優(yōu)化大師流氓行徑分析及修復(fù)方案

自?xún)?yōu)化大師推出V7.93.9.303版本以后，不少安裝此版本的用戶(hù)隨即發(fā)現(xiàn)，自己的電腦中多了一些不明文件及程序，并且搜索引擎被強(qiáng)行篡改，隨即紛紛到優(yōu)化大師官方論壇提出問(wèn)題、尋求解答。但眾多用戶(hù)的反映卻未收到官方任何回應(yīng)，反而被一一刪帖。直到有氣憤不過(guò)的網(wǎng)友在CNBETA投遞并刊發(fā)“強(qiáng)制百度搜索添加可疑文件優(yōu)化大師全面轉(zhuǎn)型流氓大師”一文，引起各方關(guān)注，官方才匆匆發(fā)出一個(gè)公告，但此公告卻只是“正式”地聲明并隆重介紹了一下它推出的新游戲程序，對(duì)網(wǎng)友反應(yīng)的其它問(wèn)題卻只字未提。
3 W) |0 o0 C) V! i' h7 M/ W
- u8 v" [: N6 j' F, w　　做為多年的優(yōu)化大師使用者，筆者也是第一時(shí)間趕到官方論壇，本著對(duì)優(yōu)化大師多年良好聲譽(yù)的信任，積極提出問(wèn)題現(xiàn)象并綜合網(wǎng)友討論提出了一些解決辦法，然而，卻遭受到了刪貼、封IP、鎖ID的待遇。一個(gè)“優(yōu)秀”軟件的官方論壇竟然這樣對(duì)待用戶(hù)的意見(jiàn)反應(yīng)，不禁令筆者疑竇叢生，于是對(duì)此版本軟件進(jìn)行了詳盡測(cè)試，并參考一些網(wǎng)友的反饋，得出結(jié)果令人大跌眼鏡。下面我們就來(lái)看看這個(gè)新版的“優(yōu)化大師”是怎樣在用戶(hù)毫不知情的情況下對(duì)用戶(hù)電腦進(jìn)行“優(yōu)化”的：
- S: p6 {* I6 ~
　　1、強(qiáng)制安裝GAMEHALL游戲大廳：

　　默認(rèn)安裝在C:\ProgramFiles\GAMEHALL，并在開(kāi)始菜單添加快捷方式。

! Y; Z" J6 d2 Z7 |( |　　2、強(qiáng)制添加并篡改IE搜索引擎：
5 `5 Z5 N$ ^5 O
5 X+ y/ a) y0 I& V# J　　安裝新版Windows優(yōu)化大師后，即使不選擇任何設(shè)置，系統(tǒng)注冊(cè)表會(huì)被修改，添加和修改的內(nèi)容如下（此項(xiàng)內(nèi)容引用網(wǎng)友評(píng)測(cè)）：
% V& _1 E8 P) b# o% a$ V
　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\Search]

6 J0 I. c' k0 Y. P( @6 v　　"CustomizeSearch"="http://www.baidu.com/baidu?tn=youcome_pg"
* ^$ ]- H/ B4 e" K
' F8 t, E' Y! w9 P- [3 n　　"SearchAssistant"="http://www.baidu.com/baidu?tn=youcome_pg"

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Wom]

! d0 B; H' n# s, u  P+ s$ e　　"Masters"="0F0F0F0F"

- N% P7 `9 _( H& |/ o* ]3 m+ ], s　　"WoptiP2PLibrary"="V:\\WoptiUtilities\\WoptiP2P.dll"
5 C9 I" j" Q: |0 j. ^2 `* X0 s9 S/ }7 I% J2 |
　　"WoptiUtilities"="V:\\WoptiUtilities\\WoptiUtilities.exe"

* C+ I: J" X0 C/ |4 B4 Z　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes]

　　"DefaultScope"="Baidu"
/ J; F* U/ ^. T3 h" p
　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}]

- O' N# g6 D! z! D: u. ]　　"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3"
" J! g. p" F. {- E4 n+ D
　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Baidu]
7 i7 f  W. }, x9 n4 s, ^: q6 C2 @
　　"Codepage"=dword:0000FDE9

