搜狗输入法竟然“暗中”篡改浏览器主页，教你防止恶意篡改

大家好呀，我是光霞，在昨日火绒安全公众号发文称，火绒安全情报中心近期监测到一款专门锁定浏览器主页的恶意程序正在快速蔓延。经溯源，该恶意程序源头指向搜狗输入法。

篡改原理：

文章称搜狗输入法通过其Shiply终端基础发布通用模块，向云端请求控制配置。在下发这些云控配置中，会结合用户画像：比如所在地区、时间等诸多纬度进行精准推送，由于Shiply平台具备灰度发布能力，据此推测恶意程序通过小范围灰度测试验证效果，再进行大范围传播，因此暂时未涉及较多用户。

该恶意程序会优先检测用户设备上的杀毒软件，随后通过篡改配置文件的方式，强制修改Edge和Chrome两个主流浏览器的主页和搜索引擎设置。目前火绒安全可以对上述推广模块进行拦截与查杀。

涉及此问题的搜狗输入法版本为15.7.0.2192。

如果你的浏览器主页变成下图所示，那么很不幸成为本次“测试”用户。

解决方案：

1.修改组策略编辑器

步骤：

• 按Win+R打开运行框——输入gpedit.msc并回车——打开组策略编辑器。

• 找到用户配置——管理模板——Windows组件——Internet Explorer。

• 找到“禁用更改主页设置”，双击并选择“已启用”，输入你想要的主页网址。

请注意，这会完全锁定你的浏览器主页无法更改，后续可通过重走此步骤还原浏览器设置。

截图：

2.删除搜狗输入法相关文件：

• 打开任务管理器，找到并关闭“搜狗输入法 Metro代理程序”

• 进入文件夹C:\Windows\SysWOW64\IME，删除名为“SogouPY”的文件夹。

• 这可以防止搜狗输入法再次篡改你的设置。

因为个人使用的微软默认输入法，暂时无法截图，搜狗输入法的文件路径可能安装路径不同所以盘符不同。

3.安装使用火绒安全管家，可以拦截并阻止相关模块生效。

4.卸载搜狗输入法：

• 如果上述方式无效，考虑卸载搜狗输入法。建议通过专业卸载程序进行卸载操作，可以安全清理与其相关的文件和注册表，连根拔起。

建议收藏，以备万一。