chrmstp.exe导致浏览器主页被篡改如何解决？

Question

**问题：chrmstp.exe导致浏览器主页被篡改，如何彻底清除并恢复设置？** 许多用户反馈，系统中出现名为chrmstp.exe的进程后，浏览器主页被强制更改为不明网站，且无法手动修改。该可执行文件通常伪装成Chrome更新程序，实则为恶意软件或广告程序，通过捆绑安装进入系统。它会修改注册表中的浏览器启动参数和主页键值，并可能创建开机自启项，导致反复劫持。即使删除文件，重启后仍会重现。常见浏览器如Chrome、Edge均受影响。用户需判断chrmstp.exe是否位于合法路径（正常应位于Chrome安装目录，而非Temp或AppData），并通过任务管理器、注册表编辑器及杀毒软件联合排查。如何准确识别并彻底清除该进程及其关联项，同时恢复浏览器正常设置？

Answer 1

1. 问题背景与现象分析

近期大量用户报告系统中出现名为 chrmstp.exe 的可疑进程，该进程常导致 Chrome、Edge 等主流浏览器主页被劫持至非法或广告网站。尽管用户尝试手动修改主页设置，但重启浏览器后设置立即恢复为恶意网址。进一步排查发现，该可执行文件通常位于 C:\Users\%USERNAME%\AppData\Local\Temp 或 C:\ProgramData 等非标准路径，而非合法的 Chrome 安装目录（如 C:\Program Files\Google\Chrome\Application\）。

此行为符合典型的广告软件（Adware）或浏览器劫持程序特征，其通过捆绑在第三方软件安装包中静默植入系统，并利用注册表自启动项、计划任务、服务等方式实现持久化驻留。

2. 初步识别与进程定位

• 步骤1： 打开任务管理器（Ctrl+Shift+Esc），在“进程”选项卡中查找 chrmstp.exe。
• 步骤2： 右键点击该进程 → “打开文件所在位置”，检查其实际路径。
• 步骤3： 若路径不在 Google\Chrome\Application\ 目录下，则极大概率是恶意伪装程序。
• 步骤4： 记录其完整路径，如：C:\Users\John\AppData\Local\Temp\chrmstp.exe。
• 步骤5： 使用命令行工具进一步验证数字签名：

sigcheck -a "C:\Users\John\AppData\Local\Temp\chrmstp.exe"

若无有效签名或签发者为未知实体，则确认为恶意文件。

3. 深度排查：注册表与启动项扫描

注册表路径	键值名称	预期值	异常表现
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run	ChromeStarter	空或合法路径	指向 chrmstp.exe 的启动项
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run	UpdaterHelper	无	存在 chrmstp.exe 调用
HKEY_CURRENT_USER\Software\Policies\Google\Chrome	HomepageLocation	用户设定主页	被篡改为恶意URL
HKEY_CLASSES_ROOT\exefile\shell\open\command	默认值	"%1" %*	被注入前置调用

使用 regedit 手动检查上述路径，删除任何包含 chrmstp.exe 的键值。

4. 彻底清除策略与多维度清理流程

1. 进入安全模式（重启时按 F8 或通过 msconfig 设置）。
2. 终止 chrmstp.exe 进程（可通过任务管理器或命令行：taskkill /f /im chrmstp.exe）。
3. 删除文件本体及其所在目录。
4. 清空回收站与临时文件夹：del /q /f /s %temp%\chrmstp.exe。
5. 运行 Autoruns 工具（Sysinternals 套件）全面扫描自启项。
6. 检查计划任务（taskschd.msc）中是否存在隐蔽触发任务。
7. 使用 PowerShell 扫描潜在残留：

Get-ChildItem -Path C:\ -Include chrmstp.exe -Recurse -ErrorAction SilentlyContinue

确保全盘无隐藏副本。

5. 浏览器设置修复与策略组重置

对于 Chrome/Edge 浏览器，除手动修改主页外，需检查以下配置项：

• 地址栏输入：chrome://settings/onStartup → 设置为“打开新标签页”。
• 检查 chrome://settings/reset → 执行“恢复设置到原始默认值”。
• 若企业环境受组策略影响，检查路径：
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\RestoreOnStartup
  应设为 5 或删除该键。
• 使用命令行强制重置策略数据库：

rd /s /q "%UserProfile%\AppData\Local\Google\Chrome\User Data\Default\Preferences.bak"
ren "%UserProfile%\AppData\Local\Google\Chrome\User Data\Default\Preferences" "Preferences.bak"

重启浏览器将重建默认配置。

6. 防护机制加固与自动化检测方案

graph TD
    A[检测到 chrmstp.exe] --> B{是否在合法路径?}
    B -- 否 --> C[终止进程]
    C --> D[删除文件及目录]
    D --> E[清理注册表Run项]
    E --> F[扫描计划任务与服务]
    F --> G[重置浏览器策略]
    G --> H[启用实时防护]
    H --> I[部署EDR监控规则]
    I --> J[定期审计启动项]

建议部署终端检测响应（EDR）系统，创建自定义规则监控 *\Temp\*.exe 被添加到 Run 键的行为，并结合 SIEM 实现告警联动。