自優(yōu)化大師推出V7.93.9.303版本以后，不少安裝此版本的用戶隨即發(fā)現(xiàn)，自己的電腦中多了一些不明文件及程序，并且搜索引擎被強(qiáng)行篡改，隨即紛紛到優(yōu)化大師官方論壇提出問(wèn)題、尋求解答。但眾多用戶的反映卻未收到官方任何回應(yīng)，反而被一一刪帖。直到有氣憤不過(guò)的網(wǎng)友在CNBETA投遞并刊發(fā)“強(qiáng)制百度搜索添加可疑文件優(yōu)化大師全面轉(zhuǎn)型流氓大師”一文，引起各方關(guān)注，官方才匆匆發(fā)出一個(gè)公告，但此公告卻只是“正式”地聲明并隆重介紹了一下它推出的新游戲程序，對(duì)網(wǎng)友反應(yīng)的其它問(wèn)題卻只字未提。
! y5 D$ L- ^. q) d/ J8 ~. [& n8 s% c; u$ J, \% m Q$ c/ G
做為多年的優(yōu)化大師使用者，筆者也是第一時(shí)間趕到官方論壇，本著對(duì)優(yōu)化大師多年良好聲譽(yù)的信任，積極提出問(wèn)題現(xiàn)象并綜合網(wǎng)友討論提出了一些解決辦法，然而，卻遭受到了刪貼、封IP、鎖ID的待遇。一個(gè)“優(yōu)秀”軟件的官方論壇竟然這樣對(duì)待用戶的意見(jiàn)反應(yīng)，不禁令筆者疑竇叢生，于是對(duì)此版本軟件進(jìn)行了詳盡測(cè)試，并參考一些網(wǎng)友的反饋，得出結(jié)果令人大跌眼鏡。下面我們就來(lái)看看這個(gè)新版的“優(yōu)化大師”是怎樣在用戶毫不知情的情況下對(duì)用戶電腦進(jìn)行“優(yōu)化”的： * t0 C0 G. \( s
4 f+ r7 ?8 S* C 1、強(qiáng)制安裝GAMEHALL游戲大廳：
/ G. o% B, l8 G$ \* m4 ]( \9 N2 A& O1 [! b# g3 v3 n# r4 v
默認(rèn)安裝在C:\ProgramFiles\GAMEHALL，并在開(kāi)始菜單添加快捷方式。 : D! Q# h# |. m. F* D
# L1 T* F8 E7 o' p# s+ ] 2、強(qiáng)制添加并篡改IE搜索引擎： / C8 @9 C! d) A
: f, P- X* K7 s. O# `- K
安裝新版Windows優(yōu)化大師后，即使不選擇任何設(shè)置，系統(tǒng)注冊(cè)表會(huì)被修改，添加和修改的內(nèi)容如下（此項(xiàng)內(nèi)容引用網(wǎng)友評(píng)測(cè)）： 0 j) t( x, g! ~8 y9 E
6 J5 |6 k* u/ X+ j! i m
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\Search]
3 M) o) d. V1 ? f; s9 C7 P1 i" d# {$ ]( X
"CustomizeSearch"="http://www.baidu.com/baidu?tn=youcome_pg"
% [( X K7 W8 G8 H$ t% h
9 \" W% k5 |( _ "SearchAssistant"="http://www.baidu.com/baidu?tn=youcome_pg"
; T" y- i! S" e8 J$ D- _8 b9 y' m- T% q7 ?
