討論 - 難纏的植入廣告

猜謎人 · 2008-03-10, 10:24 AM

　　日前我在雅虎的網頁竟然出現這個畫面！

http://xs225.xs.to/xs225/08101/tu586.jpg

　　起先以為是雅虎登這種廣告，後來才發現，這些廣告都指向ad.yieldmanager.com這個名稱，這時我才知道我被植入廣告了！有關這方面的文章不是很多，對於這方面我本來不是很了解，但是，這些日子的研究，讓我有一些心得，我想讓更多人也能加入研究，以免更多人也有相同遭遇！希望這篇文章能讓大家能一起抵制植入廣告！
　　剛開始我以為只要用軟體就可移除，於是，我先用Adware、spypot等軟體去移除。他是有抓出一些東西，但是，沒有用的。我就分兩路進行，一是在在網路上搜尋ad.yieldmanager.com，一是在軟體討論區求助，網路搜尋結果發現國外已經很多人和我一樣有此遭遇，他們的文章有提到這是在cookie植入的廣告！於是，我把有ad.yieldmanager.com的cookie刪除，有效一下子而已。
　　軟體討論區感謝plunderer大大的指點，我先用HijackThis掃描，plunderer大大觀看日至後給我的意見，他發現有個8個亂數英文字母形成的dll檔有嫌疑！他說按開始－執行－msconfig去看看開機時執行的程式是否有奇怪的dll檔

http://img404.imageshack.us/img404/1286/20080304132758cj0.jpg

，結果，有三個奇怪的8個亂數英文字母形成dll檔﹙我發現你如果把這些檔按右鍵看他屬性，都是不明連接檔，一般都會有公司名稱﹚，plunderer大大是說一個有嫌疑，我先破壞他試試看﹙先備分，然後在安全模式下用記事本打開，把裡面的亂碼刪除一些！﹚，我的想法是只要讓你這個檔損壞，廣告自然沒有，把他破壞的結果，廣告有少一些，這時才在安全模式下刪除一個，結果，還是有！我再刪除其他兩個！廣告是沒有了，可是，因為沒刪除登錄檔，所以，開機時會出現載入dll錯誤。我想我已經擺脫了！但事實不是…
　　次日，廣告區塊沒廣告，但是有說無法接收ad.yieldmanager.com

，我傻眼了，但是，msconfig都是啟動應該的檔案啊！而沒多久，又出現兩個奇怪的8個亂數英文字母形成dll檔，不久，廣告又出來了！這次，我重灌！
　　但是，只有三天！雅虎偶而會出現ad.yieldmanager.com！我又參考一些文章，有說到他們會從遠端變更登錄檔，於是，我從控制台－系統管理工具－服務－Remote Registry把他停用！另外，Cookie把他禁止yieldmanager.com和ad.yieldmanager.com，目前，狀況還在觀察！

猜謎人 · 2008-03-10, 10:37 AM

剛剛發現偶而還是會出現！看來還要再研究了！

plunderer · 2008-03-10, 06:11 PM

我說過, 那隨機檔名的 DLL 是某個軟體執行後產生的, 即使現在刪除了, 當那軟體執行又會產生

根絕之道只有找出是哪個軟體生成的

上次看了你的 log, 程式太多了, 很難判斷是哪個軟體所產生的

猜謎人 · 2008-03-10, 08:41 PM

引用:

作者: plunderer

我說過, 那隨機檔名的 DLL 是某個軟體執行後產生的, 即使現在刪除了, 當那軟體執行又會產生

根絕之道只有找出是哪個軟體生成的

上次看了你的 log, 程式太多了, 很難判斷是哪個軟體所產生的

我現在打算重灌之後再一一測試程式
到時再麻煩大大

猜謎人 · 2008-03-10, 08:49 PM

對了
請問大大
下載的檔案會是問題來源嗎？
還是要安裝的東西才會產生問題？
如果安裝才會產生
是否移除就不會出現了？

plunderer · 2008-03-10, 09:47 PM

你的問題不是因為下載或安裝才產生

因為那隨機檔即使刪除了還會再出現, 表示某個軟體在開機自動執行時產生的, 或者是你每次都會用的軟體執行時產生的

猜謎人 · 2008-03-10, 10:11 PM

引用:

作者: plunderer

你的問題不是因為下載或安裝才產生

因為那隨機檔即使刪除了還會再出現, 表示某個軟體在開機自動執行時產生的, 或者是你每次都會用的軟體執行時產生的

我現在已經重灌系統了
我執行了msconfig
看了msconfig內容，開機並無啟動奇怪程式，可是現在偶而還是會出現廣告耶

古里特 · 2008-03-10, 10:34 PM

引用:

作者: 猜謎人

我現在已經重灌系統了
我執行了msconfig
看了msconfig內容，開機並無啟動奇怪程式，可是現在偶而還是會出現廣告耶

偶插一下嘴

重灌之後的系統是比較乾淨的

設定好網路之後，去測測一下雅虎網頁看看會不會出現

醬就可以知道是否是啟動軟體所產生的

另外請教一下，是開每個網頁都會如此，還是只有開特定網頁會如此?

