2023年12月1日发(作者：)

解析Ｉ Ｅ被修改原理

圈很多 部有越 ．被病毒修．政胞经 ．，．那刍． 悬甭知

馗 ． 什各会被修 ？…病毒悬通过 些 式修改． ．的７．

启动参数有两种方式：

方法一，在目标里ＩＥ路

径后＋空格４－病毒网址，如

图４所示。这样，无论您怎么

打开ＩＥ，进入的都是病毒网站

我们又该如何修复被改的ＩＥ？

一大丰招标中心严顺斌

ＷＷＷ．ＸＸＸＸ ｃｏｒＩ１。

方法二，利用Ａｂｏｕｔ

出问题的ＩＥ

很多人都遇到过这

协议，在注册表子项

ＨＫＥＹ

＿

ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼

样的现象：ＩＥ被修改，无

ＳＯＦＴＷＡＲＥ、Ｍｉｃｒｏｓｏｆｔ、

Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ＼Ａｂｏｕｔ

法修复，或者修复成功，

重启电脑后再次出现同 ＵＲＬｓ的右侧，新建一个

样的症状。

字符串值（ＸＸＸＸ），值为

ｈｔｔｐ：／／ｗｗｗ．ＸＸＸＸ ｃｏｍ，

这时，要想解决问

题，首先要做的就是确认 在桌面上新建一个浏览

桌面上的ＩＥ图标是否是 器快捷方式后添加ａｂｏｕｔ：

真的ｌＥ，是ｌＥ的快捷方式 ＸＸＸＸ之类的网址，如图５

还是只是个假图标？

辨别方法：在桌面上

所示，从而控制主页。

病毒为了让ＩＥ．陕捷

方式看起来更像是真

的ＩＥ图标上右击查看菜

单，如图１所示即为真

ＩＥ，如图２所示即为ＩＥ的

快捷方式，如图３所示则

是假ＩＥ（举例）。

的，还会把快捷方式小

箭头去掉。只需进入注

册表子项ＰＩＫＥＹＪＯＣＡＬ＿

ＭＡＣＨＩＮＥ＼ＳＯＦＴＷＡＲＥ＼

ＣＩａｓｓｅｓ＼ＩｎｔｅｒｎｅｔＳｈｏｒｔｃｕｔ，

特别是右键菜单中的

“属性”不在最下面的，基

本可以认定不是真ｌＥ。

删除右侧键ＩｓＳｈｏｒｔｃｕｔ。

解决办法：

直接删除ＩＥ快捷方

式即可。

ＩＥ快捷方式被篡改

快捷方式被改，是指

要把想Ｉｎｔｅｒｎｅｔ快捷

方式小箭头补回来，就在

注册表中建立ＩｓＳｈｏｒｔｃｕｔ

（字符串）键，键值为空，

而后重启系统即可。

利用快捷方式的目标启

动参数来启动病毒预先

设置的网址。

网管员 瓣・２０１１．１１・ ・１０１・

一一 一 一 隧隧瑟蟹■■■●嚣氍融翻臃隧隧●●■■——■

桌面出现假ＩＥ

捷键，以便模仿的更像。

Ｏｐｅｎ下ｃｏｍｍａｎｄ右侧

