標(biāo)題: 優(yōu)化大師流氓行徑分析及修復(fù)方案 [打印本頁] 作者: 秋官 時(shí)間: 2009-5-7 10:16 標(biāo)題: 優(yōu)化大師流氓行徑分析及修復(fù)方案 自優(yōu)化大師推出V7.93.9.303版本以后，不少安裝此版本的用戶隨即發(fā)現(xiàn)，自己的電腦中多了一些不明文件及程序，并且搜索引擎被強(qiáng)行篡改，隨即紛紛到優(yōu)化大師官方論壇提出問題、尋求解答。但眾多用戶的反映卻未收到官方任何回應(yīng)，反而被一一刪帖。直到有氣憤不過的網(wǎng)友在CNBETA投遞并刊發(fā)“強(qiáng)制百度搜索添加可疑文件優(yōu)化大師全面轉(zhuǎn)型流氓大師”一文，引起各方關(guān)注，官方才匆匆發(fā)出一個(gè)公告，但此公告卻只是“正式”地聲明并隆重介紹了一下它推出的新游戲程序，對(duì)網(wǎng)友反應(yīng)的其它問題卻只字未提。 * ^& W1 e; N. ?; @6 R0 T% C
- b& ] G M: e T
做為多年的優(yōu)化大師使用者，筆者也是第一時(shí)間趕到官方論壇，本著對(duì)優(yōu)化大師多年良好聲譽(yù)的信任，積極提出問題現(xiàn)象并綜合網(wǎng)友討論提出了一些解決辦法，然而，卻遭受到了刪貼、封IP、鎖ID的待遇。一個(gè)“優(yōu)秀”軟件的官方論壇竟然這樣對(duì)待用戶的意見反應(yīng)，不禁令筆者疑竇叢生，于是對(duì)此版本軟件進(jìn)行了詳盡測(cè)試，并參考一些網(wǎng)友的反饋，得出結(jié)果令人大跌眼鏡。下面我們就來看看這個(gè)新版的“優(yōu)化大師”是怎樣在用戶毫不知情的情況下對(duì)用戶電腦進(jìn)行“優(yōu)化”的： * C( h1 W: {0 g: }/ w# b
! g; E" O0 T$ [: L
1、強(qiáng)制安裝GAMEHALL游戲大廳： 3 V/ x. M7 B! g7 ^# N
9 V7 X. t( C6 |7 H# ?, L/ B 默認(rèn)安裝在C:\ProgramFiles\GAMEHALL，并在開始菜單添加快捷方式。 " J! d; z4 c' q* o' [0 n. k/ F+ [: k; n8 E Q/ X. H0 ?9 g8 [. e" L
2、強(qiáng)制添加并篡改IE搜索引擎： 7 x5 ^: T6 S$ _3 ^ 5 ` r- ~5 O F5 [0 `9 ^" ? 安裝新版Windows優(yōu)化大師后，即使不選擇任何設(shè)置，系統(tǒng)注冊(cè)表會(huì)被修改，添加和修改的內(nèi)容如下（此項(xiàng)內(nèi)容引用網(wǎng)友評(píng)測(cè)）： $ G# C7 q$ D9 I2 l* V 7 ?9 F+ ~( v- e [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\Search] , }; F. y1 I, e" A% [
, N. C7 @# n+ D% S6 } "CustomizeSearch"="http://www.baidu.com/baidu?tn=youcome_pg" 8 M/ y5 l9 m j
7 Q8 ?- W5 H- a' x+ z( n "SearchAssistant"="http://www.baidu.com/baidu?tn=youcome_pg" 9 a+ h5 i. I& G3 Q 9 z0 w$ X) q7 [7 X' x, P9 S" E [HKEY_LOCAL_MACHINE\SOFTWARE\Wom] 0 S) e6 z; Q! G# v J! I" }0 g2 q. c" A& e8 s3 b4 V
"Masters"="0F0F0F0F" . X5 f8 W, g8 m. T! v! z5 `# G
( b2 r. m5 T; v: l9 l. Q9 V; z "WoptiP2PLibrary"="V:\\WoptiUtilities\\WoptiP2P.dll" 4 u/ R" \# ]+ X% o& F, B( t( T0 f* u- e
"WoptiUtilities"="V:\\WoptiUtilities\\WoptiUtilities.exe" % o0 U2 b4 g; f6 r& f* a& D+ b 4 Q) I# s$ a9 h4 I" w% U [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes] * }$ N$ h& I! ?) X( p1 ^" r : @2 J4 ]3 F; R; A. Z "DefaultScope"="Baidu" $ m, T# E' I. B5 _: x! S
$ y3 h: O' r, H* D4 ?6 J
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}] ' x8 f0 m# E" V7 W* @( K
* ]7 Y) _* P W% a' ~2 L P "URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3" * x; A1 W3 y/ t
F9 k; t+ n' e K
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Baidu] ' X) |/ R$ V/ I2 j( z: i; c+ ~$ K
, i2 O9 s7 U% A! U3 H1 _
"Codepage"=dword:0000FDE9 7 Y( a' U. `; w( m
) v k2 o# `, k" U3 m j0 V
"DisplayName"="百度搜索" . R" p9 Z% E( [
1 `+ x5 x# O+ t2 b @! V "SortIndex"=dword:FFFFFFFD ' W: ^# F0 r0 P7 {6 V" r8 G$ A