　　"DisplayName"="百度搜索"
$ }% g" R1 H) e+ V4 x/ b
0 ~3 V9 y( o$ H( h　　"SortIndex"=dword:FFFFFFFD
, X* y5 |0 R1 N% E3 r" O6 X& ^
" _, A% y5 I" _7 V( w5 Q　　"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3"

　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Google]

　　"Codepage"=dword:000003A8
0 U7 d, G* Y) T6 ^$ t/ ]! p9 G$ ]
8 ~3 f  C9 t$ Y　　"DisplayName"="谷歌搜索"

　　"SortIndex"=dword:FFFFFFFE

3 G0 @9 y8 q8 O　　"URL"="http://www.google.com/search?hl=zh-CN&q={searchTerms}&lr="
& E3 f: Z  Y0 P* [6 g; s( z* A! L4 x9 k# N
! f% Y$ k" _2 O/ @) V　　[HKEY_CURRENT_USER\Software\Microsoft\Windows]

　　"Verion"="0013E86C8919"
7 n% e3 K: h9 i1 x
5 o0 y8 R$ c2 p. I6 y　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Connections]

$ O. f2 e( |; H& q4 j1 s　　"SavedLegacySettings"=hex(03):46,00,00,00,70,01,00,00,01,00,00,00,00,00,00,\
8 Q! N. y8 J8 ]& V' U8 r/ L
7 ~0 {9 H8 s+ W5 S* M& e9 k　　00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,10,c5,58,13,73,7b,c9,01,\
2 t5 D8 R' M% r5 l: c
　　01,00,00,00,7f,00,00,01,00,00,00,00,00,00,00,00,00,00,00,00

　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3]
+ S1 O, Q: |4 x  B* J& e+ A/ H( R
  J0 n5 @$ N% o　　"1803"=dword:00000001
9 q' L$ E/ ^5 |* n4 r7 u
& b& m& H; D5 C　　同時(shí)中途可能會(huì)連接以下不明網(wǎng)址：
+ H$ E/ F& T! |2 U& b5 t# c+ R+ n
: a# J+ }% n; J3 E) M* _* J　　www.930930.com

　　www.304304.com

　　www.072072.com
- }  O, J! v5 d) a3 ~
　　072072.com

& t0 C2 A8 l& r* T7 ]8 }# B　　www.146146.com

' w# G4 A; m' X% O2 B' p　　146146.com
; h! g+ o' x& ]: P/ X" a7 L5 E" }
　　397397.com

  o% O$ [+ `) e) m6 f! d# X) A) p　　265.com

" q8 f/ w) t6 |! a# L& k1 E( ^  B　　liveupdate.baidu101.com
4 z. f& L( E+ J1 c7 E+ n# s
　　3、強(qiáng)行修改注冊(cè)表并劫持COOKIES：
, j" Y$ G! {3 G' S( u
7 I2 x- x/ N( e9 V$ @' }　　安裝新版Windows優(yōu)化大師后，會(huì)在用戶(hù)電腦系統(tǒng)盤(pán)及優(yōu)化大師安裝盤(pán)根目錄下生成無(wú)法刪除的文件夾Software，里面都包含好幾層文件夾及隱藏文件X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat（X代表所在盤(pán)符，下同），同時(shí)，修改注冊(cè)表以下兩項(xiàng)：

# _1 o0 r- f, T3 I* M4 O　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies
3 M& K6 @9 g% N6 U" f: P+ ]6 b6 g
2 H+ Z  i! z  s: m8 [　　為X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat

" p9 X2 ]! [1 y, l3 b/ a　　此項(xiàng)內(nèi)容的目的正是為了隱藏其在后臺(tái)偷偷鏈接某些不明網(wǎng)站的行徑，掩飾那些不停生成、快速增長(zhǎng)的cookies文件，而強(qiáng)行將用戶(hù)COOKIES劫持到新生成的Software文件夾，只不過(guò)，因?yàn)榧夹g(shù)人員的一時(shí)馬虎，忘了將最外層的Software文件夾也加上“隱藏”屬性，才暴露無(wú)遺……

