作者shian928 (那你有没有想菠菜)
看板AntiVirus
标题[求救] 帮忙辨识恶档 与 尚未能根除广告绑架
时间Mon Nov 13 16:46:36 2017
(((更新 推文下有极短懒人包)))
大家好 文稍有点长
若是愿意帮忙的朋友 很谢谢您能愿意耐心阅读
问题有点琐碎 若各自有解决 愿意附上P币
会按解决比例给为我解决问题的不同板友 共税前400P
我尽量附上我能取得的资料 有所不足再请我补充
我的作业系统为Windows 10 专业版 1703
为了阅读清爽 文章最後才附上安装软体清单
正文开始
约快要两周前 我的电脑开始出现了以下的这些症状
(1)google搜寻结果出现大量广告
(2)youtube出现不寻常广告
(3)不会出现弹跳广告的正常网站 却弹出了不正常的广告
上网搜寻了一下
首先找到以下这篇文章 在Google板 时间为今年三月底
https://webptt.com/cn.aspx?n=bbs/Google/M.1490277807.A.F3C.html
上面该篇文章提及 当时的前天 本板也有出现类似案例 文章如下
https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1490077776.A.565.html
没时间点文章连结的板友
以下有两张借用於第一篇文章的图片 我的症状就像是这样
https://i.imgur.com/inNgzxT.png
https://i.imgur.com/JwIaDAy.png
根据第二篇文章的介绍 我使用了
(1)Malwarebytes
(2)Malwarebytes AdwCleaner
(3)Zemana AntiMalware
另外自己还使用了
(4)UnHackMe
(5)HitmanPro.Alert
(6)Avast 免费家用防毒
也用过
(7)CCleaner
来清除过暂存档
而能够在安全模式下执行的软体 我也都已执行过了
但目前还有少数一些琐碎问题如下
<1>Youtube似乎还是会出现不正常的广告 但是几天来我迅速尝试数次 好像又都没看到
所以我暂定此问题仍然存在
<2>这个问题比较奇怪吊诡一些 请详细听我解释
每当我按Firefox的套件"Session Manager"的按钮的前两三次
Malwarebytes会出现以下这样的弹出警告
https://i.imgur.com/CE53501.png
上图显示 看来是Firefox自己会连出去 想呼叫出广告
(就跟我上面爬的第二篇文章讲的一样)
好的 那我故意
将Malwarebytes关闭 浏览器关闭再重开
再故意去点套件按钮
却没有弹出任何广告
而除了按那个套件按钮之外
Malwarebytes会不会出现封锁视窗的警告 我是已经有点忘记了...
因为我的测试时间已有点久
而之後在M软体关闭後的一般上网 非按按钮 的情况当中
极偶尔机率会
换成Avast挡下弹出广告
而在M软体已关闭的前提下 去按那个套件按钮
会不会改被Avast去挡下弹出视窗 我也是已经有点忘记了
好像会又好像不会
今天特别再测试 是不会被Avast挡下 但也没有广告视窗弹出
所以我又故意
将Avast关闭 重开浏览器 以及测试非常多时间
总之的结论是 两个软体都关闭的情况下 竟从来没有任何恶意弹跳视窗出现过
<3>所以我就在想 若还没完全乾净 那最後的机会就是:
我用UnHackMe扫出来 有一些我不太确定是否为恶意的档案
(这些档案其他软体并没有扫出)
所以以下有三张图 可以请大家为我监定吗?
(一)
https://i.imgur.com/hjj9pDX.png
[1]这张图的 rundll32.exe 是我长年从我很小的时候就很想问的问题了
这种系统档案 我从小就常看到它被扫出 这次我也有大概google了一下
但我还是不敢确定 所以请问这个档案 究竟有没有问题呢?
是伪装?还是受感染?
[2]本图当中 还有Intel与Lenovo的档案被侦测出来 同样地
想要请问大家 它们会是问题吗?
伪装的?还是是受感染?
(二)
https://i.imgur.com/ambSy3O.png
杜比的档案也被认为有问题?
(三)
https://i.imgur.com/xvn8E0G.png
这张图显示的是浏览器安装的外挂套件
很好奇的是 有非常多软体都有扫到Avast的浏览器套件有问题
所以我很想问说:
原先我想说 防毒或扫描软体互相指控对方有毒 大概只是有趣的笑话而已
这样看起来 难道真的事实是:大家其实都不是那麽有度量吗?
好的 也就是说 这一题是想问
以上UnHackMe扫出来的档案 会是关键吗?
