URL被谁劫持？

Question

问题描述

Win10系统下Chrome和Edge浏览器访问某东网站，直接输入网址随后会跳转一个添加了很多参数的链接，可以判断是推广网站的参数：

https://www.jd.com/?cu=true&utm_source=hao.wabudian.com&utm_medium=tuiguang&utm_campaign=t_53287198_&utm_term=d9d7165b5aa645029a6805f8f1466ddb

之前也发生过一次，当时找到是Chrome里的一个插件JSONView装成了山寨版，后来重装过系统，现在不只Chrome，Edge也有问题，搜索说是被ISP劫持，但是同网络的其他人并无此现象，尝试停止所有可停止的服务也无效，杀毒软件全面杀毒也无效，只有进入安全模式才正常，求解决！

Answer 1

答案经过自己不懈的努力已找到，罪魁祸首是一个假冒的 Office Activator（也许是真的能激活），原文件名为 office10_13_16_act.exe，运行后没有界面，最终只会弹出一个“激活成功”的提示，运行后会在路径 C:\Program Files (x86)\Common Files\system\msadc 生成 mkms.dat 及 vkms.dll 文件，没有启动项生成，但每次开机后会存在一个没有名称的“进程”，查看进程详细会转到一个 Windows 服务上（具体服务名忘记，总之是有关KMS激活之类的）。解决办法：Ctrl+Alt+Del 打开任务管理器，结束这个进程打开 Windows 服务，停止该服务（速度要快，否则会自动开启）命令行 sc delete {service_name} 删除这个服务删除上述 C:\Program Files (x86)\Common Files\system\msadc\ 的两个文件