- N +

Wegame登陆时提示电脑感染木马的解决过程

Wegame登陆时提示电脑感染木马的解决过程原标题:Wegame登陆时提示电脑感染木马的解决过程

导读:

近期发现网吧客户机随机出现登陆wegame时会提示有木马的问题,今天说的只是其中一个原因,因为发现非以下环境也有人反馈,只是还没有远程看过的,因为要先找到有这样问题的机器,然后...

近期发现网吧客户机随机出现登陆wegame时会提示有木马的问题,今天说的只是其中一个原因,因为发现非以下环境也有人反馈,只是还没有远程看过的,因为要先找到有这样问题的机器,然后找到病毒,然后部署PM工具抓怎么来的。

  • 发现问题

先说下现象吧,开机登陆wegame就随机会出现如下图的情况,然后这个机器重启下就又正常了。

409433344.png

  • 分析问题

昨天,也就是6月4日,QQ用户“俺们划船不用桨”给我找到了现象的机器,本来我是想给wegame的人远程看的,可是没有回我消息,毕竟找到这样的环境也是不容易的,平常都是重启掉的了。我远程后输入完账号,到输入密码的地方就会提示木马了,鼠标放到输入地方就会提示。

这个时候我也没什么思路,就问了我们公司牛人,也就是打狗英雄,我们都叫他老蒋。他让我下个腾讯的PC管家看看,结果真的查出来有木马,tgpcc.dll这个文件。

3762086450.png4269472611.png

有这个木马的时候,键盘鼠标就好像不受控制的了,想去把这个木马改名字,操作不了,只选这个木马杀了就可以了,鼠标键盘也可以正常操作的了。

4001635696.jpg

我把这个木马传过来,在我内部的机器上,同样的目录下C:\Users\Administrator\AppData\Roaming里,然后打开wegame就一样提示木马了。

既然找到了木马,那么就要查这个木马是怎么来的了,这个用户还是非常的配合,这里要表扬下,让他客户机上部署了PM工具,需要是开机就启动的。这里提供个维护大师技术A制作的“PM挂盘部署”工具,可以达到最优先启动,操作很简单按里面的说明就可以了。

下载地址:挂盘部署PM.rar

部署好后,然后就在反复测试,开机就去登入wegame,看看有没有提示木马的,因为要有这样的才可以分析PM日志,开了30-40台机器没有出现,我让他耐心点,终于功夫不负有心人,出现了这样的机器,抓到了PM日志,首先查找tgpcc.dll名字,查到了他的PID是6788,然后点进程树:

4002599208.png2074427240.png

具体原因不清楚,为了进一步验证,昨天下午5点多的时候先取消了文化软件的运行,到现在没有出现这样的问题。

目前来说,其他用户没有这个软件的也出现这样的问题,具体原因还不清楚,我的意思是也需要这样的去排查下。

如果您有好的文章希望爱网吧(Www.Iwangba.Net)帮助分享和推广,猛戳这里我要投稿

1

0
返回列表
上一篇:
下一篇:

发表评论中国互联网举报中心

快捷回复:

    评论列表 (暂无评论,共3530人参与)参与讨论

    还没有评论,来说两句吧...