標(biāo)題: 優(yōu)化大師流氓行徑分析及修復(fù)方案 [打印本頁] 作者: 秋官 時(shí)間: 2009-5-7 10:16 標(biāo)題: 優(yōu)化大師流氓行徑分析及修復(fù)方案 自優(yōu)化大師推出V7.93.9.303版本以后，不少安裝此版本的用戶隨即發(fā)現(xiàn)，自己的電腦中多了一些不明文件及程序，并且搜索引擎被強(qiáng)行篡改，隨即紛紛到優(yōu)化大師官方論壇提出問題、尋求解答。但眾多用戶的反映卻未收到官方任何回應(yīng)，反而被一一刪帖。直到有氣憤不過的網(wǎng)友在CNBETA投遞并刊發(fā)“強(qiáng)制百度搜索添加可疑文件優(yōu)化大師全面轉(zhuǎn)型流氓大師”一文，引起各方關(guān)注，官方才匆匆發(fā)出一個(gè)公告，但此公告卻只是“正式”地聲明并隆重介紹了一下它推出的新游戲程序，對網(wǎng)友反應(yīng)的其它問題卻只字未提。 5 c" i6 h' x8 K 6 _# Y7 q. Z" p2 b1 Q 做為多年的優(yōu)化大師使用者，筆者也是第一時(shí)間趕到官方論壇，本著對優(yōu)化大師多年良好聲譽(yù)的信任，積極提出問題現(xiàn)象并綜合網(wǎng)友討論提出了一些解決辦法，然而，卻遭受到了刪貼、封IP、鎖ID的待遇。一個(gè)“優(yōu)秀”軟件的官方論壇竟然這樣對待用戶的意見反應(yīng)，不禁令筆者疑竇叢生，于是對此版本軟件進(jìn)行了詳盡測試，并參考一些網(wǎng)友的反饋，得出結(jié)果令人大跌眼鏡。下面我們就來看看這個(gè)新版的“優(yōu)化大師”是怎樣在用戶毫不知情的情況下對用戶電腦進(jìn)行“優(yōu)化”的： 2 }: ^) M: m/ @' G 2 c( v, F; g; k7 M0 W/ P L# x 1、強(qiáng)制安裝GAMEHALL游戲大廳： 5 P% ]# @$ B9 K' g
- ^, m6 ?$ g$ W
默認(rèn)安裝在C:\ProgramFiles\GAMEHALL，并在開始菜單添加快捷方式。 & l/ Y" M! @2 A( S6 {+ P" |/ D; W+ I0 R% w) c' X% ~& V4 E
2、強(qiáng)制添加并篡改IE搜索引擎： ! A2 u- u# L; O $ r( _3 D9 q P" d5 q 安裝新版Windows優(yōu)化大師后，即使不選擇任何設(shè)置，系統(tǒng)注冊表會(huì)被修改，添加和修改的內(nèi)容如下（此項(xiàng)內(nèi)容引用網(wǎng)友評測）： % O& y/ y# G/ ?9 x# u* K0 v( j6 g6 k 8 z; [& s, P" W [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\Search] + ]+ `: a% H. ^2 S+ k; J/ s
6 D" G2 V2 A5 Q "CustomizeSearch"="http://www.baidu.com/baidu?tn=youcome_pg" 3 X4 c9 u) m% a) U1 z5 A: M! O* U
. L+ `5 _2 i' w2 g- T5 X "SearchAssistant"="http://www.baidu.com/baidu?tn=youcome_pg" 9 E/ O# v4 r" o T
3 w* r. h) S/ A
[HKEY_LOCAL_MACHINE\SOFTWARE\Wom] 4 g3 a1 J. l g) G$ Y2 _. n
) b$ u5 \; b v "Masters"="0F0F0F0F" ! z( t, s( m: v, N/ \- w/ D" W; S
! F! I. \+ C+ c+ n* I
"WoptiP2PLibrary"="V:\\WoptiUtilities\\WoptiP2P.dll" 6 y! L- u6 Z( F
$ ~ B* v! `8 I- I# ^* C: a0 R
"WoptiUtilities"="V:\\WoptiUtilities\\WoptiUtilities.exe" * q, O# Y8 n6 w1 S* ^8 K9 `
) B4 F$ ^- i T8 W7 k- Q; K [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes] / n0 I* w" Z( }' n$ Q% |4 t. T& p! V
"DefaultScope"="Baidu" 8 W! B! l* S" @7 \* S7 Y3 H7 m0 {* p
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}] 9 J( v) h/ V2 \5 |7 ~5 g' N3 d
5 B! V7 m$ K/ y1 z8 l "URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3" ; A6 Z0 L+ N' G% c, m
( C! ]1 C, k1 S' B( x# E) q8 D/ w [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Baidu] + N: L3 |( [4 e* E# A
4 h, r) \) v0 |/ b' O0 P. {) Y "Codepage"=dword:0000FDE9 6 ?- n7 ?- `/ \! H. X2 c% h2 q3 ?7 k" f# \ Y! k! V5 _# ^ U! _
