瑞星卡卡安全论坛

办公一族不要被晃点了，这个网页下载的OFFICE2003安装包标榜的什么“正式中文版”、“无插件”纯系扯淡，下载的安装包一运行，快速启动工具栏中就多出仿冒的IE图标（指向http://www.3932.com），桌面上就会多出伪装的IE、小游戏、淘宝网的三个图标。该地址下载的安装包被捆绑了流氓软件，请办公一族当心（目前瑞星对该安装包不报毒，且云安全提示该网站未检出病毒。当然了，网站本身没病毒，是提供下载的OFFICE2003安装包捆绑了流氓软件）。

流氓软件创建的伪装IE图标的属性图如下：



用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

运行该网站的提供下载的安装包后，注册表里也被添加了不少DD，已知的有：

1、【HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs】这个注册表项的项值中，会添加一个【tab】的值项，数据为http://www.3932.com；

2、【HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command】这个注册表项，其默认数据被修改为C:\Program Files\Internet Explorer\iexplore.exe  www.3932.com（正常值应为"C:\Program Files\Internet Explorer\iexplore.exe"，包括英文双引号）

3、在【HKEY_CLASSES_ROOT\CLSID】注册表项下创建了一个指向http://www.3932.com的十六进制名称的注册表子项（伪IE图标），被俺删了，没记录，残念；

4、貌似没有发现在【HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace】项下添加非法子项的行为。

1楼网址下方红色“迅雷高速下载”链接提供的OFFOCE2003安装包对应的链接地址为http://51.douxie.net/microoffice2003zsb.exe，千万别下载这个地址的安装包，不地道。