' u' V& ^9 r! R U) H
"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3" ! _) N( e4 |8 ^. W4 V/ X6 Y, f/ s8 o3 L
, }. ]! C6 i8 A( u; G [HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Google] ' c/ b; L# @! r# `) S v R! |0 }2 ]2 U & h& q- I7 ~1 | "Codepage"=dword:000003A8 " _3 ]; x" t7 w0 H
' d/ E6 r8 K2 v7 r4 R "DisplayName"="谷歌搜索" 0 T. j3 F) N0 y& V- r" T" Q& n9 @+ y
"SortIndex"=dword:FFFFFFFE + t; `# G0 N2 _( R3 e7 o6 u4 D 7 B& _2 R. B& S2 W U% I "URL"="http://www.google.com/search?hl=zh-CN&q={searchTerms}&lr=" ; ^+ E8 P$ J8 L- W# r. ^0 @2 ]/ S: J8 [" \2 e8 K' t. C3 _& h
[HKEY_CURRENT_USER\Software\Microsoft\Windows] 7 e8 \5 n) U% e6 \8 E$ X ; d+ M; U/ p i1 Y& M8 i "Verion"="0013E86C8919" 9 p' B/ \3 c7 a2 K, K9 f. d2 A& f
" P% p/ F6 f Q* i9 @" u
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Connections] 8 |& a9 _3 l' m' w
i: F$ A: u/ U# N# x) I
"SavedLegacySettings"=hex(03):46,00,00,00,70,01,00,00,01,00,00,00,00,00,00,\ . Q5 ~' Z% s# H
- t1 q1 y( v H3 @7 N 00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,10,c5,58,13,73,7b,c9,01,\ . X6 S5 b1 e m- X* S3 J$ C; a7 k
: Z' ^9 V5 {1 \
01,00,00,00,7f,00,00,01,00,00,00,00,00,00,00,00,00,00,00,00 ( c$ z; Z1 M/ w
" [4 s# t$ }1 Z# F) s# W. R$ k/ t
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3] + r( n$ v3 m- V( A ; ^- ?! N# L* C2 {+ i6 J6 u "1803"=dword:00000001 E3 d( W4 m5 a; w, f! ]7 ^
% M& f0 e. K ]) d( V2 I 同時(shí)中途可能會(huì)連接以下不明網(wǎng)址： 2 `$ ?8 Q# S4 c
9 w) P! G7 I4 F) G4 @# T6 ?
www.930930.com + d* U& O5 p7 W2 D; E: Z$ y- ^/ ^ U- H" \
www.304304.com 9 U& |2 \7 }2 x/ V+ y * t& r6 \" Q- N9 g www.072072.com + S8 F. f! V2 \5 {. ]3 B
2 A+ v* ~: f0 v$ o0 P
072072.com 6 i L1 ?1 f. M# M 6 ^& K* d% ]* ` www.146146.com }' H; q" R! b+ d7 L2 k- b; \ , @( Z: E$ i( V; F& R& q 146146.com 3 p1 s& }9 e/ q3 M/ [& `$ ` 6 l2 _# ^% @5 m {* s- A 397397.com 2 M" i; m* ?" | Z0 N# s% }7 q 1 l* z( t0 I- o- r7 a, Y' M, y 265.com / S* K( a8 x# r( m9 c1 F5 ?9 Y
" }- }+ ]& x% U @) E liveupdate.baidu101.com % a( g2 Y9 y: w
- r) A- k+ U( ~, U$ `
3、強(qiáng)行修改注冊(cè)表并劫持COOKIES： 6 V5 k3 H. Z; D- L6 n5 r: z( D
8 d$ q) m% l! r' u 安裝新版Windows優(yōu)化大師后，會(huì)在用戶電腦系統(tǒng)盤及優(yōu)化大師安裝盤根目錄下生成無法刪除的文件夾Software，里面都包含好幾層文件夾及隱藏文件X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat（X代表所在盤符，下同），同時(shí)，修改注冊(cè)表以下兩項(xiàng)： ) G/ H c" V* ]# n0 u3 T$ c c" J" U
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies $ s2 c. t4 ^2 |$ j1 x: P4 a
3 S1 K; s# r( C' y0 F! k& W HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies & l5 M A; F1 N9 l; t( p i% K" _4 L' d* o