"DisplayName"="百度搜索" 0 |( q( w& D1 L3 m) q
. p: J6 F! h, h" n( H! j- L
"SortIndex"=dword:FFFFFFFD 5 N$ L9 s$ g1 A7 e2 S
2 s3 s/ Y( ^4 |2 B& m
"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3" ; R5 J. c. ^' v5 u% w3 d
; d& B1 P, x1 F4 \+ f" h% r [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Google] % A. t: X/ h. h* _4 E. e; a2 _
, u$ f( h& U% K- d+ z "Codepage"=dword:000003A8 3 L$ j; j! w, A6 z% w: G
3 G% v9 Y1 {2 ~# A+ r o" E
"DisplayName"="谷歌搜索" 7 e/ Z* G- D ?0 w
4 y7 z8 h" K! l. e4 N( _
"SortIndex"=dword:FFFFFFFE 1 G0 Q6 s$ @) y" d
% }" X: A. P3 c3 V) v "URL"="http://www.google.com/search?hl=zh-CN&q={searchTerms}&lr=" 2 _- g# l# E7 W
: A# k9 c* y# G" y0 z, s' f
[HKEY_CURRENT_USER\Software\Microsoft\Windows] " Y% h. y) i% g& Q
8 F2 x E2 k# m$ D! `; U
"Verion"="0013E86C8919" 5 e4 {0 v- ?* k+ f
( k( ~0 @9 P6 t6 n2 X" {
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Connections] 3 y% x2 j4 A8 R B; k/ \/ F5 H+ n& }
, X, u' L2 a( S) a! ~
"SavedLegacySettings"=hex(03):46,00,00,00,70,01,00,00,01,00,00,00,00,00,00,\ , d& W% h7 {- M
- X7 ~$ d0 d% \# ]9 J Z/ Z# C g# {
00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,10,c5,58,13,73,7b,c9,01,\ # [7 e8 H2 m: I" G, @) b 5 O g8 M% t3 B( j' V 01,00,00,00,7f,00,00,01,00,00,00,00,00,00,00,00,00,00,00,00 2 a# T: P# i% ~8 y/ ^2 D2 \7 F
& u, i/ B8 {9 u" H4 u" D [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3] + X! ?: c' s: u4 o. \9 H5 D8 z: j1 s1 y6 x' b. I& ]: i _
"1803"=dword:00000001 * }5 `" ? v% I0 h' e( d" f0 ^' ^' W) ?. Q, g, G% n' j' w0 E) s$ ?; H
同時(shí)中途可能會(huì)連接以下不明網(wǎng)址： 6 d, ?7 J' X5 g6 M8 k- ^: O6 E3 w x' C" q! A
www.930930.com , O( w T+ _, m" n& d5 r8 i9 A4 U1 k& S4 P2 |
www.304304.com " g1 F' ?! U- H% n 0 _0 y/ p' z$ r- t www.072072.com 9 o& w9 D1 ?! x; \
& W1 ^+ ~: C: u( |" Q 072072.com # p9 E$ h" c, a- ~5 H% j/ d7 y
( p f/ v2 S1 g% U' t
www.146146.com 3 o, v& P/ l/ i& K/ S5 i) r: W' }6 g9 X* b4 Q3 G4 ?0 a
146146.com . Y1 f. d# i) c; T( R$ t$ U% m f, c& D5 E
397397.com 8 f( X2 i' D& V( _! a }
P. H% ?# } R. ?0 b
265.com , d* e& ]9 Q% f* l% v
0 Y% k0 _2 R4 U, T" S liveupdate.baidu101.com & W1 f- |) E4 Y9 L7 E
& {3 V1 s" Q }1 k7 x3 Q
3、強(qiáng)行修改注冊表并劫持COOKIES： 5 y% j0 k7 ~/ k( G$ n9 y9 b
; x5 u/ _2 y. e2 M9 d 安裝新版Windows優(yōu)化大師后，會(huì)在用戶電腦系統(tǒng)盤及優(yōu)化大師安裝盤根目錄下生成無法刪除的文件夾Software，里面都包含好幾層文件夾及隱藏文件X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat（X代表所在盤符，下同），同時(shí)，修改注冊表以下兩項(xiàng)： 2 f+ k% K$ s/ f0 s: O3 ~9 |, N \9 R , [9 C, j- | A HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies , x4 \' V# ~3 P
