ZDNet Taiwan - 名家專欄 - 王應達 - 我的工具列會出賣我嗎？(下)

註冊 | 登入 | RSS Feeds

ZDNet | Taiwan.CNET.com |

2008年11月23日

我的工具列會出賣我嗎？(下)

| 留下回應

王應達 2006/09/08 07:00:27 上一篇曾提及，有的類似IE工具列的東西總是要五毛給一塊，往往都是包藏禍心。那許多使用者不禁懷疑：我的工具列會不會有問題？

我的工具列會出賣我嗎？

如果你現在已經使用 BHO工具列，有幾個簡單的方法可以辨識：

‧一開機或沒上網就出現彈出廣告
某些不受歡迎的軟體會不斷顯示與你正在瀏覽的網站完全無關的彈出廣告。這些廣告通常都與成人網站有關，或與其他可能令你反感的網站有關。如果你一開電腦，或甚至還未開始上網瀏覽時就看到彈出廣告，你的電腦可能已被植入間諜軟體或其他不受歡迎的軟體。

‧網頁瀏覽器設定被更改，而且無法恢復為原來的設定：某些不受歡迎的軟體可能會更改你的瀏覽器首頁或搜尋網頁設定。這表示當你啟動網頁瀏覽器後第一個開啟的網頁，或是當你按下「搜尋」時顯示的網頁，並不是你原本想要找的網頁。

‧無法移除
額外的工具列不知何時悄悄進駐，而你根本不需要這些工具列。但即使你知道如何移除這些工具列，卻發現這些設定在電腦重新啟動後就又恢復原狀。

‧電腦效能變得很慢
間諜軟體與其他不受歡迎的軟體設計時並不一定會考慮到執行效率。這些程式在追蹤你的活動與顯示廣告時所佔用的資源可能會讓你的電腦速度變慢，而且軟體中的瑕疵可能造成你的電腦當機。

‧程式異常終止次數變多
如果你發現某個程式異常終止的次數突然增加，或是你的電腦執行例行工作時，速度好像變得比平常慢，你的機器中可能已被植入間諜軟體或其他不受歡迎的軟體。

請神容易送神難

當你發現當初安裝的工具列可能吃裡扒外，後悔之餘想辦法要把它請出門時，其實並沒有那麼容易。廣告軟體或BHO經常用反移除與藏匿技巧在你PC上賴著不走。運用的手法包括：重新啟動處理程序： AbetterInternet 這隻廣告程式會運用重新啟動處理程序這項技巧，防止反間諜程式掃瞄工具將它移除。它的元件檔案 POLLER.EXE 會使用隨機檔名植入系統目錄中。然後這個檔案就會載入記憶體中執行，一旦使用者嘗試終止這個處理程序，它便會使用另一個隨機檔名重新啟動。（不過，使用者到 [工作管理員] 便能終止處理程序。）

建立隨機檔名與執行機碼： AbbeeterInternet廣告程式還會建立隨機檔名與隨機執行機碼，以避免被依據檔名與執行機碼值進行偵測的傳統間諜程式防護軟體移除。

記憶體中植入影像複本：它另一個元件檔案 NAIL.EXE 則會將本身的影像複本植入 EXPLORER.EXE 記憶體空間中。它會建立一個 Win32NailEvent 事件物件，配置虛擬記憶體，然後將它的影像複本寫入 EXPLORER.EXE 記憶體空間中。由於這個廣告程式的影像已經載入記憶體中，因此若使用者嘗試將其原始檔案從磁碟中刪除，它也能再產生一個複本，此外它也能隱藏處理程序，避免被使用者發現。

利用Winlogon Shell進行繁殖： NAIL.EXE 檔案會修改登錄中的 Winlogon Shell (EXPLORER.EXE) 命令，將自己加入此命令中作為參數，以便系統每次啟動時都能執行。

如何避免惹禍上身

因此，不論是BHO或任何間諜軟體，最好的方法就是一開始就防止它進入你PC，方法也是一些老生常談，包括：

‧更新瀏覽器修正程式，避免廣告程式潛入有安全弱點的瀏覽器

‧避免點擊彈出式廣告或不明內容視窗

‧使用P2P 軟體、軟體破解程式得當心隨著「免費程式」或「共享程式」一起下載廣告程式

‧避免點選即時通訊、電子郵件訊息內可疑惑來路不明的網站連結

‧小心安全警告訊息，在這個彈出視窗背後，極可能有廣告/間諜軟體正準備安裝。

‧安裝 PC-cillin2006/ 反間諜精靈/ OfficeScan 等具有反間諜功能的防毒/安全軟體，並更新至最新的病毒碼檔案

狡猾「廣告程式」常利用搭配軟體的方式，設法誤導使用者下載安裝並賴在你電腦中不走。下次若有任何廠商提供臉部表情、螢幕保護程式或其他非你要求的任何東西，請記住我們經常教導小學生的一句話：「just say no!」。

X　X　X　X　X　X　X　X　X　X　X　X　

雖然本文談的是工具列，不過這裏我希望告訴大家其他免費、但其實十分狡詐的小工具，當作一個「沙必思」吧。

其他免費小工具風險大

大多數像 Best Offers Network 這類廣告程式都會夾帶受歡迎的下載軟體與無害的 Web 元件，例如免費/試用版軟體、遊戲、音樂、笑臉插件和滑鼠游標、螢幕保護程式以及其他小工具等等，以便藉機進入使用者的電腦中。

另一惡名昭彰的廣告軟體ADW_ISTBAR.B，則在許多提供 mp3 下載、序號與破解程式、遊戲破解工具、歌詞以及成人內容的第三方網站進行散播，一旦使用者進入www.SlotchBar.com的加盟網站便能自動安裝 ActiveX 控制項以散播 IST 工具列等產品。多達五次的「安全性警告」視窗，讓使用者誤以為必須選擇「是」才能繼續操作。

AbetterInternet 和另一個以移除方法極為複雜而著稱的廣告軟體Web Search，都會在未告知使用者的情況下自動進行更新，這會佔用網路頻寬並降低使用者電腦效能，更嚴重可能會消耗大量系統資源而導致當機。

另外曾經在Claria 廣告橫幅所宣傳的是一個稱為 Precision Time的程式 — 它會依據標準時間來校正使用者電腦的時鐘。聽起來似乎十分便利，但其中有個陷阱：其實 Windows XP 本身就已包含這項功能。對於 XP 的使用者而言，Precision Time 根本不具任何價值。相當諷刺的是 — Precision Time 會佔用 CPU 週期、記憶體與硬碟空間，它會顯示 Claria 惱人的彈出式廣告，而且它還會將使用者瀏覽過的網站記錄傳送給 Claria 伺服器。這些廣告與記錄對 Claria 極為可貴：Claria 除了以高價出售廣告空間，還可銷售使用者線上行為「研究」的使用權。

作者目前擔任趨勢科技技術總監一職，具備豐富的防毒、防駭等資訊安全經驗，並擔任趨勢科技對外技術發言人。在趨勢科技服務 5年期間，長期服務國內外大型企業客戶，包括台積電、國泰世華銀行及中華電信等，也參與許多大型的 ISP及 IDC 防毒建置與規劃。