以上我的问题大概就是这样 我该做的事情都做过了 可惜目前电脑好像还是有疑虑
还是说大家若还有除此之外的更佳解决方式
请不吝告诉我 非常感谢
以下附上我的安装软体清单 其实我在之前就已检查过非常多次了 应该是没有可疑的了?
请查阅
https://i.imgur.com/4wHyOY2.png
https://i.imgur.com/19SnBcT.png
https://i.imgur.com/WYP8WPJ.png
https://i.imgur.com/4Wo2Prl.png
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.239.44.181
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1510562798.A.582.html
1F：推 APM99: 看不懂 搞那麽多都能重灌五次了吧 11/13 17:25
目前就是 看起来没事 但是有些迹象感觉没有乾净...
懒人包就是
已使用非常多软体 清扫数次
不过
1. Youtube疑似仍有不正常广告覆盖(前几天有看过一次 但这几天一直试不出来)
2. 有两个软体到目前为止 都还持续帮我挡下"弹出广告"
但我故意把这两个关闭後 却从没看过弹出广告
所以我怀疑 电脑还没乾净 请问大家怎麽办
另外
3. 有些档案疑似有问题 算是很久以前就很好奇到底有没有问题的
像是rundll32.exe 因此想请大家帮忙监定
所以问此题也算是帮自己长知识 科普一下
由於这板上朋友 应该会满需要很多细节来判断问题的
怕给太少资讯会被骂
所以我打了上述的详细完整文章供大家参考
谢谢大家
2F：→ DINJIAPC: 那麽你下面有人问DNs被改的问题你排除过没有 11/13 17:58
3F：→ skycat2216: 楼上，如果是DNS的话那请解释後面一直没看到广告 11/13 18:13
4F：→ shian928: 您好 没有 请问是指google chrome网页连线 natsumebc作 11/13 18:14
5F：→ shian928: 者的那一篇文章吗? 11/13 18:14
6F：推 skycat2216: 对 11/13 18:16
7F：→ shian928: 谢谢 晚点回到电脑身旁 再试这个议题 11/13 18:18
8F：推 skycat2216: 还有，Lenovo的档案无论怎样绝对要把它轰出硬碟 11/13 18:18
您竟然真的有完整看完我的文章 感谢
发文前 我也有爬到lenovo前面的新闻
不过这些目前也只有UnHackMe扫出
所以还有点迟疑: 这些Lenovo档案真有问题吗?
9F：推 Klauhal: 联想和Intel两个都非必要档案，尤其联想有前科... 11/13 18:53
10F：→ Klauhal: 联想非driver的杀，message center是三小?杀 11/13 18:57
谢谢详细阅读我的安装清单!重要的资讯
还要再思考一段时间後 再决定是否真的杀 先不冲动
11F：→ DINJIAPC: DNA只是排除的方向，此外除非你找不到关闭广告的方式否 11/13 19:22
已照所附网页处理
12F：→ DINJIAPC: 则我觉得问题不大。先说结论是使用外接硬碟乾净重灌。 11/13 19:22
装没看到也是可以 就是我心里有点洁癖XD
13F：→ DINJIAPC: 在逐步安装必要的驱动。之後嘛晚点再来重新回文。 11/13 19:22
感谢热心
14F：→ DINJIAPC: 还是先问你记得的几个问题。1.广告何时开始发生在你安 11/13 19:42
15F：→ DINJIAPC: 装了那套件或软体之後。2放弃使用unhackme与列出你的所 11/13 19:42
16F：→ DINJIAPC: 有浏览器套件 11/13 19:42
1. 广告出现在两个星期前 我装了一个来路不明的软体
我知道这是我咎由自取 所以大家可以尽量鞭我
而不过除了此次之外 先前使用电脑几十年来
我的使用习惯 虽然比不上大家那麽好 不过应该还是有比平常人严格些
讲这一句也不是帮自己开脱啦
是要跟大家说 我应该不是一张白纸那般的毫无概念(但也全然不如各位那般专业)
而只是这次是我自己做错活该 是我自己还不足
我会记取教训 并且更谨慎
广告应该与浏览器套件无关 我最近没有安装新的
2. 好 应该可能会放弃使用UnHackMe
浏览器套件如下:
Chrome:
Avast Online Security
Avast SafePrice
Google 文件离线版
PttChrome
TooManyTabs for Chrome
文件
简报
试算表
Firefox:
集图工具
网页截图
浏览页组管理员
BBSFox
DownThemAll!
