本帖最后由 lqb9527 于 2020-12-28 11:31 编辑
现象：网吧反馈盗号问题，而且直接登录LOL会出来wegame登录窗口。
排查 : 上工具查看，这窗口果然是假的，路径和界面没有扫码登录都是有问题的。
用PM开机查看是谁生成的假窗口文件LKUAiliqnf_1.dat,如图：
查看是explorer.exe生成LKUAiliqnf_1.dat，
谁挂在explorer.exe查看如图：
查看谁生成l1FNOU2i9DmnJK.dat.如图
谁生成了svchost.exe
谁生成了71Mt8CH.EXE
是360chrome.exe生成的，开机启动项被加了360chrome.exe,
MD5如下：
后续：年关将至，各种盗号手动层出不穷，这个网吧最后发现是被人入侵修改了还原点，加了开机启动项，假冒wemage登录，从而盗号。