『原创』IE主页被修改？通过行为分析完全清除go2000

ie主页被go2000修改　　最近很多电脑都出现IE主页被强制绑定的情况，就像我前几天写的删除桌面恶意的IE图标776la.com。关于go2000.com\go2000.cn\go2000.cc网址导航这个流氓其实我在暑假的时候就写过一篇go2000.com的清除方法的文章，但是当时参考的是人家的处理方法，因为我自己没有遇到过，所以没有病毒样本进行分析。

　　虽然这个东西出来已经很久了，可是发现网上还是有很多人被go2000主页困扰，看来的确很顽固！于是我在网上搜索go2000的样本，从http://soft.go2000.cn/go2000.exe下载到了一个官方的主页设置工具，在虚拟机里进行了试验。通过我对它的行为分析，截取到了它对IE主页的注册表修改：

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
“Start Page”=”http://www.go2000.com”

[HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command]
“”=”C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE”

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command]
“”=”C:\\Program Files\\Internet Explorer\\iexplore.exe http://www.go2000.com”

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu]
“{871C5380-42A0-1069-A2EA-08002B30309D}”=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel]
“{871C5380-42A0-1069-A2EA-08002B30309D}”=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}]
“”=”"

　　我们先不管这个，现在打开IE，发现主页已经变成了go2000.com。在Internet选项里面修改主页，再次打开的时候还是go2000.com。还有快速启动栏里的IE打开也是go2000.com。

　　好了，问题已经出来了，怎么清除？其实很简单了，因为我上面已经监视到了它对注册表的修改，所以只要把上面的改回去就可以了。怎么改不用我多说了吧？这里我要提醒一下，在修改[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]的Start Page时提示无法编辑，是程序对这个键值设置了权限，修改成Everyone完全控制即可。最后，不要忘了右击快速启动栏里的IE快捷方式，在“目标”里去除go2000.com的网址链接。

　　这样虽然主页被完全修改回来了，但是我觉得很多网友遇到并没有那么简单。我也怀疑我拿到的并不是真正厉害的go2000恶意主页捆绑样本。如果谁有，还望发我一份。


本站原创文章如转载，请务必注明：『开心技术乐园』 - http://www.hack520.org

本文永久链接地址：http://www.hack520.org/ie-go2000-com-cn

标签: 日期: 2010年2月02日 21:42 | 分类: 系统安全 | 评论: 5 条 | 人气: 2,181

  1. 锋行
    四月 4th, 2010 at 17:05 | #1
    回复 | 引用

    我是go2000的受害者啊，而且很深啊，我下了个软件安装后，他把IE主页改了，我的桌面也改了，把我电脑主题性质也改了，还有IE也被删了，桌面上的用户文件也没了，快速启动栏也没了。
    希望哪个大侠能帮帮忙，上面有我的Email

    [回复]

  2. David
    四月 6th, 2010 at 15:20 | #2
    回复 | 引用

    网上的方法都试过，注册表也改了，一点用都没有！急！

    [回复]

  3. 7788521.net
    四月 18th, 2010 at 22:24 | #3
    回复 | 引用

    主要症状为主页被修改为go2000 .com，传播途径是你到newyx .com下载游戏自带,或者在网上下载ghost版的xp系统自带，据我猜测其同属97sky .cn这家网站，包括qq5 .com，本相同。表象：直接设置ie首页，为ie快捷方式添加参数。

    解决方案，请查看这里：（放在我博客中，里面有详细解决方案，不是病毒，放心查看。）http://www.7788521.net/xx/post/101.html

    [回复]

  4. rosary
    四月 19th, 2010 at 20:19 | #4
    回复 | 引用

    无法改为完全控制

    [回复]

  5. f
    四月 27th, 2010 at 21:48 | #5
    回复 | 引用

    改了还是不行

    [回复]