病毒制作假ｌＥ也有两种实

默认值为Ｃ：＼Ｐｒｏｇｒａｍ Ｆｉｌｅｓ＼

现方法：

解决办法：删除上面提到的

Ｉｎｔｅｒｎｅｔ ＥｘｐＩｏｒｅｒ＼Ｃ０ｎｎｅｃｔｉｏｎ

方法一，添加ＣＬＳＩＤ

两个地方对应的ＣＬＳＩＤ。

Ｗ ｚａｒｄ＼ｉｅ×ｐＩｏｒｅ．ｅｘｅ ｈｔｔｐ：／／

病毒在注册表子项

ＷＷＷ ＸＸＸＸ．ｃｏｒｎ。属性（＆Ｄ）

ＨＫＥＹ

——

ＬＯＣＡＬ

ＭＡＣＨＩＮＥ、

方法二。修改已有ＣＬＳＩＤ

下ｃｏｍｍａｎｄ右侧的默认值

ＳＯＦＴＷＡＲＥ、Ｍ ｉ ｃｒｏｓｏ ｔ、

这种方式更为隐蔽，不

为ＲｕｎｄＩＩ３２．ｅｘｅ ＳｈｅＩＩ３２．

Ｗｉｎｄｏｗｓ＼Ｃｕ，，ｅｎｔＶｅｒｓｉｏｎ、

会在ＮａｍｅＳｐａｃｅ下新建一个

ｄｌＩＣｏｎｔｒｏ１

．

．＿

ＲｕｎＤＬＬ Ｉｎｅｔｃｐ１．ｃｐｌ。

糍

Ｅｘｐｌｏｒｅｒ＼Ｄｅｓｋｔｏｐ＼ＮａｍｅＳｐａｃｅ和

ＣＬＳＩＤ，而是修改ＮａｍｅＳｐａｃｅ 当然，上述操作完成之后，

麓

ＨＫＥＹ—ＣＬＡＳＳＥＳ

＿

ＲＯＯＴ＼ＣＬＳＩＤ

下的四个默认ＣＬＳＩＤ。例如

还有一个关键的步骤要做，就

一

下新建ＣＬＳＩＤ。 对｛ｅ１ ７ｄ４ｆｃＯ－－５５６４—１ １ ｄ１— 是修改图标的名字，否则桌面

８３ｆ２－－Ｏ０ａＯｃ９０ｄｃ８４９｝（搜 索

上ＩＥ图标的名字就会是“搜索

ＮａｍｅＳｐａｃｅ下面通常只有四个

结果ＣＬＳＩＤ）下手，这时再看 结果”了。

子项，如果多出一个或多个，那

ＮａｍｅＳｐａｃｅ就不容易被发现了。

只需进入注册表子

就要注意是否是病毒了。

其实病毒只是修改了

项ＨＫＥＹ—ＣＵＲＲＥＮＴ—ＵＳＥＲ＼

ＨＫＥＹＣＬＡＳＳＥＳ

＿

ＲＯＯＴ＼ＣＬＳＩＤ Ｓｏｆｔｗａｒｅ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼

例如，病毒在注册 对应的｛ｅｌ ７ｄ４ｆｃＯ一５５６４—１１ ｄ１ ＳｈｅｌＩＮｏＦｌｏａｍ＼ＩＶＩＵｌＣａｃｈｅ，找到“＠

表ＨＫＥＹ—ＣＬＡＳＳＥＳ～ＲＯＯＴ＼ ８３ｆ２－－ＯＯａＯｃ９０ｄｃ８４９｝，修改的

－

Ｃ：＼＼ＷｌＮＤＯＷＳ＼＼Ｓｙｓｔｅｍ３２＼＼

ＣＬＳＩＤ下新建了一个ＣＬＳＩＤ 方式如图７所示。

ＳＨＥＬＬ３２．ｄｌ１

－

．

３０５２０”键，将

（｛９８Ｄ５２１ ＢＤ—ＢＤ５０一Ｄ１ ２３—

其键值设为“Ｉｎｔｅｒｎｅｔ

３５７６－－７２Ｄ１ ２Ｂ５５６３３Ｄ｝），

