Wegame登陆时提示电脑感染木马的解决过程 - 网吧备忘录
通告:收集网吧无盘常见问题,关注网吧行业动态,唾弃和鄙视网吧垄断及恶意广告行为!
横条广告

Wegame登陆时提示电脑感染木马的解决过程

兽性大发 9365 0 条

近期发现网吧客户机随机出现登陆wegame时会提示有木马的问题,今天说的只是其中一个原因,因为发现非以下环境也有人反馈,只是还没有远程看过的,因为要先找到有这样问题的机器,然后找到病毒,然后部署PM工具抓怎么来的。

  • 发现问题

先说下现象吧,开机登陆wegame就随机会出现如下图的情况,然后这个机器重启下就又正常了。

11640.png

  • 分析问题

昨天,也就是6月4日,QQ用户“俺们划船不用桨”给我找到了现象的机器,本来我是想给wegame的人远程看的,可是没有回我消息,毕竟找到这样的环境也是不容易的,平常都是重启掉的了。我远程后输入完账号,到输入密码的地方就会提示木马了,鼠标放到输入地方就会提示。

这个时候我也没什么思路,就问了我们公司牛人,也就是打狗英雄,我们都叫他老蒋。他让我下个腾讯的PC管家看看,结果真的查出来有木马,tgpcc.dll这个文件。

22640.png

33640.png

有这个木马的时候,键盘鼠标就好像不受控制的了,想去把这个木马改名字,操作不了,只选这个木马杀了就可以了,鼠标键盘也可以正常操作的了。

4416465343.jpg

我把这个木马传过来,在我内部的机器上,同样的目录下C:\Users\Administrator\AppData\Roaming里,然后打开wegame就一样提示木马了。

既然找到了木马,那么就要查这个木马是怎么来的了,这个用户还是非常的配合,这里要表扬下,让他客户机上部署了PM工具,需要是开机就启动的。这里提供个维护大师技术A制作的“PM挂盘部署”工具,可以达到最优先启动,操作很简单按里面的说明就可以了。

下载地址:挂盘部署PM.rar

部署好后,然后就在反复测试,开机就去登入wegame,看看有没有提示木马的,因为要有这样的才可以分析PM日志,开了30-40台机器没有出现,我让他耐心点,终于功夫不负有心人,出现了这样的机器,抓到了PM日志,首先查找tgpcc.dll名字,查到了他的PID是6788,然后点进程树:

55640.png

  • 解决问题

这个cnxx.exe是文化的,估计是有什么漏洞被病毒利用了,问用户说这个是最新的版本的,也不是破解版的。

具体原因不清楚,为了进一步验证,昨天下午5点多的时候先取消了此软件的运行,到现在没有出现这样的问题。

目前来说,其他用户没有这个软件的也出现这样的问题,具体原因还不清楚,我的意思是也需要这样的去排查下。

去年我也遇到类似被利用造成有盗号的情况:https://litianming.cn/wb/2019/03/30/1409.html

6月26日更新:有的环境没有文化软件也发生同样的情况,经过几天的测试最后定位在QQ网关程序,取消QQ网关客户端就正常了。看来是腾讯自己误报造成的,只有等待官方更新解决。

7月20日更新:发现打开CF登陆框时,再打开C盘任何文件,鼠标移动到登陆框的密码处,立即会提示出现木马,这大概率就是腾讯的BUG了,听说更新到QQ网关最新版客户端可以解决,大家可以尝试一下。

20200626112924.jpg

8月30日更新:近几天又好多人出现该情况,有人反应:不要安装最新版本的显卡驱动,换低一些版本就解决了,也有人反应:把QQ网关程序放到开机启动项最前面,让它最优先启动解决了,还有人反应:删除QQ网关客户端,重新部署就解决了。当然这些都是存在误报的情况下才用以上方法,而有的环境是确实存在服务器被入侵造成木马感染的情况,这还需要进一步排查。

20200830141628.png

  • 9月23日更新最终解决方法:

目前提示待wegame版本更新后即可修复(预计9月底),提示触发原因与QQ网吧无关,在wegame尚未更新的情况下,出现木马提示的网吧可以优先替换文件后解决问题。

临时解决方法:替换文件后可修复 下载地址:fszwd.dat-输入验证码后记得要选择“普通下载”线路。

  • 替换步骤:

1.把fszwd.dat文件复制到网吧服务器 wegametenprotect 目录下

2.替换前记得将原来的文件备份

与本文相关的文章


发表我的评论

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址