因為偶接過一個使用者CASE，也是說會彈跳出廣告視窗
偶看過他的電腦都沒什麼，但是的確是連網頁會彈出廣告視窗
後來偶拿那個網址去其他台電腦測試，也都會出現
因此偶才認為是那個網站有出問題，或許是置入性廣告視窗
只有在某些特定的網站才會出現那些廣告視窗

getter · 2008-03-10, 10:50 PM

主要是分 4 種
1.機碼型。機碼型的最好處裡，只要知道它改了哪幾個就能改回來。
2.程式型。看看控制台裡的新增程式，有沒有未知程式，通常反安裝後並重設首頁救回來了。
3.服務型。這一種的根木馬型的一樣超棘手的，可能需要用工具處裡。
4.木馬型。這種的不要說了，已經算是病毒了。
5.AUTORUN 型。利用 AUTORUN 的特性載入，重灌當然無效，跟病毒沒有兩樣。該要清一清的
還是要清，不然再爽一次。

可以先使用，Ad-Aware、Spybot 之類的程式先檢查看看。

有關有頁機碼的的部份 ...

以下虛線的內容機碼 (*.reg) 就是相關的網頁機碼
全部以 tw.yahoo 為主的
------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Search_URL"="http://tw.yahoo.com/search/kimo?p="
"Default_Page_URL"="http://tw.yahoo.com"
"Search Page"="http://tw.yahoo.com"
"Start Page"="http://tw.yahoo.com"
---------------------------------------

Default_Search_URL = 預設的搜尋網頁
Default_Page_URL = 預設首頁
Search Page = 搜尋網頁
Start Page = 入口首頁

Living · 2008-03-10, 10:58 PM

如果重灌還是會出現廣告那你得看看你的視窗是不是原版CD還是"加工"過的版本

猜謎人 · 2008-03-11, 10:14 AM

引用:

作者: 古里特

偶插一下嘴

重灌之後的系統是比較乾淨的

設定好網路之後，去測測一下雅虎網頁看看會不會出現

醬就可以知道是否是啟動軟體所產生的

另外請教一下，是開每個網頁都會如此，還是只有開特定網頁會如此?

因為偶接過一個使用者CASE，也是說會彈跳出廣告視窗
偶看過他的電腦都沒什麼，但是的確是連網頁會彈出廣告視窗
後來偶拿那個網址去其他台電腦測試，也都會出現
因此偶才認為是那個網站有出問題，或許是置入性廣告視窗
只有在某些特定的網站才會出現那些廣告視窗

那個值入很厲害
只要廣告版面大小符合
任何網頁都會出現
他會先出現原網頁
一下子又跳成植入廣告
或者直接覆蓋

猜謎人 · 2008-03-11, 10:27 AM

引用:

作者: getter

主要是分 4 種
1.機碼型。機碼型的最好處裡，只要知道它改了哪幾個就能改回來。
2.程式型。看看控制台裡的新增程式，有沒有未知程式，通常反安裝後並重設首頁救回來了。
3.服務型。這一種的根木馬型的一樣超棘手的，可能需要用工具處裡。
4.木馬型。這種的不要說了，已經算是病毒了。
5.AUTORUN 型。利用 AUTORUN 的特性載入，重灌當然無效，跟病毒沒有兩樣。該要清一清的
還是要清，不然再爽一次。

可以先使用，Ad-Aware、Spybot 之類的程式先檢查看看。

有關有頁機碼的的部份 ...

以下虛線的內容機碼 (*.reg) 就是相關的網頁機碼
全部以 tw.yahoo 為主的
------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Search_URL"="http://tw.yahoo.com/search/kimo?p="
"Default_Page_URL"="http://tw.yahoo.com"
"Search Page"="http://tw.yahoo.com"
"Start Page"="http://tw.yahoo.com"
---------------------------------------

Default_Search_URL = 預設的搜尋網頁
Default_Page_URL = 預設首頁
Search Page = 搜尋網頁
Start Page = 入口首頁

麻煩的是都用Ad-Aware、Spybot掃過
沒有未知程式安裝
連防毒也掃過
他首頁不綁
而是覆蓋其他網頁廣告

http://xs225.xs.to/xs225/08112/plant260.jpg

猜謎人 · 2008-03-11, 10:31 AM

引用:

作者: Living

如果重灌還是會出現廣告那你得看看你的視窗是不是原版CD還是"加工"過的版本

這是以前安裝的ghost
不過以前沒這問題耶

tyc8008 · 2008-03-11, 10:40 AM

Try this small utility called Combofix

http://www.bleepingcomputer.com/comb...o-use-combofix

I used this to fix some entries that HJT couldn't fix.

Hope this tool helps.