鼗￡ ｛搴８Ｄ５２ｉＢＤ呻ｎｓ０ ｌ２ ３５幅吖２Ｄｌ２暑５ｓ６３３丑｝

。 ｆ ｔＩｃ

Ｅｘｐｌｏｒｅｒ”即可。

在Ｎａｍｅｓｐａｃｅ下同样建

立这个项。然后病毒

解决办法：到正常机

在ＣＬＳＩＤ的｛９８Ｄ５２１ ＢＤ— 器拷贝一个正确的没有被

ＢＤ ５Ｏ—Ｄ１ ２ ３—３ ５ ７６—

ｅ ｎａ

上面提到是搜索 修改的（

…

ｅ ＝ｈｅｌｌｆｏｌｄｅｒ

７２Ｄ１ ２Ｂ５５６３３Ｄ｝下做了如

图６添加ＣＬＳＩＤ来制作假ＩＥ

结果的ＣＬＳＩＤ），删除有问题

图６所示的内容。 的ＣＬＳＩＤ后导入正确的。

稿毯 【ｅｌＴｄ嘎ｆｃＯ一５５６４一ｔｌｄｌ－８３￡ ００１０ｃｇＯｄ《８唾ｇ）

Ｏｐｅｎ右侧默认值

国口ｎｅ￡ 吐ｔＩｅｏＩＩ

为“打开主页（＆Ｈ）”。

ＩｌＩＰｒｏｃｓｅｒ ｒ３２

０ｐｅｎ下ｃｏｍｍａｎｄ右侧

： 国ＩｚＢｒｏｃＳｅｒｖｅｒ３２

ＩＥ为真。但无法更改首

瓣囟Ｓｈｅｌｌ

页设置

默认值为ｃ：＼Ｐｒｏｇｒａｍ

国￡ Ｏｐｅｎ

以往病毒就是在

Ｆｉ Ｉｅｓ＼ｌｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ＼

国 庸性（鲫）

嘲

注册表子项ｌ ＩＫＥ丫＿

、ＥＸＰＬＯＲＥ。ＥＸＥ ｈｔｔｐ ｔ，／ ＵＳＥＲ＼Ｓｏｆｔｗａｒｅ＼

－

￡ ｅｏｌｈｍ ａ

ＬＯＣＡＬ

＿

ＳｈｅｌｌＦｏｌｄｅｒ

ｗｗｗ．ＸＸＸＸ．ｃｏｒｎｏ

图７修改已有ＣＬＳＩＤ来制作假ＩＥ

Ｍｉ ｃ ｒｏｓｏｆｔ＼Ｉｎｔ ｅ ｒｎｅｔ

属性（＆Ｒ）下的

Ｅｘｐｌｏｒｒｅ＼Ｍａｉｎ处修改

ｃｏｍｍａｎｄ右侧默认值 ＳｔａｒｔＰａｇｅ键值，但现在

为ｒｕｎｄｌＩ３２．ｅｘｅ ｓｈｅｌ１３２．

的病毒通常都是修改

ｄｌＪＣｏｉ＂１ｔ ｒｏＩＲｕｎＤＬＬ

．—

ＪＥ的ＣＬＳＩＤ启动参数

ｉｎｅｔｃｐ１．ｃｐｌ，这里就是为了

ＨＫＥＹ

＿

ＣＬＡＳＳＥＳ＿ＲＯＯＴ＼

调用ＩＥ属性做的一个快

ＣＬＳＩＤ＼｛８ ７１ Ｃ ５３８０一

４２Ａ０－－１ ０６９一Ａ２ＥＡ－－０８００２ 解决办法： 保护ＩＥ的方法总结

Ｂ３０３０９Ｄ｝＼ｓｈｅｌＩ＼ＯｐｅｎＨｏｍｅ 删除路径下的Ｓｃｒｉｐｔｓ项， １．防止病毒利用ｄｅｓｋｔｏｐ．ｉｎｉ

值，如图８所示。这样，无论ＩＥ 写的内容，特别是开机启动中

平时多注意ｄｅｓｋｔｏｐ．ｉｎｉ中 Ｐａｇｅ＼Ｃｏｍｍａｎｄ，修改右侧默认 去掉了关机、注销等事件脚本。

