自優(yōu)化大師推出V7.93.9.303版本以后，不少安裝此版本的用戶隨即發(fā)現(xiàn)，自己的電腦中多了一些不明文件及程序，并且搜索引擎被強行篡改，隨即紛紛到優(yōu)化大師官方論壇提出問題、尋求解答。但眾多用戶的反映卻未收到官方任何回應(yīng)，反而被一一刪帖。直到有氣憤不過的網(wǎng)友在CNBETA投遞并刊發(fā)“強制百度搜索添加可疑文件優(yōu)化大師全面轉(zhuǎn)型流氓大師”一文，引起各方關(guān)注，官方才匆匆發(fā)出一個公告，但此公告卻只是“正式”地聲明并隆重介紹了一下它推出的新游戲程序，對網(wǎng)友反應(yīng)的其它問題卻只字未提。
. x- T) O: u6 T- N# a& k/ E
r: J. O0 @) P. V- ]+ s/ W( j) G0 T 做為多年的優(yōu)化大師使用者，筆者也是第一時間趕到官方論壇，本著對優(yōu)化大師多年良好聲譽的信任，積極提出問題現(xiàn)象并綜合網(wǎng)友討論提出了一些解決辦法，然而，卻遭受到了刪貼、封IP、鎖ID的待遇。一個“優(yōu)秀”軟件的官方論壇竟然這樣對待用戶的意見反應(yīng)，不禁令筆者疑竇叢生，于是對此版本軟件進行了詳盡測試，并參考一些網(wǎng)友的反饋，得出結(jié)果令人大跌眼鏡。下面我們就來看看這個新版的“優(yōu)化大師”是怎樣在用戶毫不知情的情況下對用戶電腦進行“優(yōu)化”的： 9 P7 e9 M$ X. f3 G+ N Y0 n
( K1 R# S( D a
1、強制安裝GAMEHALL游戲大廳： 8 i6 ~# j6 q: v6 Q8 X8 H# L2 b
3 u7 p5 w' N5 G5 z 默認安裝在C:\ProgramFiles\GAMEHALL，并在開始菜單添加快捷方式。 0 J) U5 \: ~% @4 y/ d9 k/ i
! f: ?! R R$ S& |6 x+ M+ r
2、強制添加并篡改IE搜索引擎：
9 F# b, B% v+ B/ l! I0 R; R c6 W8 Q, e: _; {7 F
安裝新版Windows優(yōu)化大師后，即使不選擇任何設(shè)置，系統(tǒng)注冊表會被修改，添加和修改的內(nèi)容如下（此項內(nèi)容引用網(wǎng)友評測）： / ?& T# D% {2 B2 L: g4 W+ j
t( w# o& D# \) O1 [. K [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\Search]
1 d8 U3 f3 K R, U( L* c
, e; h0 C- |, i "CustomizeSearch"="http://www.baidu.com/baidu?tn=youcome_pg" % m9 w% s6 @" `
4 g& g' W1 i# e "SearchAssistant"="http://www.baidu.com/baidu?tn=youcome_pg"
: F$ H2 M) J9 E& y$ f' A: W. j+ A. E$ I
[HKEY_LOCAL_MACHINE\SOFTWARE\Wom] ' s- V; \5 m# `* }1 _7 r2 O5 m
% G, H/ `. |- M. g* o* c6 r "Masters"="0F0F0F0F"
# V! q2 D6 T0 S. y' `' j
- K' }: S! }5 M+ @# H" y. k& ] "WoptiP2PLibrary"="V:\\WoptiUtilities\\WoptiP2P.dll"
$ @. c& [; Q0 x! U. s
! a. x$ T. _7 c" y+ o/ @ "WoptiUtilities"="V:\\WoptiUtilities\\WoptiUtilities.exe"
: ]3 V: n4 i. B1 s# n1 l3 r- v4 i/ x2 h+ M
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes] @. U( L. j% c
3 X& C5 U# F6 k/ k0 Y "DefaultScope"="Baidu" ( g) t* O+ s( F) A* K$ K9 f; C. L- C
3 \) b) w0 F% @4 E# L9 I# V3 x$ T [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}]
$ |! x' L# Y8 K9 C/ T8 C: v( I0 p$ r6 s, v; [+ I. i# U# @
"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3"
& Z# W7 ?) l3 V( q7 J' W5 ?7 {9 S( U: D6 T! x& ~8 v C9 G' ^
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Baidu] & T( [' W) C- O
" @% `# n) v4 H! n# L
"Codepage"=dword:0000FDE9 5 }4 r$ j7 G- f. {2 T
4 \0 o |( p1 k' [$ G
"DisplayName"="百度搜索" : g& H& ]0 x5 n5 h4 H5 J6 {
# ~5 ]5 b2 U' t9 i0 q. w/ w "SortIndex"=dword:FFFFFFFD
( u$ t0 ~) x% e. i
9 a4 X$ i. R0 G. f8 G0 u8 G "URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3"
) Z6 ?0 b# w% Z# Q$ z8 r
. O1 J3 L* z7 J [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Google] / g! c, T5 j: T% g
) o9 {) @, J6 L+ D
"Codepage"=dword:000003A8
, W) T7 L* H) g6 N! U9 m
# T& p3 L% A- E4 O/ u "DisplayName"="谷歌搜索"
, N3 J' k1 H( g" t/ R$ Z' g; \% ^; @. Y
"SortIndex"=dword:FFFFFFFE - _' A4 F( w, h/ V- R
* T9 ?0 @4 \% P
"URL"="http://www.google.com/search?hl=zh-CN&q={searchTerms}&lr="
; Z3 x+ |' K, g, W+ L6 ?