　　4、APIHOOK：
( Y  F' q! K2 i4 C) s8 ^
. s8 X' x1 {, v9 ^2 f7 V　　安裝新版優(yōu)化大師后，會(huì)將系統(tǒng)入口點(diǎn)FindFirstFileExW掛鉤至0xB8ED3A26模塊。
# L( Y" m& O' d1 ^) T' A
4 T" m: x6 a5 c! O7 P2 a+ S　　此項(xiàng)為網(wǎng)友反饋，因筆者水平有限，對(duì)此不甚了解，搜索網(wǎng)絡(luò)也未見(jiàn)有相關(guān)模塊信息，還希望有技術(shù)高手繼續(xù)研究分析出其實(shí)質(zhì)。
& m) U5 @& |: A$ M7 E
/ z3 m* |' k, D3 s, S　　至此，真相大白……
( T) Y: r, Q$ [
4 |) `2 J& Z( }% _* B　　我們?cè)賮?lái)復(fù)習(xí)一下流氓軟件（惡意軟件）的官方定義：是指在未明確提示用戶(hù)或未經(jīng)用戶(hù)許可的情況下，在用戶(hù)計(jì)算機(jī)或其他終端上安裝運(yùn)行，侵犯用戶(hù)合法權(quán)益的軟件，但已被我國(guó)現(xiàn)有法律法規(guī)規(guī)定的計(jì)算機(jī)病毒除外。其具有如下特點(diǎn)：強(qiáng)制安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意收集用戶(hù)信息、惡意卸載、惡意捆綁等。

　　由此定義，對(duì)比新版優(yōu)化大師的行徑，相信大家自會(huì)有所明斷。

　　在CNBETA發(fā)文之后，優(yōu)化大師官方迅速推出了V7.93.9.305版本，將游戲大廳修改為安裝可選項(xiàng)，但據(jù)網(wǎng)友反饋，其篡改搜索引擎的行徑卻依舊故我，其它幾項(xiàng)暫未做檢測(cè)，故不加評(píng)論。

　　因仍有許多已安裝V7.93.9.303版本的網(wǎng)友不知如何修復(fù)被篡改的系統(tǒng)，故在此提出簡(jiǎn)單修復(fù)解決辦法，僅供參考
& R3 P2 D/ v. c
) Q, A- G( s) h; @7 E( @$ ~　　當(dāng)然了，修復(fù)的前提是先卸載掉此版本優(yōu)化大師~~
( P4 s2 s5 E: k% I6 a/ f
　　針對(duì)前文所述4項(xiàng)內(nèi)容，進(jìn)行以下修復(fù)：
- R, t% H. e) g: t# j. Z
- |4 o0 }" ~7 M8 a- E8 P9 A( ^* z) `　　第1項(xiàng)可自行刪除C:\ProgramFiles\GAMEHALL文件夾及開(kāi)始菜單快捷方式；

　　第2項(xiàng)可在卸載優(yōu)化大師后，在IE的INTERNET選項(xiàng)中自行修改（WIN7系統(tǒng)最好同時(shí)勾選“阻止程序建議對(duì)默認(rèn)搜索提供程序進(jìn)行的更改”），之后手動(dòng)清理注冊(cè)表以上所列項(xiàng)目；
- N+ L  J* v) |
　　第3項(xiàng)需修復(fù)注冊(cè)表以下兩項(xiàng)：
; ]# k, }& d' v% w2 m4 B
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies
+ N. q/ ]/ O  N% B% s; |9 }& |" k
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies
+ i/ s* k+ [& E5 H% y  D" d  n
! V& K; \/ j' ~) N　　VISTA、WIN7下修改為%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies

2 o0 ^. B1 L* I. Y% F& ^  n$ d+ u　　XP下將兩項(xiàng)分別修改為C:\DocumentsandSettings\LocalService\Cookies和%USERPROFILE%\Cookies

" v% ?# C, [: M' H( I/ O# H1 N, b　　重啟電腦后刪除所有盤(pán)符要目錄下的Software文件夾；
  M0 `5 X; U# t
! Q, v+ j0 k) b/ k9 A　　第4項(xiàng)因筆者水平有限，暫無(wú)解決辦法.

沒(méi)有用過(guò)優(yōu)化大師