属性中设置的是什么网址，打 找回真ｌＥ 的此文件。

开的都是ＷＷＷ．ＸＸＸＸ．ｃｏｒｎ。 在病毒篡改ｌＥ过程中，真 ２．防止假图标

解决办法： 的ＩＥ很多时候会被隐藏起来。 关注注册表子项

删除后面多余的网址，例 那么如何找出真ＩＥ呢？ＨＫＥＹ—ＬＯＣＡＬ—ＭＡＣＨＩＮＥ＼

如本例中的ＷＷＷ．ＸＸＸＸ，ｃｏｒｎ。 第一注册 ＳＯＦＴＷＡＲＥ＼Ｍｉ Ｃ ｒＯｓＯｆｔ＼ 步，进入

表ＷｉｎｄＯＷＳ＼Ｃｕ ｒ ｒｅｎｔＶｅｒｓｉｏｎ＼ ＨＫＥＹ—ＣＵＲＲＥＮＴ＿ＵＳＥＲ＼

ＩＥ重启之后又恢复异常 Ｓｏｆｔｗａｒｅ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ Ｅｘｐｌｏｒｅｒ＼Ｄｅｓｋｔｏｐ＼ＮａｍｅＳｐａｃｅ。

（１）开机启动 Ｃｕ ｒ ｒｅｎｔＶｅ ｒｓｉｏｎ＼ＥＸＰＩＯ ｒｅ ｒ＼ ３．防止利用关机脚本

一

Ｈｉｄｅ Ｄｅｓｋｔｏｐｌｃｏｎｓ， 在子 给Ｈ Ｋ Ｅ Ｙ—Ｌ Ｏ Ｃ Ａ Ｌ— 般病毒都会藏在注册表

ｒｕｎ项下，以便能够随着系统 项ＮｅｗＳｔａｒｔＰａｎｅｌ和Ｃｌａｓｓｉｃ ＭＡＣＨｌＮ Ｅ＼ＳＯＦＴＷＡＲ Ｅ＼

的启动而启动。不过，也有一 ＳｔａｒｔＭｅｎｕ下分别有一个 Ｍ ｉ Ｃ ｒ Ｏ Ｓ Ｏ ｆ ｔ＼Ｗ ｉ ｎ ｄ Ｏ Ｗ Ｓ＼

些病毒利用的是ｄｅｓｋｔｏｐ．ｉｎｉ， ｛８７１ ｃ５３８Ｏ一４２ＡＯ一１ ０§９一 ｃｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｇｒｏｕｐ Ｐｏｌｉｃｙ＼

会放在启动里来启动ｌＮｌ关联 Ａ ２ ＥＡ一０８００ ２Ｂ ３０ ３０９Ｄ｝ Ｓｔａｔｅ下的Ｍａｃｈｉｎｅ项加权限。

扩展，并启动ＶＢＳ脚本。 （ＲＥＧ＿ＤＷＯＲＤ），将每一个的值４．防止ｌＥ图标掩藏

子项ＨＫＥＹ ＣＬＡＳＳＥＳ＿ＲＯＯＴ＼ 第二步，在注册表 ＣＵＲＲＥＮＴ—ＵＳＥＲ＼Ｓｏｆｔｗａｒｅ＼

关注注册表子项ＨＫＥＹ一 ＩＮｌ扩展关联位于注册表 都设为Ｑ。

Ｍ ｉ Ｃ ｒ Ｏ Ｓ Ｏ ｆ ｔ＼Ｗ ｉ ｎ ｄ Ｏ Ｗ Ｓ＼ ｉｎｉｆｉｌｅ＼ｓｈｅｌｌｅｘ ＨＫ Ｅ Ｙ—Ｃ ＵＲ Ｒ ＥＮ Ｔ—Ｕ Ｓ Ｅ Ｒ＼

ＶＢＳ脚本中写的内容类 Ｓｏｆｔｗａｒｅ＼Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼ Ｃｕ ｒ ｒｅｎｔＶｅ ｒｓｉｏｎ＼ＥＸＰＩＯ ｒｅｒ＼