[HKEY_LOCAL_MACHINE\SOFTWARE\Wom]
/ t' H0 V! w8 u) H/ @6 y9 \0 c; G+ l G* t0 X
"Masters"="0F0F0F0F" & m1 j) f: D" L% w! U/ g. x
; H1 y, S" S3 D
"WoptiP2PLibrary"="V:\\WoptiUtilities\\WoptiP2P.dll" 7 C7 \* F3 x# m, ]
y* _) }; L% }! ^0 B, N f5 U# S "WoptiUtilities"="V:\\WoptiUtilities\\WoptiUtilities.exe" ! z' f% \% `/ f% o; @, `% {9 l A
0 X* d: X$ r) U
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes] 6 I$ {7 i( \: {6 L8 L
/ M3 | F0 K6 @4 v6 ?& c3 }, j a4 R9 l
"DefaultScope"="Baidu" 6 Z7 A$ n7 G; \: H/ O
) f5 K, n: }8 T0 n [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}]
$ X/ a h/ m8 y/ {
) Q' V# c* V# N7 u8 C "URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3" 7 P" [7 U! @( C% r3 ^. B+ \
2 T6 ?3 }4 h7 \4 v
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Baidu] # p Q F( u2 U# i* ]: k! n( n# B
/ Y j: B, }4 o% D7 @
"Codepage"=dword:0000FDE9 8 Q6 k4 m$ R: [; \4 a& _. R, O( W
& [$ F9 V5 Y1 t9 z8 d# ^
"DisplayName"="百度搜索" 5 _8 z2 S" G) N+ Q1 [, N+ ~3 J7 l! D
3 i" r5 |8 ?1 L9 v6 V
"SortIndex"=dword:FFFFFFFD
% L& U* m, ?* g+ i% P
$ l1 E+ H( `4 F3 r- y8 g "URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3" + l; P% k2 ~( n) h
, m/ q8 _2 F4 a( l1 @ [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Google]
" @0 _: t, M5 t3 r4 {/ M, S
[+ B& M( H' ~ R "Codepage"=dword:000003A8
3 Y' f0 C' N) U+ ]8 Q2 }, {2 L. l$ K5 K7 o
"DisplayName"="谷歌搜索"
; \7 X6 U- D7 y, n+ R
( G8 \- }$ A/ G2 G9 R "SortIndex"=dword:FFFFFFFE # @! C/ W5 H4 ^2 z, o3 ^
4 t4 f. f* T6 }" |* O
"URL"="http://www.google.com/search?hl=zh-CN&q={searchTerms}&lr="
/ m; S5 W9 `9 U: Y& y+ f5 d e$ `
. k) U" y5 n$ E# C/ N% z. p7 v: K! @ [HKEY_CURRENT_USER\Software\Microsoft\Windows] \ u0 W2 S I% @- a* M$ C9 S
! G& x& ]/ _5 Y! T+ C/ E/ O' L
"Verion"="0013E86C8919" * ~) \/ J' o6 ~0 S7 y" {' c' t
# J! Q0 X6 @4 f4 U* f; N. K& P( S8 U [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Connections]
: b S/ p2 h/ v
) i, l3 P7 r) ~. T' C "SavedLegacySettings"=hex(03):46,00,00,00,70,01,00,00,01,00,00,00,00,00,00,\
9 H/ D6 _& @3 e8 F" i7 j/ j7 p5 s# Y! o
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,10,c5,58,13,73,7b,c9,01,\ 2 ?1 p: K; h- [7 B+ h
