搜索
查看: 9813|回复: 4

【各个CS1.6服务器的更改玩家服务器列表的流氓行为分析】

[复制链接]
发表于 2018-4-15 15:33:26 | 显示全部楼层 |阅读模式 来自 广东深圳
本帖最后由 Kwrong 于 2018-4-15 20:05 编辑

乡巴佬服务器:
使用amxx插件每隔五分钟修改玩家的MasterServers.vdf列表为自家的master服务器列表;
(addr指向修改为:master.cs-pub.com:27010)
防止修改的方法:点击MasterServers.vdf右键 —— 安全 —— 编辑:对所有用户都设置权限为“写入 - 拒绝✔”,保存OK!

琥珀战队服务器:
在cstrike_schinese内生成一堆包括:
autoexec.CFG
userconfig.CFG
joystick.CFG
listenserver.CFG
language.CFG
server.CFG
的配置文件,每一个文件都写入自动连接指令:Connect hupo-cs.com:27086

xdd.ms-shadow.ro服务器:
(原始点击的服务器名称已经不记得了)
除了类似于琥珀战队的文件强制写入之外,还强制在cstrike、valve文件夹下写入xxx.CFG文件,和valve.rc文件、无后缀的dll文件;主文件夹下写入xtrash.vbs、steamcore.vbs(后又自动删掉了)文件,并尝试运行这些脚本来下载其他游戏(但未下载运行成功),然后我发现它启动了系统的wscript.exe程序。
由于写入的文件过多,只能删除游戏重装。

同时第二天发现居然被下了一个cs服务器,安装在C:\Users\Administrator\AppData\Local\Temp\RarSFX0目录,任务管理器里多出了5个hlds.exe进程。
主目录里的hlds.exe点击运行会报缺失vgui之类的错误,但是另外有个start.exe程序,点击后会出来一个cmd命令窗口,根据上面的英文+少量的罗马尼亚文提示输入完成后就会启动成功一个hlds.exe程序,和弹出一个Console控制命令窗口,一切证据都表面都是www。csservers.ro这个网站搞的鬼,电脑已经被肉鸡当做转接服务器了。
另外电脑感染后会向每一个cstrike目录里创建一个autoexec.cfg文件,内容为:connect xdd2.ms-shadow.ro:27016。
发现问题不是那么简单,看来得下载一个360安全卫视全面杀毒才行了。

2018年4月15日20:00:01—但360全盘扫描之后扫描也没发现。
后输入msconfig查看,发现多出了两个开机启动项,指向C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup文件夹中的iexplorer.exe和taskrun.vbs,这两个程序会在开机的时候检测并下载http:\\cs16boom。com/ms上的CS转接服务器文件,针对这两个文件进行360扫描立刻能识别出为恶意木马病毒。
taskrun.vbs这个文件包含有下面的代码片段:
Sub AddAutoConnect(path)
ClearCFG path & "cstrike\hw\geforce.cfg"
ClearCFG path & "cstrike\hw\opengl.cfg"
ClearCFG path & "cstrike\autoexec.cfg"
ClearCFG path & "cstrike\valve.rc"
ClearCFG path & "valve\valve.rc"
ClearCFG path & "valve\hw\geforce.cfg"
ClearCFG path & "valve\hw\opengl.cfg"
ClearCFG path & "valve\valve.rc"
End Sub

查询cs16boom。com的whois信息发现,该网站地址位于罗马尼亚首都Bucharest的No. 6, Grigore Alexandrescu st,注册联系方式:+40.767232398

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有账号?注个册吧

×
发表于 2018-7-14 11:13:58 | 显示全部楼层 来自 重庆
很牛逼啊,通过CS服务器没想到能干这么多事
回复

使用道具 举报

发表于 2018-8-5 00:20:40 | 显示全部楼层 来自 江苏常州
天泽不是?ibelive不是?这类服务器多了去了。
回复

使用道具 举报

发表于 2020-5-23 14:35:17 来自手机 | 显示全部楼层 来自 中国
真的很不错。收藏了。谢谢
回复

使用道具 举报

游客
回复
您需要登录后才可以回帖 登录 | 注个册吧

快速回复 返回顶部 返回列表