Safe Browsing Version 4(temporary add-on)
上面这个应该不用担心 是Firefox官方
Search Image By Image
Video DownloadHelper
Youtube Video and Audio Downloader
Avast SafePrice
DNS已照所附网页处理
17F：推 DINJIAPC: 刚趁巡逻完看过了你的安装软体 1.你的安克诺斯是正版吗 11/13 21:04
您好 谢谢
Acronis 是买美光SSD附赠的功能阉割版本
18F：→ DINJIAPC: bbi connect2 gomplayer web3.7.6 是啥? 11/13 21:13
bbi是PCMan附属的一个小软体 当初刚买笔电时 临时装PCMan时附带的
现在都用Chrome跟Firefox套件开PTT
connect2 联想软体 内建的 没有去动过
GomPlayer 我是从PTT板友中 选出第二多人推荐的播放软体 作为PotPlayer的备胎
也装满久了 也以为是正派软体 难道是不好的?
ViewRight Web PC 那个 前几天有google过 有可能无害?
发行商是Verimatrix 上次更动日期是17/03/30
我觉得是内建的 所以我没有去动过
19F：→ DINJIAPC: 提醒安克诺斯所有的破解 与非官方安装档 都埋有木马 11/13 21:14
这麽可怕!
20F：→ DINJIAPC: gomplayer 确定含有广告软体 11/13 21:15
这个不是很多人用吗> <虽然我几乎都用PotPlayer
21F：推 DINJIAPC: 再来是如果你要抓药请留下扫描纪录不会导出那就手机拍 11/13 21:23
请问抓药是指什麽意思呢?
我需要再重新扫描一次贴上来吗?
这几天我是几乎都用最严格的方式 各跑过数次了 几乎只剩UnHackMe还不知道怎麽处理
22F：推 DINJIAPC: 如果你要使用那些扫描器麻烦请用免安装版 免得冲突误判 11/13 21:28
除了一个 全部都用了安装版
好像没有出现冲突情况?还是是默默冲突我没发现?
而且好像不是每个软体都有免安装版?
23F：推 DINJIAPC: 先问你想要处理的方向吧 你是想要我帮你除错 还是先 11/13 21:42
24F：→ DINJIAPC: 讲解完重灌後要怎样做比较实际 我个人是偏好後者 11/13 21:42
谢谢 如果可以的话 我是比较希望能够在既有系统中除错完毕 尽量不要重灌
原因是 我有随时使用电脑的需求...
纵使是这两周这件事挂在心头
我也必须一边使用电脑 且难得找出空闲去做扫描与测试
或是发文回文找资料
如果无法根除 也许也有可能就稍微忍耐一点了??
25F：推 Klauhal: 我看到有些driver是联想自带的，我个人建议乾净重灌方便 11/13 21:44
26F：→ Klauhal: Win10驱动都帮你弄好，不会从OEM端拉 11/13 21:45
先谢谢您还有跟上我这冗长的文章
其实真要重灌也还是可以 我也是一直有在想说要乾净重灌
但可能就无法是近期了??
另外我想要请问 您这话的意思 我可不可以解读成
所有发行商是Lenovo的 我都可以一一反安装 也不会造成错误呢?
还是我讲这句话还是太蠢了
※ 编辑: shian928 (36.239.44.181), 11/13/2017 21:55:39
27F：→ DINJIAPC: 好吧 现在开始把那些上文全忘了 先移除全部的安全软体 11/13 22:18
28F：→ DINJIAPC: 我一开始回文的意思是 当你开始用那些工具在移除 11/13 22:19
29F：推 popbitch: M跳出封锁，怎麽不是把套件移除，反而关M再去按? 11/13 22:20
30F：→ DINJIAPC: 还没移除前就要列出纪录来给看了 因为只知道你有用了 11/13 22:20
31F：→ popbitch: 然後你都不会好奇想连出去的是什麽地方吗? 11/13 22:20
32F：→ DINJIAPC: 却不知道接手後再来要判断甚麽 11/13 22:21
33F：→ popbitch: 刚刚一google就一堆说那是广告软体感染 11/13 22:21
34F：推 DINJIAPC: 其实是有移除工具可以移除掉套装软体随付的套件 11/13 22:24
35F：推 popbitch: 然後没有跳出广告视窗可能更惨，病毒可能在背景作坏事 11/13 22:25
37F：→ DINJIAPC: 再来是移除所有的浏览器外挂 含防毒类 11/13 22:30
39F：→ popbitch: 刚刚才看到你连Avast都关，你是想当神农氏吗 11/13 22:33
40F：推 DINJIAPC: 请看完所有来龙去脉再来回文 联外封锁只是手段 无法治根 11/13 22:43
41F：→ DINJIAPC: 如果要一次解决 最实际是重新安装系统并测试是否联想 11/13 22:43
