Chrome主页被劫持

istar小明 · 发表于 2020-6-17 13:12

前两天发现自己打开chrome就会被定位到

https://www.newduba.cn

我以为是普通的主页不篡改结果却发现不那么简单

查看chrome的设置主页设置正确

这里我考虑是不是被hook了

网上有人说是kernel32.dll的CreateProcess函数被添加了跳转命令

CreateProcessA,CreateProcessW,CreateInternProcessW和CreateInternProcessA这些函数都好象是正常的

接下来祭出神器火绒剑

启动chrome 扫描一下钩子!

可以发现有这些钩子信息

其中发现一个可疑的dll
dg3rdhmpg.dll

把这个dll拽入od 果不其然发现如下关键词

对这些浏览器进行劫持 //业务还挺广泛

将主页搜索栏 text进行修改达到修改主页的效果

我们修复这个钩子强制删除这个dll

这样就万事大吉了吗并没有

我们现在通过主页的图标进行访问发现可以并没有被劫持但通过任务栏进行访问还是会被劫持

这是一个什么机理我以为是在启动的时候添加了命令行

通过一顿折腾发现了通过任务栏启动的chrome 是通过一个

dghm.exe的程序间接启动的

我们分析这个程序终于找到了你

Kingsoft Corporation : 金山软件股份有限公司

原来是雷猴子的流氓程序

进一步分析找到这是驱动精灵的附属服务

简单卸载驱动精灵或者卸载 dgserver这个服务

回到清爽的主页

=-=

最后更新于 2020-06-17 07:09:22

九幽小丑 · 发表于 2020-6-17 14:16

你将受到所有人的崇拜！

192939 · 发表于 2020-6-17 21:01

万万没想到

1946010 · 发表于 2020-6-17 21:08

厉害了，老哥

a420013001 · 发表于 2020-7-3 03:01

虽然看的过程很快，但是鬼知道楼主经历了多久

wdb123 · 发表于 2020-7-8 17:03

雷猴子哈哈

sunrui77 · 发表于 2020-7-22 07:00

猴子是准备向2345学习了么

不苦小和尚 · 发表于 2020-7-22 09:27

试试看，现在的软件越来越流氓了

小神 · 发表于 2020-9-3 09:47

驱动精灵什么2345都会劫持浏览器了现在。

拿着雪糕 · 发表于 2022-2-1 12:41

十分感谢大佬

		自动登录	找回密码
密码			立即注册

[其他图文] Chrome主页被劫持