搞定了一个流氓广告软件

精彩来自  

 

由于前几天安装了一个不该安装的软件，什么一艘，播客全都流氓般的入住偶的爱机。等安装完才恍然大悟，安装程序除了流氓软件别的什么都没有，真是中大彩了，我日！随后动用各种武器对付他们：

1 添加删除里面，先用他们自带的删除工具搞了一下，虽然知道不会彻底但还是这部走先

2 木马克星，hijackthis统统上阵，仔细盘查

3 浏览器 插件管理 禁用 莫名的插件

 

本以为万事大吉，没想到今天用遨游开网页，自动跳出一个， ，正好闲着，仔细研究一下这玩意是什么来头。

先用木马克星拍了一个系统快照，找出受怀疑的dll，其中一个dll映入我的眼帘：C:\Program Files\Common Files\System\mod\msdw.dll。它是rundll32加载的。

再用木马克星搜了一遍系统盘，偶也，找到了。它在 windows系统目录下生成了一个wininit.ini的文件，这是干吗用的？不是好东西，估计是在系统初始化时候执行命令，打开，果然有msdw.dll,还有mstd.dll。另外还查到system32\webm\IRJIT.dll。

重新启动进入98，删掉上述三个文件，再进入系统，发现还有，哈，没那么简单 继续找。

在C:\Program Files\Common Files\System\msdc32.dll是个隐藏文件，到注册表里嗖嗖看。

在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run 里面找了罪恶的根源，删掉！！！

再重启进入98，删掉msdc32.dll和mod文件夹，再启动，rundll32提示找不到msdc32.dll，该死的东西竟然再关闭系统的时候再次覆盖了注册表。不过找不到msdc32.dll它就不能有后续的流氓行为了。再删注册表，搞定

 

总结：再无耻的程序也会有马脚，通过隐蔽的加载dll常驻内存然后通过判断窗口是否有浏览器，然后从某网站下载广告地址，随机打开广告地址。通过检查C:\Program Files\Common Files\System\mod\就能知道是否有此流氓了

清除方法：安全模式删除隐藏文件msdc32.dll和mod文件夹，重启rundll32提示错误之后运行regedit,搜索msdc32.dll删除所有相关键值。