為X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat 7 e& o; W& E# h7 }# F 9 s0 A9 U3 h; J0 C/ B 此項(xiàng)內(nèi)容的目的正是為了隱藏其在后臺(tái)偷偷鏈接某些不明網(wǎng)站的行徑，掩飾那些不停生成、快速增長的cookies文件，而強(qiáng)行將用戶COOKIES劫持到新生成的Software文件夾，只不過，因?yàn)榧夹g(shù)人員的一時(shí)馬虎，忘了將最外層的Software文件夾也加上“隱藏”屬性，才暴露無遺…… ( o; i' B0 p. h; }
& X& _5 `) T A
4、APIHOOK： & R; d. C) D; q7 d g* ~2 n 8 t+ w% |* y# |; u" i' x" b- J 安裝新版優(yōu)化大師后，會(huì)將系統(tǒng)入口點(diǎn)FindFirstFileExW掛鉤至0xB8ED3A26模塊。 0 L% t1 k( g6 Y 6 R- o( U3 C# y4 {4 ] 此項(xiàng)為網(wǎng)友反饋，因筆者水平有限，對(duì)此不甚了解，搜索網(wǎng)絡(luò)也未見有相關(guān)模塊信息，還希望有技術(shù)高手繼續(xù)研究分析出其實(shí)質(zhì)。 ) F& m2 p" b* O" V& P9 s7 J' [
# I& a! C1 \9 d" ^ 至此，真相大白…… ! g3 O& x2 z2 y, m " a) p/ W! S1 e4 w( @4 E' y* d 我們?cè)賮韽?fù)習(xí)一下流氓軟件（惡意軟件）的官方定義：是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計(jì)算機(jī)或其他終端上安裝運(yùn)行，侵犯用戶合法權(quán)益的軟件，但已被我國現(xiàn)有法律法規(guī)規(guī)定的計(jì)算機(jī)病毒除外。其具有如下特點(diǎn)：強(qiáng)制安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意收集用戶信息、惡意卸載、惡意捆綁等。 9 Q4 m4 U* k! c9 }+ W1 \ ) l9 i+ }9 V0 Y6 E, F& L0 ~9 Q 由此定義，對(duì)比新版優(yōu)化大師的行徑，相信大家自會(huì)有所明斷。 % a% {$ c- n& Z3 e9 w6 K/ v( N) F( X, h
! @4 }# E' ]% r( p 在CNBETA發(fā)文之后，優(yōu)化大師官方迅速推出了V7.93.9.305版本，將游戲大廳修改為安裝可選項(xiàng)，但據(jù)網(wǎng)友反饋，其篡改搜索引擎的行徑卻依舊故我，其它幾項(xiàng)暫未做檢測(cè)，故不加評(píng)論。 * H$ w1 T% L. p- F6 q: c
: L+ M9 ^% p, A
因仍有許多已安裝V7.93.9.303版本的網(wǎng)友不知如何修復(fù)被篡改的系統(tǒng)，故在此提出簡(jiǎn)單修復(fù)解決辦法，僅供參考 - V. k3 P `7 z8 O# t & M2 u9 W7 {$ @- `+ Y8 q5 M, H 當(dāng)然了，修復(fù)的前提是先卸載掉此版本優(yōu)化大師~~ 1 o3 h" H4 P$ n! i0 U/ J
' {* ?7 \: @5 T2 B6 w5 A9 i 針對(duì)前文所述4項(xiàng)內(nèi)容，進(jìn)行以下修復(fù)： ( t' O4 o4 M( D& J0 ^/ I) B
" V$ z7 z5 ^3 z$ H
第1項(xiàng)可自行刪除C:\ProgramFiles\GAMEHALL文件夾及開始菜單快捷方式； % k9 ~5 E5 [) o5 z+ w
5 T" h2 j. {: N4 q1 d8 y
第2項(xiàng)可在卸載優(yōu)化大師后，在IE的INTERNET選項(xiàng)中自行修改（WIN7系統(tǒng)最好同時(shí)勾選“阻止程序建議對(duì)默認(rèn)搜索提供程序進(jìn)行的更改”），之后手動(dòng)清理注冊(cè)表以上所列項(xiàng)目； & ^) \5 \: i5 w! e, n R
) v+ b' I) |' v, V0 i' M, U
第3項(xiàng)需修復(fù)注冊(cè)表以下兩項(xiàng)： 2 ^$ L, ^5 U$ |( G
* v7 V7 B% ^* O! M8 ?2 |, x: w/ e HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies + S/ D" J, N' E, [- |# y- N. t. @, B8 C: I- Y. H
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies ! p: b, \3 I% ]9 ]
1 X+ @! p" y% G- r! Z* C VISTA、WIN7下修改為%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies 6 N7 D& K* c2 v" }5 T* k2 ^' O6 ~) q* s- A5 F0 k: k9 V! a
XP下將兩項(xiàng)分別修改為C:\DocumentsandSettings\LocalService\Cookies和%USERPROFILE%\Cookies 0 Y E' `# Z+ S6 ~9 n
! Q! v9 ^ _0 T, g+ N
重啟電腦后刪除所有盤符要目錄下的Software文件夾； 5 l# @! n ^0 N& @+ R3 z) M 5 A; T- G+ z8 v/ y/ a5 g/ Y7 F( W 第4項(xiàng)因筆者水平有限，暫無解決辦法.作者: 御風(fēng) 時(shí)間: 2009-5-7 14:41
沒有用過優(yōu)化大師