3 I: Q/ [" g8 W1 ]2 u8 B# _ [HKEY_CURRENT_USER\Software\Microsoft\Windows]
+ f6 a" [7 C. \6 m5 m. ~ _* {7 M( }. W2 R/ q
"Verion"="0013E86C8919" ' W; Y v4 t- c2 }$ B |: H; B
2 m/ R' i( b3 R [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Connections]
2 N6 z8 M7 L" l& \% L( p4 j/ t: a4 Z' x( d8 K! w7 o1 b7 m1 C
"SavedLegacySettings"=hex(03):46,00,00,00,70,01,00,00,01,00,00,00,00,00,00,\
% \! L$ j% Y) k3 J" G1 H# v( d0 D6 n+ V
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,10,c5,58,13,73,7b,c9,01,\ N+ M5 o1 ]/ y1 `8 l
4 s( k1 O9 D) x: z6 i 01,00,00,00,7f,00,00,01,00,00,00,00,00,00,00,00,00,00,00,00 , U0 H7 v+ d8 p8 f0 l! P
8 |3 F3 _5 c0 w [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3] . u) [- G, J3 Z; v+ J3 g5 U4 @
2 F! X: D/ y* }, x
"1803"=dword:00000001
, P7 Q' }6 \2 Q# n' g/ t
1 q# u- b5 X; q8 k 同時中途可能會連接以下不明網(wǎng)址：
. C- S: ^$ W( M- q; `) B% M7 h/ t- @* y% H
www.930930.com 2 K7 Y- T+ Z1 \8 k( v& C* A
g: a! _' g, I! u4 a1 e2 s5 h- }
www.304304.com - m" r# E5 m" a; @% z3 C2 i
4 N7 E3 Z& [- [0 x& R, S* J
www.072072.com
9 z O2 k+ r; Z
" _' N" X/ f( q% A8 r 072072.com ( ?: g1 s d0 W
; U& ~3 x" p1 i3 f$ |; R8 J2 }
www.146146.com 4 ^0 e/ T) L6 \! N& D) c3 h
3 q* v3 h9 t( x: E 146146.com / T. f, U1 R: S, {
9 d) W3 b9 C) O0 z1 }/ T
397397.com
1 o0 P7 @. u9 O# c; Z$ A! F- ?+ d: f/ P+ i2 l H% c" o
265.com 7 w, R9 o0 P$ e- a, a8 u# V
0 ]# J% k3 S" `4 p liveupdate.baidu101.com , d: w0 Y% E% _; E
c7 o9 q8 h6 {' F( W8 n 3、強行修改注冊表并劫持COOKIES：
# i+ @9 M9 y9 L0 \9 r( f" f, X5 Q: {; J* x% c9 b- `: v- ]/ u
安裝新版Windows優(yōu)化大師后，會在用戶電腦系統(tǒng)盤及優(yōu)化大師安裝盤根目錄下生成無法刪除的文件夾Software，里面都包含好幾層文件夾及隱藏文件X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat（X代表所在盤符，下同），同時，修改注冊表以下兩項：
) O4 t- }" T0 c
2 k$ |! _2 C1 q HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies " a; M' p5 N' V+ C
- D$ o3 ^1 t$ B1 q" e HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies 3 g' d3 Z, {) s5 _1 [
% K" Y) v7 E+ ?2 Y 為X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat 5 Z( h2 `( T# R3 r( q
; K' Z2 U+ w. Z Z3 L W 此項內(nèi)容的目的正是為了隱藏其在后臺偷偷鏈接某些不明網(wǎng)站的行徑，掩飾那些不停生成、快速增長的cookies文件，而強行將用戶COOKIES劫持到新生成的Software文件夾，只不過，因為技術(shù)人員的一時馬虎，忘了將最外層的Software文件夾也加上“隱藏”屬性，才暴露無遺……
% X# S1 ~, q$ X- E- H7 D; r$ u* P/ I) w