1 y: K5 [' I1 A) w HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies " x3 F1 }" q- u* L; P6 ^+ b. J' i; Q7 H. t
為X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat * B% t1 `1 {4 y! B: h4 q# m' i* U. r$ ]8 B5 w4 I ]! r9 e# M
此項(xiàng)內(nèi)容的目的正是為了隱藏其在后臺(tái)偷偷鏈接某些不明網(wǎng)站的行徑，掩飾那些不停生成、快速增長的cookies文件，而強(qiáng)行將用戶COOKIES劫持到新生成的Software文件夾，只不過，因?yàn)榧夹g(shù)人員的一時(shí)馬虎，忘了將最外層的Software文件夾也加上“隱藏”屬性，才暴露無遺…… + a" {( }! z' ^. v s7 R$ T
* P f3 }' X' O0 v/ a. N+ ` 4、APIHOOK： 1 [* I) O/ i, _
7 S2 @% W1 C- @* m: K% q: y$ f
安裝新版優(yōu)化大師后，會(huì)將系統(tǒng)入口點(diǎn)FindFirstFileExW掛鉤至0xB8ED3A26模塊。 f3 O; i: L! Q% d3 d/ w% q. b % T# Y* w' C3 \4 A 此項(xiàng)為網(wǎng)友反饋，因筆者水平有限，對此不甚了解，搜索網(wǎng)絡(luò)也未見有相關(guān)模塊信息，還希望有技術(shù)高手繼續(xù)研究分析出其實(shí)質(zhì)。 1 c, }. u8 z% `$ ?0 Y
7 q }" ?7 T$ t7 s/ ^, Z! k0 o0 L! s 至此，真相大白…… 1 u1 ~" E3 P' K0 w; h7 i6 U0 r" f5 C9 X
我們再來復(fù)習(xí)一下流氓軟件（惡意軟件）的官方定義：是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計(jì)算機(jī)或其他終端上安裝運(yùn)行，侵犯用戶合法權(quán)益的軟件，但已被我國現(xiàn)有法律法規(guī)規(guī)定的計(jì)算機(jī)病毒除外。其具有如下特點(diǎn)：強(qiáng)制安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意收集用戶信息、惡意卸載、惡意捆綁等。 % K* S: q2 ?: R2 N4 C" b
! J- o' W; Z2 K- {% A7 F/ Y
由此定義，對比新版優(yōu)化大師的行徑，相信大家自會(huì)有所明斷。 ' m( L' X M- k) T2 _% s2 O# U* v; Y+ i! a! q( |
在CNBETA發(fā)文之后，優(yōu)化大師官方迅速推出了V7.93.9.305版本，將游戲大廳修改為安裝可選項(xiàng)，但據(jù)網(wǎng)友反饋，其篡改搜索引擎的行徑卻依舊故我，其它幾項(xiàng)暫未做檢測，故不加評論。 + p5 e" N- [: n2 P& I 5 w% ]) ~8 s; h8 s. |9 o 因仍有許多已安裝V7.93.9.303版本的網(wǎng)友不知如何修復(fù)被篡改的系統(tǒng)，故在此提出簡單修復(fù)解決辦法，僅供參考 ) y" g* u/ T) f0 M/ j4 z0 E# B, I8 J( p
當(dāng)然了，修復(fù)的前提是先卸載掉此版本優(yōu)化大師~~ $ o9 z2 {/ h8 _4 r0 r
6 [" Z# x8 A. L
針對前文所述4項(xiàng)內(nèi)容，進(jìn)行以下修復(fù)： 4 i7 a6 A4 X% c- s4 o; U5 p 4 R3 A! D: n) ^6 L( P2 E$ T, F 第1項(xiàng)可自行刪除C:\ProgramFiles\GAMEHALL文件夾及開始菜單快捷方式； . c$ y3 Z0 a- k2 U- U
9 Z3 @' f3 l. J: V9 c 第2項(xiàng)可在卸載優(yōu)化大師后，在IE的INTERNET選項(xiàng)中自行修改（WIN7系統(tǒng)最好同時(shí)勾選“阻止程序建議對默認(rèn)搜索提供程序進(jìn)行的更改”），之后手動(dòng)清理注冊表以上所列項(xiàng)目； ' n, A9 J: u; @2 D$ i" u7 U% _4 c5 H8 p
第3項(xiàng)需修復(fù)注冊表以下兩項(xiàng)： - J! y; b" z! F 4 p2 {( @1 ^, q; m8 t7 [ HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies 7 m" G3 q- T! m! m: l4 C
9 z6 n5 T' c, Z X& X) y
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies ! p% P! o; u) L2 M/ O8 Y1 p# _
1 N: i) ~# M; ]1 d Q
VISTA、WIN7下修改為%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies ) u& N; h5 q3 i" y- p$ p