你好:

     感谢你访问我的 Blog ,本博客只提供博主的技术经验分享,你可以在此做简单的留言和评论,我会抽空回复你;若是要深入交流探讨,请联系QQ:47853253或者加QQ群:12012081


 

ctfnon.exe是广告木马,其假冒输入法相关程序投放广告,快这样操作解决掉它。

 

 
最近ctfnon.exe广告木马开始在网吧里出现,网吧均表示自己没有放过这些文件。
ctfnon.exe是广告木马,其假冒输入法相关程序,输入法相关执行程序应该是ctfmon.exe。
细心的人发现是有不明人远程网吧把系统包挂载篡改了。
这个团伙挂载镜像,一般放了3个文件。
C:\Windows\SysWOW64\client.exe
C:\Windows\System32\client.exe
C:\Windows\System32\ctfnon.exe
然后通过regedit加载注册表添加了开机启动   C:\Windows\SysWOW64\client.exe

解决办法:  1,修改远程账号和密码,(开启远程日志记录,留意最近是否还有不明人可以远程上来。
                    2 挂包删除以上3个文件, 去掉开机启动。

      被远程的1家网维大师网吧使用的是VNC远程, 1家反馈使用的是XT800远程和RemotelyAnywhere,另外1家网吧反馈使用的是影子,系统都是死性不改16Q4版本。
      远程工具尽量都使用新版本,不要使用默认端口,密码不要太简单,已经泄露的尽快修改一次账号和密码。目前我们猜测可能是某些远程工具漏洞,或者密码被人为泄露引起的。
     有新的情况欢迎大家留言,相互分享信息。


[本日志由 lq3447 于 2017-07-02 10:52 AM 编辑]
文章来自: 本站原创
引用通告: 查看所有引用 | 我要引用此文章
Tags:
评论: 0 | 引用: 0 | 查看次数: 123
发表评论
你没有权限发表留言!