【杂记】Windows首页挟持病毒查杀过程记录

一、背景

帮人排查电脑问题，顺便简单记录下排查过程，因为是远程排查且比较紧急，排查过程忘了截图，纯文字记录下过程及结果。

二、操作系统

Win7 x64

三、问题现象

• explorer资源管理器不断报错重启（主要反馈修复的问题）
• 打开IE\CHROME浏览器被挟持到指定主页（恶意站点信息：*.660055.com）

四、排查步骤

本次主要使用了 【火绒剑】的系统行为监控及钩子扫描模块进行排查

首先，通过【火绒剑】行为监控，监控Chrome启动行为，发现启动时，被携带了恶意站点的启动参数
而启动chrome的应用是explorer.exe

那么为什么explorer启动chrome时会恶意带上这参数呢？

猜测：
结合explorer不断重启的现象猜测，比较大的可能就是explorer给挟持了，而这挟持应用又有BUG导致explorer不断地报错重启。
验证：
继续通过【火绒剑】进程模块-钩子分析，发现explorer进程加载的模块多了几个yyhp_w.dll的加载
并预期地挟持了CreateProcess相关函数，遂定位到这个模块位置，将相关文件进行了强制删除

删除后，重启explorer.exe，系统恢复正常。

最后，重新用火绒进行了病毒查杀，在原本杀不出任何病毒的情况下，这次竟然杀出了2个病毒：

• 一个是下载者
• 一个是驱动相关病毒

病毒查杀结果截图：