哪位大神帮研究下，这个病毒会去改我的dns！

w5970303423

最近无聊，折腾些电脑的问题，先前一直发现笔记本IP地址和dns不好改，老是会有一些自动填的IP信息，但是能上网就没去折腾，今天特意去弄下，通过netsh interface ip reset命令重置，发现ip地址这一块可以修改了，但是dns这一块又有问题，于是又开始了一顿折腾，查到自己电脑上有个DNS-LOCK软件，但是发现卸载了之后，继续设置dns仍然会自己改，于是查找注册表，搜索自动改成的那个dns，一顿狂删（此处注意备份注册表），发现仍然没用，只好祭出以前用过的一款系统监控工具Process Monitor，把里面的监控条件改成详情中包含DNS的那个IP地址，总算找到了这个文件s555qingg.exe s555qingg（解压密码789789）.7z (30.11 KB, 下载次数: 1)

2022-4-11 16:32 上传

点击文件名下载附件

，另外发现这个病毒还会做自启动，服务里面也会自己开启，复制一份，原先的用火绒粉碎，删启动项，然后在线查毒，哈勃竟然查不出来。。。

文件名称：	s555qingg.exe
MD5：	e40740a2502d943ff82eb23982158325
文件类型：	EXE
上传时间：	2022-04-11 16:18:20
出品公司：	Microsoft Corporation
版本：	6.1.7600.16385---6.1.7600.16385 (win7_rtm.090713-1255)
壳或编译器信息：	COMPILER:Microsoft Visual Studio .NET 2005 -- 2008 -> Microsoft Corporation [Overlay] *

www.virustotal.com也没查出来。。。。
有懂行的可以去分析下 ，等下我再去虚拟机玩下试试，小白最好不要乱玩，这个文件好像会自我复制，我删除掉了原本那份，他在其他目录复制过2次，还好文件名没改，不然我也发现不了。。。

落华无痕

传奇私服白加黑木马，应该还有个黑dll，名称是rcdll.dll。
全盘搜索下这个dll，删除非SDK目录下的。

w5970303423

落华无痕 发表于 2022-4-12 20:58
传奇私服白加黑木马，应该还有个黑dll，名称是rcdll.dll。
全盘搜索下这个dll，删除非SDK目录下的。

谢谢，最近确实玩了传奇私服（好像暴露年龄了），用everything搜索，未发现rcdll.dll，用火绒快速查杀和顽固木马查杀均未发现病毒，可能他改了名称躲在哪里，不过没人调用也没关系，电脑里哪能没点垃圾呢？

落华无痕

w5970303423 发表于 2022-4-13 11:59
谢谢，最近确实玩了传奇私服（好像暴露年龄了），用everything搜索，未发现rcdll.dll，用火绒快速查杀和 ...

可能被杀软删了？如果后续没复发的话。否则用autoruns软件保存启动项发来看看。

flyjerry

期待高手解答

alongzhenggang

落华无痕 发表于 2022-4-12 20:58
传奇私服白加黑木马，应该还有个黑dll，名称是rcdll.dll。
全盘搜索下这个dll，删除非SDK目录下的。

大侠骨骼惊奇