优化大师流氓行径分析及修复方案

自优化大师推出V7.93.9.303版本以后，不少安装此版本的用户随即发现，自己的电脑中多了一些不明文件及程序，并且搜索引擎被强行篡改，随即纷纷到优化大师官方论坛提出问题、寻求解答。但众多用户的反映却未收到官方任何回应，反而被一一删帖。直到有气愤不过的网友在CNBETA投递并刊发“强制百度搜索添加可疑文件优化大师全面转型流氓大师”一文，引起各方关注，官方才匆匆发出一个公告，但此公告却只是“正式”地声明并隆重介绍了一下它推出的新游戏程序，对网友反应的其它问题却只字未提。
- m- B+ x# R/ ]) ~1 F3 D) H/ B$ _1 M
) H, i# a. {  r; p. m5 X( ]　　做为多年的优化大师使用者，笔者也是第一时间赶到官方论坛，本着对优化大师多年良好声誉的信任，积极提出问题现象并综合网友讨论提出了一些解决办法，然而，却遭受到了删贴、封IP、锁ID的待遇。一个“优秀”软件的官方论坛竟然这样对待用户的意见反应，不禁令笔者疑窦丛生，于是对此版本软件进行了详尽测试，并参考一些网友的反馈，得出结果令人大跌眼镜。下面我们就来看看这个新版的“优化大师”是怎样在用户毫不知情的情况下对用户电脑进行“优化”的：

　　1、强制安装GAMEHALL游戏大厅：
! u: R/ P8 x# _* Z" }0 s8 {: L" ^3 c5 Y3 u
; I8 E/ A. v: J. M5 r8 _  ?/ ]　　默认安装在C:\ProgramFiles\GAMEHALL，并在开始菜单添加快捷方式。
2 s: B" Q% \! W% h% Y0 ?- Z
8 V+ O8 g0 b* N% a* y2 B　　2、强制添加并篡改IE搜索引擎：

　　安装新版Windows优化大师后，即使不选择任何设置，系统注册表会被修改，添加和修改的内容如下（此项内容引用网友评测）：
$ D+ O, ^! x; d
' `3 a  \! ~9 ^& e$ o1 s+ j$ P　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorer\Search]

9 v1 Y7 P: [9 A　　"CustomizeSearch"="http://www.baidu.com/baidu?tn=youcome_pg"

8 X2 r+ c5 z6 f) U; z7 Q( U　　"SearchAssistant"="http://www.baidu.com/baidu?tn=youcome_pg"

0 F  Y) k* r9 w: m' S- t! [6 W　　[HKEY_LOCAL_MACHINE\SOFTWARE\Wom]
: H8 T' f; D& `# t6 H4 c3 S4 I
( H: W4 Y5 m! ~2 |7 h　　"Masters"="0F0F0F0F"
8 t/ C, n7 I+ w
  Z& q7 M7 Q' Y, R　　"WoptiP2PLibrary"="V:\\WoptiUtilities\\WoptiP2P.dll"

/ A3 l% r  i0 {7 w0 X6 E3 _　　"WoptiUtilities"="V:\\WoptiUtilities\\WoptiUtilities.exe"

　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes]
/ d. ]9 \7 a' i. k& E3 A$ r2 T4 f
! f! q! U! G' c  z6 Y( _& C　　"DefaultScope"="Baidu"
  Z; Y+ ^! j, m8 X
　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\{24588FA4-10F1-41D7-B19D-6E22361E47FA}]
( K2 g4 z5 `1 u( v/ H! d- V" G5 a
　　"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3"

　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Baidu]
2 A, W9 P% m) U. F
　　"Codepage"=dword:0000FDE9
, L9 R0 v% V1 H9 }3 e( g
: ^3 B% {' Q, ~9 Q* t　　"DisplayName"="百度搜索"

  S7 y: P& V" m# [4 j+ c* L　　"SortIndex"=dword:FFFFFFFD

　　"URL"="http://www.baidu.com/s?tn=youcome_pgie=UTF-8&wd={searchTerms}&cl=3"
4 x6 h4 @( D8 f, J% q
0 t' x0 p9 `' z* S, l- x9 v3 a　　[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\SearchScopes\Google]
  r# @! [: Q/ r6 z6 t1 ]
　　"Codepage"=dword:000003A8

+ c- F8 h/ [" `0 ]& Z8 e) B　　"DisplayName"="谷歌搜索"
3 f; _, b+ y6 o7 o3 h3 ~
" Z! ?7 G/ m3 \; `5 @# |% D　　"SortIndex"=dword:FFFFFFFE

8 x8 u5 V5 o* I( m+ H' W　　"URL"="http://www.google.com/search?hl=zh-CN&q={searchTerms}&lr="
. R+ S0 j# g+ |% @( J( A
　　[HKEY_CURRENT_USER\Software\Microsoft\Windows]
% V" z- [4 k8 B7 w; k3 h9 [: i
6 x) N1 [' a( J' b8 E- P　　"Verion"="0013E86C8919"

　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Connections]