似：［ｉｎｔｅｒｎｅｔｓｈｏｒｔｃｕｔ］ＵＲＬ＝ｃ：＼ ＣｕｒｒｅｎｔＶｅｒｓｉｏｎ＼Ｐｏｌｉｃｉｅｓ下 有 Ｈ ｄｅＤｅｓｋｔｏｐＩｃｏｎｓ和ＨＫＥＹ＿

ｗｉｎｄｏｗｓ＼ｘｘ．ｖｂｓ。 Ｅｘｐｌｏｒｅｒ右键的Ｎｏｌｎｔｅｒｎｅｔｌｃｏｎ， ｃｕＲＲＥＮＴ—ｕｓＥＲ＼Ｓｏｆｔｗａｒｅ＼

但ＶＢＳ中写的位置是修改 将其值改为０，ｎｏｎｅｎｕｍ下 Ｍｉｃｒｏｓｏｆｔ＼Ｗｉｎｄｏｗｓ＼Ｃｕｒｒｅｎｔ

注册表中上面提到的关于首页 ｛８７１ Ｃ５３８０－－４２Ａ０～１ ０６９一 Ｖｅｒｓｉｏｎ＼Ｐｏｌｉｃｉｅｓ。

修改的地方。 Ａ ２ ＥＡ一０８００ ２Ｂ３０ ３０ ９Ｄ｝

（２）关机事件 （ＲＥＧ＿ＤＷＯＲＤ）的值也设为０。 如果不想一个个地在注册表

当您在开机启动的任何地 防止真ＩＥ消失的方法： 中查找可能出问题的注册表子

方都找不到任何蛛丝马迹的时 禁止项ａｄｍｉｎｉｓｔｒａｔｏｒｓ的“设 项，想直接跳转到这些经常被病

候，就要注意病毒是不是利用 置数值”和“创建子项”权限， 毒修改的地方，可以试试笔者自

了关机脚本。 如图９所示。 已鳊写的“ＭＹ辅杀工具”，下载地

一 ～ …

址是ｈｔ；ｔｐ：／／ｓｑ．ｏｎｌｉｎｅｄｏｗｎ．

ｊ －－－－－－－－－－－－－－－——－－—・—－・－－－－－・－－－－－－－－－－－－－－－－—－—－－－－－－－－－——－—－－—・—－－－－－－・・－－・——一

誊机脚本通常是在 名称ｌ 亘 暖 圉 西 ＝＝ｌ 。 ／ｓｏｆ￣／’０７６８７．ｈｔｍ ｏ ＭＹ

ＨＫＥＹ

辅杀工具能够快速修复病 ＬＯＣＡＬ—Ｍ＾ｃＨＩＮＥ＼ 应用到啦】豫 手 ……一溺

允许 毒经常修改的地方，快速 Ｓ０ＦＴＷＡＲＥ＼Ｍｉｃ ｒ ０ ｓｏｆｔ＼ ｊ权龋屯）：拒绝

Ｗｉｎｄｏｗｓ＼Ｃｕｒｒｅｎｔ Ｖｅｒｓｉｏｎ＼ ： ｌ奎诲数德 ｌ 慧 冒 门 口 冒 修复系统中的各种故障，一’ 。’ ’ ’ ’

Ｃｒ ｒ ０ Ｕ ｐ Ｐ ０ｌｉ ｃ ｙ＼Ｓｔ ａｔ ｅ＼ ｝ ｌ设置数值 口 囝 快速跳转到系统中的重要

本运行路径。 必要的麻烦。

Ｍａｃｈｉｎｅ＼Ｓｃｒｉｐｔｓ下添加脚 ：下添加脚 睁璜 圈９禁止权陬权限 口 豳 ｛ 文件夹，帮您省去很多不

口。＿口 ＾＾． －＿． ．ｄ＾ｏ．