) d# s2 O, S- r( X4 c% T/ d7 ]4 Y0 ` 01,00,00,00,7f,00,00,01,00,00,00,00,00,00,00,00,00,00,00,00 * \$ _9 x X0 s+ @, v' r0 R
5 H- ?: I& @- R [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3] 8 }1 K8 \+ x' p: X& ]* Q1 Y" g! k$ V
7 q! A% a$ @2 x
"1803"=dword:00000001
2 h- V# ?' ?. \ d) Z$ A8 b8 ~ }. X; X/ N& C7 g ~. @/ T
同時(shí)中途可能會(huì)連接以下不明網(wǎng)址： # E6 Z8 F( L( O, v) H9 C( _
% X; G( w/ f! q3 ~ www.930930.com
, r" L' C1 [. r @' }; d8 {0 v4 [8 D3 S6 j
www.304304.com ; L; [( t% C) w) ?- [
Q! c9 a4 c. y$ H- F# t( _$ s www.072072.com ' T' a6 K9 _# S7 z# K/ V4 E
+ v, y/ L8 j% M
072072.com ' y4 j" |5 ^ }6 ^( {) I0 l% I) N
+ K) I2 [; {: U5 o www.146146.com
& O7 f6 y7 P5 L$ R `2 u; H! S1 j; \9 J! }3 b6 z q
146146.com
9 w/ x: m2 z4 }0 H6 Y6 `
# u: G" [* J) T" B$ C 397397.com 3 Q1 s0 v+ A4 }8 \. n U
% ]8 H( f, Z1 T- x( M 265.com 5 [1 k* a! z: V9 d
& ^% K; z) J. C9 Z, `
liveupdate.baidu101.com 5 x1 F# `9 [( E4 {# P
* Q( I4 f1 P$ a' t4 b
3、強(qiáng)行修改注冊(cè)表并劫持COOKIES： 1 w t+ @$ ~1 s7 c) y2 T$ k R* Q; O
, R% V2 i7 Y4 Y/ B* `7 e% T& ^
安裝新版Windows優(yōu)化大師后，會(huì)在用戶電腦系統(tǒng)盤(pán)及優(yōu)化大師安裝盤(pán)根目錄下生成無(wú)法刪除的文件夾Software，里面都包含好幾層文件夾及隱藏文件X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat（X代表所在盤(pán)符，下同），同時(shí)，修改注冊(cè)表以下兩項(xiàng)： : u) v$ i8 L/ G% `) u
: l8 C& q( R7 A) u
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies ( H$ i- e% m0 H7 S
& D K/ b& ]2 E# N HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies 6 x3 `! Q. z0 h9 X
: q6 }( _- e7 y8 r 為X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat % J! u- F g/ G* w5 E
) R9 z, o6 P* j. V' K 此項(xiàng)內(nèi)容的目的正是為了隱藏其在后臺(tái)偷偷鏈接某些不明網(wǎng)站的行徑，掩飾那些不停生成、快速增長(zhǎng)的cookies文件，而強(qiáng)行將用戶COOKIES劫持到新生成的Software文件夾，只不過(guò)，因?yàn)榧夹g(shù)人員的一時(shí)馬虎，忘了將最外層的Software文件夾也加上“隱藏”屬性，才暴露無(wú)遺……
4 r# \3 j2 |5 r/ V+ M2 K) h! Q& m1 F4 B9 h$ y5 {* N# _
4、APIHOOK： ) k+ h) C1 ]3 H! Z$ [# c
# Q, m% u5 m" Q3 D 安裝新版優(yōu)化大師后，會(huì)將系統(tǒng)入口點(diǎn)FindFirstFileExW掛鉤至0xB8ED3A26模塊。 + w8 t6 p v) A, S3 `4 f' d* S
6 ^2 W" ?: C/ E- S' K
此項(xiàng)為網(wǎng)友反饋，因筆者水平有限，對(duì)此不甚了解，搜索網(wǎng)絡(luò)也未見(jiàn)有相關(guān)模塊信息，還希望有技術(shù)高手繼續(xù)研究分析出其實(shí)質(zhì)。