42F：→ shian928: 有点累了...先简单回覆: 谢谢两位板友的回覆跟连结 我晚 11/13 22:44
43F：→ shian928: 点会再详细拜读 至於我没有移除session manager套件是想 11/13 22:44
44F：→ shian928: 说... 1这套件那麽有名又多人用我也用一段时间了 2这情 11/13 22:44
45F：→ shian928: 况就两周前才开始出现的 应该不是套件的关系 不过p大您 11/13 22:44
46F：→ shian928: 点醒了我 就是套件被感染了 还有神农氏等等也是当头棒喝 11/13 22:44
47F：→ shian928: 的领悟!!觉得您教训得很及时! 另外我刚查 看到它上次更 11/13 22:44
48F：→ shian928: 新是九个月以前?也有看到有英文使用者在抱怨不更新 也难 11/13 22:44
49F：→ shian928: 怪会出问题吧 不过倒没有搜寻到该套件被感染的资讯 不知 11/13 22:44
50F：→ shian928: 道是否能向您请教 有关的关键字呢 至於D大 非常谢谢 晚 11/13 22:44
51F：→ shian928: 点我会阅读与执行 11/13 22:44
52F：→ DINJIAPC: 工具也含有广告软体 11/13 22:44
53F：推 popbitch: 结果你也没装adblock 11/13 22:44
54F：→ popbitch: google Session Manager的确是没出现相关讨论 11/13 22:46
55F：→ shian928: 另外其实我有看到是professional pcgamer site 只是当时 11/13 22:47
56F：→ shian928: 没仔细google 那等我都看完了做完了 再回来这里回文吧 11/13 22:47
57F：→ shian928: 感谢 11/13 22:47
58F：推 DINJIAPC: 执行後请直接请直接来信 11/13 22:47
59F：→ popbitch: 但是点选它可能会启动病毒，关防毒仍是很冒险的事 11/13 22:47
60F：→ popbitch: 刚刚想开那个网站就被挡了，不知是chrome还是adblock挡 11/13 22:48
61F：→ DINJIAPC: 套件感染有可能发生没错 但最主要的问题是查无感然源 11/13 22:49
62F：→ shian928: 因为以前听过google政策是 反挡广告软体 就...跟着没装 11/13 22:49
63F：→ shian928: 挡广告... 11/13 22:49
64F：→ popbitch: 建议还是装个ublock origin, 选项里恶意网域全点 11/13 22:50
65F：→ DINJIAPC: 最乾脆就是全机重灌 然後再去联想的官网挑最必要驱动 11/13 22:50
66F：→ DINJIAPC: 来安装 然後在上备份软体拷贝系统然後再逐一去装回 11/13 22:51
67F：→ DINJIAPC: 用的软体 去慢慢除错 但楼主现在不太想这样 11/13 22:52
68F：→ popbitch: 现在不装挡广告太危险，以前是点了才会中，现在是看都会 11/13 22:52
69F：→ popbitch: 不想重灌至少先把浏览器重置吧，或移除重新安装 11/13 22:53
70F：推 popbitch: 然後那个TROJAN KILLER先用一下，等下我也来扫扫看 11/13 22:56
71F：推 DINJIAPC: 广告过滤套件 是最後选项 等到都查过再来安装就好 11/13 22:57
73F：推 waterblue85: 影音播放软体只用：MPC-HC,VLC,Potplayer,windows内 11/13 23:06
74F：→ waterblue85: 建 其他别用 11/13 23:06
75F：推 waterblue85: gom player播出来的颜色很丑 我用过一阵子就不用了 11/13 23:10
76F：→ DINJIAPC: 没事少教人使用一些浮夸的垃圾软体 例如TROJAN KILLER 11/14 00:27
77F：→ whatisapity: 挡广告套件是用清单去过滤的，不在清单里面的根本挡 11/14 01:41
78F：→ whatisapity: 不住 11/14 01:41
79F：→ whatisapity: 真的要安全就预设封锁Javascript，信任的网站再放行 11/14 01:45
80F：→ fatstan: 浏览器有开同步功能的话先登出 然後重设浏览器 11/14 07:00
81F：→ fatstan: 套件手动装回去 不要用同步功能 重设前先把帐密记下来 11/14 07:03
82F：→ fatstan: 另外可以的话把avast浏览器插件停用 观察一阵子吧 11/14 07:09
83F：推 popbitch: TROJAN KILLER是google到的那篇文章推荐的 11/14 10:29
