内容摘要：打开IE，主页变成了“找传世”的导航站。改回来，重启又变回去。再改，再变。这玩意儿跟牛皮糖一样，甩都甩不掉。 我手里这台老机器，IE主页已经被“找传世”劫持了快两个月。用户是个快六十岁的会计，平时就用

打开IE，找传e主主页变成了“找传世”的页被导航站。改回来，篡改彻底重启又变回去。解决再改，找传e主再变。页被这玩意儿跟牛皮糖一样，篡改彻底甩都甩不掉。解决

我手里这台老机器，找传e主IE主页已经被“找传世”劫持了快两个月。页被用户是篡改彻底个快六十岁的会计，平时就用IE登个网银、解决查个社保。找传e主她说每次打开浏览器，页被满屏都是篡改彻底“找传世”的棋牌广告和“热门游戏”入口，关都关不完。她试过在IE设置里改主页，没用。试过用360安全卫士锁定主页，锁完还是“找传世”。最后她干脆不用IE了，换成了Edge。但网银的U盾插件只认IE，她不得不再回来面对这个烂摊子。

“找传世”不是一个简单的浏览器主页。它是一个快捷方式劫持加注册表篡改加计划任务复活的组合拳。你右键点开IE的快捷方式，看“目标”那一栏，正常的应该是“C:\Program Files\Internet Explorer\iexplore.exe”。被篡改之后，后面会多出一串尾巴，类似“http://www.zhaochuanshi.com/?xxx”。你把这个尾巴删掉，快捷方式就正常了。但问题在于，病毒不只改了一个快捷方式。

桌面、开始菜单、任务栏快速启动栏，所有指向IE的快捷方式都被加了参数。你一个个改，改完重启，计划任务里有个叫“SystemCheck”或者“WindowsUpdate”的任务，每隔几分钟跑一次，把所有的快捷方式重新写一遍。这个计划任务藏在任务计划程序库的根目录下，名字起得很像系统组件，不仔细看根本发现不了。

注册表里也有文章。HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 下面的“Start Page”被改成了“找传世”的网址。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下面多了一个随机命名的启动项，指向一个藏在C:\ProgramData或者C:\Users\你的用户名\AppData\Local\Temp下面的exe文件。这个exe文件每次开机运行，检查主页有没有被改回来，如果被改了，它再改回去。

更恶心的是，这个exe还会释放一个dll文件，注入到explorer.exe进程里。你打开任务管理器，看不到任何可疑进程。但只要你打开IE，主页就是“找传世”。你用Process Explorer查IE的加载模块，能看到一个没有签名、路径在Temp目录下的dll。把它删掉，IE就正常了。但重启之后，那个exe又把它释放出来。

彻底解决的办法，得从根上断。

第一步，断网。别让它在后台下载新的变种。第二步，进安全模式。正常模式下的explorer.exe会被注入，安全模式下不加载第三方dll，方便操作。第三步，删计划任务。打开任务计划程序，把那些名字可疑的、触发器是“每次启动”或者“每隔5分钟”的任务全删掉。第四步，删注册表启动项。Run、RunOnce、RunServices，这几个位置都看一遍。第五步，删Temp目录下的可疑exe和dll。按修改时间排序，找最近两个月内创建的、没有数字签名的文件。第六步，重建IE快捷方式。把所有被篡改的快捷方式删掉，从“C:\Program Files\Internet Explorer\iexplore.exe”重新发送到桌面。第七步，改回主页。在IE设置里改成about:blank或者你想要的网址。第八步，重启，再进正常模式，检查一遍。

这一套下来，基本就干净了。但有个细节要注意：有些变种会把恶意文件放到C:\Windows\System32\Tasks目录下，伪装成系统任务。你得手动去那个目录看，文件名是一串随机字符的，直接删。还有，如果用户用的是Administrator账户，病毒可能还会改组策略。运行gpedit.msc，看“用户配置-管理模板-Windows组件-Internet Explorer”下面有没有被启用“禁用更改主页设置”。如果有，改成“未配置”。

我帮那个会计处理完，前后花了四十分钟。她问我，为什么360没拦住。我说，360能拦一部分，但“找传世”更新太快，特征库跟不上。而且它不改系统文件，只改用户配置和快捷方式，很多杀软觉得这不是病毒行为。她听完叹了口气，说以后还是少点那些“免费电影”和“彩票预测”的链接。我说对，这玩意儿十有八九是从那些地方来的。

IE本身已经停止支持了，但国内还有大量网银、社保、税务系统只认IE。只要这个现状不变，“找传世”这类主页劫持就不会消失。手动清理是麻烦点，但比装一堆安全软件互相打架要干净得多。