! n! ~8 H: ]' }6 ]) b7 ?6 t) V9 `; t* y% p V# x3 O$ s
至此，真相大白…… % V+ F* _) I$ Q8 m* A' N. q# \* M
6 m! t0 B2 l- F2 `, ~ 我們?cè)賮?lái)復(fù)習(xí)一下流氓軟件（惡意軟件）的官方定義：是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計(jì)算機(jī)或其他終端上安裝運(yùn)行，侵犯用戶合法權(quán)益的軟件，但已被我國(guó)現(xiàn)有法律法規(guī)規(guī)定的計(jì)算機(jī)病毒除外。其具有如下特點(diǎn)：強(qiáng)制安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意收集用戶信息、惡意卸載、惡意捆綁等。 / a2 |0 C5 l |" k1 b
2 V1 J. @* ^: h/ D! `" f ]
由此定義，對(duì)比新版優(yōu)化大師的行徑，相信大家自會(huì)有所明斷。 {6 a4 G U$ d8 B2 T
3 @8 ~: z. v7 T4 X9 }8 E, ~ ?0 Z; Y% `
在CNBETA發(fā)文之后，優(yōu)化大師官方迅速推出了V7.93.9.305版本，將游戲大廳修改為安裝可選項(xiàng)，但據(jù)網(wǎng)友反饋，其篡改搜索引擎的行徑卻依舊故我，其它幾項(xiàng)暫未做檢測(cè)，故不加評(píng)論。
3 Y+ W$ g) B9 x" t- k+ c1 l0 h
& I9 _- L' q* u) X* {5 m 因仍有許多已安裝V7.93.9.303版本的網(wǎng)友不知如何修復(fù)被篡改的系統(tǒng)，故在此提出簡(jiǎn)單修復(fù)解決辦法，僅供參考 . E9 {; \, v; e. p
! o8 X/ Q7 r [" M3 G( T 當(dāng)然了，修復(fù)的前提是先卸載掉此版本優(yōu)化大師~~
+ G/ } F$ s! t6 V8 d& J1 r5 ^8 _/ Q
針對(duì)前文所述4項(xiàng)內(nèi)容，進(jìn)行以下修復(fù)： & w8 K% l* |$ \ M
& E5 ?2 E$ Z1 W$ M 第1項(xiàng)可自行刪除C:\ProgramFiles\GAMEHALL文件夾及開(kāi)始菜單快捷方式； 6 |7 p' _3 \* Q
% L8 A8 R, a* H7 c' G+ u* u 第2項(xiàng)可在卸載優(yōu)化大師后，在IE的INTERNET選項(xiàng)中自行修改（WIN7系統(tǒng)最好同時(shí)勾選“阻止程序建議對(duì)默認(rèn)搜索提供程序進(jìn)行的更改”），之后手動(dòng)清理注冊(cè)表以上所列項(xiàng)目；
! K( j' Z. k- {* P `) W2 g0 w- \9 t# N, D& w
第3項(xiàng)需修復(fù)注冊(cè)表以下兩項(xiàng)：
5 M* i2 @; N+ L: B6 ~) o+ w/ R: o. q/ ~
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies 7 A( i9 M1 D0 T+ }. I/ g
% T4 E) h1 W- y" v! E! Q
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies / k$ B9 X; u9 p( U4 B
2 a, D8 Q" G( K! o- A VISTA、WIN7下修改為%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies / r1 p; m6 i; S. f3 d8 f
/ M% q. }5 Q1 h4 E
XP下將兩項(xiàng)分別修改為C:\DocumentsandSettings\LocalService\Cookies和%USERPROFILE%\Cookies 5 ~2 L' y; G1 R9 T
( N1 _: I( K3 J0 b: S$ M* |. j# `
重啟電腦后刪除所有盤(pán)符要目錄下的Software文件夾；
( ?, Z E9 M: F8 f- Z' C
$ v: L" y( W# w$ {2 c. Q/ H 第4項(xiàng)因筆者水平有限，暫無(wú)解決辦法. |
|本地廣告聯(lián)系: QQ:905790666 TEL:13176190456|Archiver|手機(jī)版|小黑屋|汶上信息港
( 魯ICP備19052200號(hào)-1 )
發(fā)表于 2009-5-7 10:16:30
QQ好友和群
QQ空間
提升卡
置頂卡
沉默卡
喧囂卡
變色卡
顯身卡
發(fā)表于 2009-5-7 14:41:58