84F：→ popbitch: 有没有用我也不知道，不过google了一下是没看到有人抱怨 11/14 10:30
85F：→ popbitch: 说是垃圾软体，结果叫人用金山的东西，好像负面较多吧? 11/14 10:32
86F：推 popbitch: adblock的确是无法挡掉全部，但像原po中的这种很多人中 11/14 10:37
87F：→ popbitch: 挡掉的机率是很高的，如果这样就不装，防毒不也一样? 11/14 10:38
88F：→ DINJIAPC: 负面比较多？你看看买了你那套好不好退钱再来说。小米 11/14 10:59
89F：→ DINJIAPC: 你敢不敢买 照你这逻辑 阿不就去大陆经商都白痴 买小米 11/14 10:59
90F：→ DINJIAPC: 产品的都垃圾 11/14 10:59
91F：→ shian928: 欸欸大家欢乐讨论就好了啦~~~ 11/14 11:10
92F：→ DINJIAPC: TROJAN KILLER 看来是新的软体公司的产品 没看清楚 11/14 11:20
94F：推 DINJIAPC: 这类软体几乎都存在大量误判的可能 与其要这样猜猜乐 11/14 11:33
95F：→ DINJIAPC: 还不如直接重设系统...重新安装软体来排除修正习惯 11/14 11:34
97F：→ DINJIAPC: 还混十年了 怎不想试试 11/14 11:41
98F：推 DINJIAPC: 精确的作法是 重新提供当初一开始下载的样本 11/14 12:28
99F：→ DINJIAPC: 并反推专杀 然後在你电脑里澈底的清扫後 在去处理浏览器 11/14 12:29
100F：推 whatisapity: 我不反对使用Adblock，但是那只能当作辅助 11/14 14:34
101F：→ whatisapity: 直接封锁JS是最实际的做法 11/14 14:36
102F：→ whatisapity: 防毒当然有用，但是病毒在要管理员权限时UAC就会跳出 11/14 14:45
103F：→ whatisapity: 来了 11/14 14:45
104F：→ whatisapity: 大门开开跑去睡觉，再指望警察会帮你抓坏人本来就很 11/14 14:47
105F：→ whatisapity: 不合理 11/14 14:47
106F：→ whatisapity: 挡广告套件也是同理 11/14 14:47
107F：→ shian928: 找到了点时间开始处理一下电脑了~不过满好笑的XD反倒好 11/14 15:51
108F：→ shian928: 奇杀木马.杀恶意软体的软体何其多 D大是怎样找到那麽多 11/14 15:52
109F：→ shian928: 无知名度软体的 哈哈 第二个的图片满有趣的 让人有种无 11/14 15:53
110F：→ shian928: 法让人依靠感XD 11/14 15:53
111F：→ DINJIAPC: 我上一个帐号叫s31290228,我的大学在avpclub度过的 11/14 20:41
112F：→ DINJIAPC: 我的大学与退伍是在卡饭与学承度过的 而现在在做保全 11/14 20:44
113F：→ DINJIAPC: 听过virus.gr吗? 查看看吧 11/14 20:47
114F：→ shian928: 事务繁忙 到今天其实都还没确切实行 先行发P币感谢各位 11/15 18:33
115F：→ shian928: 大家都很热心 不过我想我选出两位 p大100p D大300p 只是 11/15 18:34
116F：→ shian928: 一点点小心意 晚点发 11/15 18:34
117F：→ shian928: 还有问题会再回来这篇文章 11/15 18:34
118F：推 mooyjiang: 给原Po参考一下我最近一直跳广告但是都抓不到来源的经 11/17 02:38
119F：→ mooyjiang: 验，检查一下浏览器跟作业系统的Proxy有没有问题，之 11/17 02:38
120F：→ mooyjiang: 前我使用火狐，Proxy被加了一个没看过的网址，会不定 11/17 02:38
121F：→ mooyjiang: 时跳广告出来。 11/17 02:38
122F：推 DINJIAPC: 重设网卡就包含了排除代理与dns 11/17 07:46
123F：推 mooyjiang: 重设网卡会顺便解除火狐的代理吗？我记得火狐的代理设 11/18 03:08
124F：→ mooyjiang: 定会override系统的设定 11/18 03:08
125F：→ DINJIAPC: 去爬我回文卡巴的网页教学很难?有装火狐不会自己试?我 11/21 00:21
126F：→ DINJIAPC: 一开始就先叫他移除非微软的浏览器了 怎还会有被锁的问 11/21 00:21
127F：→ DINJIAPC: 题 11/21 00:21