4、APIHOOK： 1 J# J7 p9 t; \/ a# l3 }$ q6 N' P
( U; \' ]: w5 q7 a y
安裝新版優(yōu)化大師后，會將系統(tǒng)入口點FindFirstFileExW掛鉤至0xB8ED3A26模塊。
1 D6 ]4 v& V1 X U1 x6 Z! C& V) D5 Y! d
此項為網(wǎng)友反饋，因筆者水平有限，對此不甚了解，搜索網(wǎng)絡(luò)也未見有相關(guān)模塊信息，還希望有技術(shù)高手繼續(xù)研究分析出其實質(zhì)。 5 ~8 p1 B" ^# _
% d) y* f# ?0 l' a* |4 k
至此，真相大白……
$ t! g y/ \0 D- ~2 h
, j; K7 d& a q 我們再來復(fù)習(xí)一下流氓軟件（惡意軟件）的官方定義：是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計算機或其他終端上安裝運行，侵犯用戶合法權(quán)益的軟件，但已被我國現(xiàn)有法律法規(guī)規(guī)定的計算機病毒除外。其具有如下特點：強制安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意收集用戶信息、惡意卸載、惡意捆綁等。 ( s2 a1 K9 d, u8 \3 a* `
* o$ N: K( ^* O+ _( f/ D) ` J# ]
由此定義，對比新版優(yōu)化大師的行徑，相信大家自會有所明斷。 $ B4 d+ v# J+ r
% H @) Y5 N6 s, a9 P$ N( I
在CNBETA發(fā)文之后，優(yōu)化大師官方迅速推出了V7.93.9.305版本，將游戲大廳修改為安裝可選項，但據(jù)網(wǎng)友反饋，其篡改搜索引擎的行徑卻依舊故我，其它幾項暫未做檢測，故不加評論。
* x- F7 V- I* t# L# W R$ m( Q1 }) u; j
. h% \' p# x. J( y6 z) l0 C 因仍有許多已安裝V7.93.9.303版本的網(wǎng)友不知如何修復(fù)被篡改的系統(tǒng)，故在此提出簡單修復(fù)解決辦法，僅供參考
; Y/ H% z, k) i4 X' |) {) y2 a
( o0 a- F, ~+ B3 I+ B8 ]) E: B 當然了，修復(fù)的前提是先卸載掉此版本優(yōu)化大師~~
3 a) e9 i5 U/ z" S1 ^, T6 j
# |/ p( a5 k! e! Q; [* y7 _ 針對前文所述4項內(nèi)容，進行以下修復(fù)：
1 n& M, p' Z3 `: `+ W8 { k
7 C( f5 H& c; \8 A 第1項可自行刪除C:\ProgramFiles\GAMEHALL文件夾及開始菜單快捷方式；
$ H; ~8 e! K9 m+ C9 j
% Q! A, ] F. P 第2項可在卸載優(yōu)化大師后，在IE的INTERNET選項中自行修改（WIN7系統(tǒng)最好同時勾選“阻止程序建議對默認搜索提供程序進行的更改”），之后手動清理注冊表以上所列項目；
U, P% z! u( w5 S, D# h+ e7 H) ^7 o6 M j, n- U
第3項需修復(fù)注冊表以下兩項： * v. H2 y9 D9 o8 r4 ]" \
. k8 C8 s( T0 J: `( F
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies
1 P, w2 o% e, J |) p; ^
/ @( I3 U% z) m8 G6 l) @: d+ ?" Y HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies * Q7 \0 i* V( d
1 Q2 b" ^( u' D+ I
VISTA、WIN7下修改為%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies / ]/ q, |" z3 v$ e4 P, H+ U
8 b3 l+ |( V8 p# i* U) F+ c
XP下將兩項分別修改為C:\DocumentsandSettings\LocalService\Cookies和%USERPROFILE%\Cookies
6 F7 j) J" N) }7 g& }: y& B. [/ }( k: E2 f- z. {. J/ l0 g) K8 m" R
重啟電腦后刪除所有盤符要目錄下的Software文件夾； 1 L6 I3 E" C4 q" V7 n" w9 g
2 a* T7 t: J. J 第4項因筆者水平有限，暫無解決辦法. |
|本地廣告聯(lián)系: QQ:905790666 TEL:13176190456|Archiver|手機版|小黑屋|汶上信息港
( 魯ICP備19052200號-1 )
發(fā)表于 2009-5-7 10:16:30
QQ好友和群
QQ空間
提升卡
置頂卡
沉默卡
喧囂卡
變色卡
顯身卡
發(fā)表于 2009-5-7 14:41:58