(shè)置為 1 或者直接刪除
步驟二：再新建一個IE快捷方式，修改目標屬性，在正常的IE快捷方式后面添加惡意網(wǎng)站

--------------------------------這里是分隔線-------------------------------------
3 深度挖掘的技巧－－－IE關(guān)聯(lián)項目被修改
常規(guī)修改很容易被一些軟件修復，惡意軟件作者又挖掘出另一個修改注冊表鎖定IE主頁的方法
主鍵：HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}
子鍵：shell\OpenHomePage\Command
鍵值："%Programfiles%\Internet Explorer\iexplore.exe"
iexplore.exe 后面添加惡意網(wǎng)址

--------------------------------這里是分隔線-------------------------------------
IE主頁被修改的案例
IE主頁被修改鎖定通?；谇懊娼榻B的哪幾種方式，現(xiàn)在我們來看看惡意軟件作者怎么傳播惡意軟件，怎么綁架IE主頁。

1 通過軟件捆綁的方式，通常為游戲，破解補丁，外掛等
某網(wǎng)友在下載魔獸爭霸的時候發(fā)現(xiàn)IE主頁被修改為www.2345.com 怎么修改也沒有效果，最好發(fā)現(xiàn)原來這個重達793MB的魔獸本身就是個禍害。從多特下載頁面發(fā)現(xiàn)以下描述
“提醒:此軟件安裝要首頁是www.2345.com才可以安裝,請不愿意支持多特用戶不要下載”
其他參考：http://bbs./viewthread.php?tid=21987384

2 使用rootkit驅(qū)動技術(shù)保護注冊表鍵值，普通方法根本無法修改
就像殺毒軟件保護自己不被病毒破壞一樣，病毒作者也通過rootkit在電腦和用戶之間構(gòu)筑了一道堅固的墻壁阻止用戶修改IE主頁設(shè)置。最近流行的修改主頁為9348.cn，kuku530.com的就是這種情況。金山急救箱目前可以通過二次清除的方式來清除這個惡意軟件。

--------------------------------這里是分隔線-------------------------------------
IE主頁被修改后的解決辦法
步驟一：使用金山系統(tǒng)急救箱掃描清除綁架IE主頁的惡意軟件
在嘗試手動編輯修改IE主頁之前，應(yīng)首先檢查系統(tǒng)是否存在惡意軟件，如果不把綁架IE主頁的惡意軟件清除，其它所有修復操作都將無效。

主頁被鎖定的急救箱掃描截圖.png

--------------------------------這里是分隔線-------------------------------------
步驟二：如果急救箱修復后，檢查IE快捷方式，發(fā)現(xiàn)被修改，可直接刪除桌面的IE快捷方式，再重建一個
操作方法：
雙擊我的電腦，瀏覽到c:\Program Files\Internet Explorer\IEXPLORE.EXE，右鍵點擊IEXPLORE.EXE發(fā)送到桌面快捷方式。

或者編輯注冊表，修復桌面顯示IE快捷方式（不推薦，畢竟編輯注冊表是有風險，新建一個新的快捷方式更容易并且更安全）
檢查主鍵：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\
子鍵NewStartPanel
檢查子鍵{871C5380-42A0-1069-A2EA-08002B30309D} 的值，將1 修改為0，如果沒有該鍵值，可新建一個。

--------------------------------這里是分隔線-------------------------------------
步驟三：因金山系統(tǒng)急救箱的修復模塊僅支持windows XP操作系統(tǒng)，如果您使用其它windows操作系統(tǒng)，請檢查并修改以下注冊表鍵。
點擊開始，運行中輸入regedit，啟動注冊表編輯器
檢查主鍵：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main
鍵名：
"Start Page" REG_SZ
將Start Page的值修改為空白，或者自定義網(wǎng)址

檢查主鍵：HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}
子鍵：shell\OpenHomePage\Command
鍵值："%Programfiles%\Internet Explorer\iexplore.exe"
檢查iexplore.exe 后面有沒有添加惡意網(wǎng)址，如果有就刪除添加的這個惡意網(wǎng)址。