　　"SavedLegacySettings"=hex(03):46,00,00,00,70,01,00,00,01,00,00,00,00,00,00,\
6 ~$ Q0 Q( n, r
　　00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,10,c5,58,13,73,7b,c9,01,\

　　01,00,00,00,7f,00,00,01,00,00,00,00,00,00,00,00,00,00,00,00
& L) b8 I+ V2 P+ h; Q* F
/ Q) }" s+ N* o. y　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\InternetSettings\Zones\3]
( }( F- W: k/ [" s& _" c$ q
　　"1803"=dword:00000001

7 ^' {! W, p5 s* @　　同时中途可能会连接以下不明网址：
8 [: U: G1 g9 j1 v( T
7 I6 y  D$ R; D　　www.930930.com
' H. J; `8 O% V& p4 p, S- l& s! X" |
　　www.304304.com

: \; A0 V$ A" F" Z- j9 j% v　　www.072072.com

　　072072.com
5 F/ E( M0 B6 N4 t" x7 l
6 y" t# U# [) Y: E5 Z1 X$ C# O　　www.146146.com

　　146146.com

　　397397.com
  w- P; \& D8 a! T4 m9 d  H2 g; k
　　265.com
3 @$ c$ k' Y2 g$ n' g/ ^& ^
6 A  H# W- N  _2 V$ J% w; k1 Q　　liveupdate.baidu101.com
# Z- |+ D% v& B: y! Y3 s! v) e
　　3、强行修改注册表并劫持COOKIES：
  Y9 |; Q! z& S6 n! ^& U
　　安装新版Windows优化大师后，会在用户电脑系统盘及优化大师安装盘根目录下生成无法删除的文件夹Software，里面都包含好几层文件夹及隐藏文件X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat（X代表所在盘符，下同），同时，修改注册表以下两项：

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies
* y% d: F0 f" \
% w' _4 c: U) R( W& c　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies
- }2 `5 d" H5 M
% j1 _/ G7 V$ `9 y9 u0 H. e& X　　为X:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\index.dat

　　此项内容的目的正是为了隐藏其在后台偷偷链接某些不明网站的行径，掩饰那些不停生成、快速增长的cookies文件，而强行将用户COOKIES劫持到新生成的Software文件夹，只不过，因为技术人员的一时马虎，忘了将最外层的Software文件夹也加上“隐藏”属性，才暴露无遗……
9 Z4 S% C8 _% ]" {; f. |
0 W6 F3 ?. H! G; ?8 t　　4、APIHOOK：

　　安装新版优化大师后，会将系统入口点FindFirstFileExW挂钩至0xB8ED3A26模块。

1 e  [. E3 S- B9 n9 I　　此项为网友反馈，因笔者水平有限，对此不甚了解，搜索网络也未见有相关模块信息，还希望有技术高手继续研究分析出其实质。
5 m9 f# ~$ k/ ?2 l9 |
　　至此，真相大白……
( o3 T8 m7 o; P& X( i; w- t" s
  O, k- B( {, q; d! I1 u　　我们再来复习一下流氓软件（恶意软件）的官方定义：是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件，但已被我国现有法律法规规定的计算机病毒除外。其具有如下特点：强制安装、难以卸载、浏览器劫持、广告弹出、恶意收集用户信息、恶意卸载、恶意捆绑等。

  T8 u# \3 D, ?" u, a0 \+ V& b　　由此定义，对比新版优化大师的行径，相信大家自会有所明断。

% i7 Q) e' @/ @+ o" H. n& C　　在CNBETA发文之后，优化大师官方迅速推出了V7.93.9.305版本，将游戏大厅修改为安装可选项，但据网友反馈，其篡改搜索引擎的行径却依旧故我，其它几项暂未做检测，故不加评论。

. D0 \. E( b0 I　　因仍有许多已安装V7.93.9.303版本的网友不知如何修复被篡改的系统，故在此提出简单修复解决办法，仅供参考

. [. ?5 d. Q, E+ Z! a! P　　当然了，修复的前提是先卸载掉此版本优化大师~~
# Z3 K' {0 i+ a3 G) K$ K* w8 n
; b7 S. A# p# _% a# M' ]　　针对前文所述4项内容，进行以下修复：
- L$ z& c  W4 J# p3 N
　　第1项可自行删除C:\ProgramFiles\GAMEHALL文件夹及开始菜单快捷方式；
' r% c* w8 w) h
　　第2项可在卸载优化大师后，在IE的INTERNET选项中自行修改（WIN7系统最好同时勾选“阻止程序建议对默认搜索提供程序进行的更改”），之后手动清理注册表以上所列项目；

　　第3项需修复注册表以下两项：

  [4 u7 c# J6 ^: p% e　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Cookies

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Cookies

　　VISTA、WIN7下修改为%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies
7 P+ d4 ?" p% c0 y
8 i. R: G3 I$ |　　XP下将两项分别修改为C:\DocumentsandSettings\LocalService\Cookies和%USERPROFILE%\Cookies

　　重启电脑后删除所有盘符要目录下的Software文件夹；

' ]  X/ M. P& |4 ^4 H6 c　　第4项因笔者水平有限，暂无解决办法.

没有用过优化大师