【各个CS1.6服务器的更改玩家服务器列表的流氓行为分析】

Kwrong

乡巴佬服务器：
使用amxx插件每隔五分钟修改玩家的MasterServers.vdf列表为自家的master服务器列表；
（addr指向修改为：master.cs-pub.com:27010）
防止修改的方法：点击MasterServers.vdf右键 —— 安全 —— 编辑：对所有用户都设置权限为“写入 - 拒绝✔”，保存OK！

琥珀战队服务器：
在cstrike_schinese内生成一堆包括：
autoexec.CFG
userconfig.CFG
joystick.CFG
listenserver.CFG
language.CFG
server.CFG
的配置文件，每一个文件都写入自动连接指令：Connect hupo-cs.com:27086

xdd.ms-shadow.ro服务器：
（原始点击的服务器名称已经不记得了）
除了类似于琥珀战队的文件强制写入之外，还强制在cstrike、valve文件夹下写入xxx.CFG文件，和valve.rc文件、无后缀的dll文件；主文件夹下写入xtrash.vbs、steamcore.vbs（后又自动删掉了）文件，并尝试运行这些脚本来下载其他游戏（但未下载运行成功），然后我发现它启动了系统的wscript.exe程序。
由于写入的文件过多，只能删除游戏重装。

同时第二天发现居然被下了一个cs服务器，安装在C:\Users\Administrator\AppData\Local\Temp\RarSFX0目录，任务管理器里多出了5个hlds.exe进程。
主目录里的hlds.exe点击运行会报缺失vgui之类的错误，但是另外有个start.exe程序，点击后会出来一个cmd命令窗口，根据上面的英文+少量的罗马尼亚文提示输入完成后就会启动成功一个hlds.exe程序，和弹出一个Console控制命令窗口，一切证据都表面都是www。csservers.ro这个网站搞的鬼，电脑已经被肉鸡当做转接服务器了。
另外电脑感染后会向每一个cstrike目录里创建一个autoexec.cfg文件，内容为：connect xdd2.ms-shadow.ro:27016。
发现问题不是那么简单，看来得下载一个360安全卫视全面杀毒才行了。

2018年4月15日20:00:01—但360全盘扫描之后扫描也没发现。
后输入msconfig查看，发现多出了两个开机启动项，指向C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup文件夹中的iexplorer.exe和taskrun.vbs，这两个程序会在开机的时候检测并下载http：\\cs16boom。com/ms上的CS转接服务器文件，针对这两个文件进行360扫描立刻能识别出为恶意木马病毒。
taskrun.vbs这个文件包含有下面的代码片段：
Sub AddAutoConnect(path)
ClearCFG path & "cstrike\hw\geforce.cfg"
ClearCFG path & "cstrike\hw\opengl.cfg"
ClearCFG path & "cstrike\autoexec.cfg"
ClearCFG path & "cstrike\valve.rc"
ClearCFG path & "valve\valve.rc"
ClearCFG path & "valve\hw\geforce.cfg"
ClearCFG path & "valve\hw\opengl.cfg"
ClearCFG path & "valve\valve.rc"
End Sub

查询cs16boom。com的whois信息发现，该网站地址位于罗马尼亚首都Bucharest的No. 6, Grigore Alexandrescu st，注册联系方式：+40.767232398

weige520lw

很牛逼啊，通过CS服务器没想到能干这么多事

100714078

天泽不是？ibelive不是？这类服务器多了去了。

Benz0625

真的很不错。收藏了。谢谢