輕舞飛揚 · 2008-03-11, 11:03 AM

猜謎大,
你在重灌時,有沒有先把那顆硬碟給再次"格式化"?
若沒先格式化而直接重灌的話,通常來說以前的問題都會依舊,即使你ghost了也一樣.

2008-03-10, 10:24 AM	#1
猜謎人榮譽會員榮譽勳章勳章總數23 UID - 14438 在線等級: 註冊日期: 2002-12-19 住址: 虎爛宮解籤詩處文章: 18702 精華: 2 現金: 10109 金幣資產: 2886912 金幣	討論 - 難纏的植入廣告　　日前我在雅虎的網頁竟然出現這個畫面！　　起先以為是雅虎登這種廣告，後來才發現，這些廣告都指向ad.yieldmanager.com這個名稱，這時我才知道我被植入廣告了！有關這方面的文章不是很多，對於這方面我本來不是很了解，但是，這些日子的研究，讓我有一些心得，我想讓更多人也能加入研究，以免更多人也有相同遭遇！希望這篇文章能讓大家能一起抵制植入廣告！　　剛開始我以為只要用軟體就可移除，於是，我先用Adware、spypot等軟體去移除。他是有抓出一些東西，但是，沒有用的。我就分兩路進行，一是在在網路上搜尋ad.yieldmanager.com，一是在軟體討論區求助，網路搜尋結果發現國外已經很多人和我一樣有此遭遇，他們的文章有提到這是在cookie植入的廣告！於是，我把有ad.yieldmanager.com的cookie刪除，有效一下子而已。　　軟體討論區感謝plunderer大大的指點，我先用HijackThis掃描，plunderer大大觀看日至後給我的意見，他發現有個8個亂數英文字母形成的dll檔有嫌疑！他說按開始－執行－msconfig去看看開機時執行的程式是否有奇怪的dll檔，結果，有三個奇怪的8個亂數英文字母形成dll檔﹙我發現你如果把這些檔按右鍵看他屬性，都是不明連接檔，一般都會有公司名稱﹚，plunderer大大是說一個有嫌疑，我先破壞他試試看﹙先備分，然後在安全模式下用記事本打開，把裡面的亂碼刪除一些！﹚，我的想法是只要讓你這個檔損壞，廣告自然沒有，把他破壞的結果，廣告有少一些，這時才在安全模式下刪除一個，結果，還是有！我再刪除其他兩個！廣告是沒有了，可是，因為沒刪除登錄檔，所以，開機時會出現載入dll錯誤。我想我已經擺脫了！但事實不是… 　　次日，廣告區塊沒廣告，但是有說無法接收ad.yieldmanager.com，我傻眼了，但是，msconfig都是啟動應該的檔案啊！而沒多久，又出現兩個奇怪的8個亂數英文字母形成dll檔，不久，廣告又出來了！這次，我重灌！　　但是，只有三天！雅虎偶而會出現ad.yieldmanager.com！我又參考一些文章，有說到他們會從遠端變更登錄檔，於是，我從控制台－系統管理工具－服務－Remote Registry把他停用！另外，Cookie把他禁止yieldmanager.com和ad.yieldmanager.com，目前，狀況還在觀察！
	__________________
	送花文章: 1110, 收花文章: 16299 篇, 收花: 83322 次

2008-03-10, 10:37 AM	#2 (permalink)
猜謎人榮譽會員榮譽勳章勳章總數23 UID - 14438 在線等級: 註冊日期: 2002-12-19 住址: 虎爛宮解籤詩處文章: 18702 精華: 2 現金: 10109 金幣資產: 2886912 金幣	剛剛發現偶而還是會出現！看來還要再研究了！

	送花文章: 1110, 收花文章: 16299 篇, 收花: 83322 次

2008-03-10, 06:11 PM	#3 (permalink)
plunderer 長老會員榮譽勳章勳章總數8 UID - 74024 在線等級: 註冊日期: 2003-05-31 文章: 1399 精華: 0 現金: 507220 金幣資產: 608580 金幣	我說過, 那隨機檔名的 DLL 是某個軟體執行後產生的, 即使現在刪除了, 當那軟體執行又會產生根絕之道只有找出是哪個軟體生成的上次看了你的 log, 程式太多了, 很難判斷是哪個軟體所產生的
	__________________ 刑天舞干戚
	送花文章: 6, 收花文章: 575 篇, 收花: 1747 次

2008-03-10, 08:49 PM	#5 (permalink)
猜謎人榮譽會員榮譽勳章勳章總數23 UID - 14438 在線等級: 註冊日期: 2002-12-19 住址: 虎爛宮解籤詩處文章: 18702 精華: 2 現金: 10109 金幣資產: 2886912 金幣	對了請問大大下載的檔案會是問題來源嗎？還是要安裝的東西才會產生問題？如果安裝才會產生是否移除就不會出現了？

	送花文章: 1110, 收花文章: 16299 篇, 收花: 83322 次

2008-03-10, 09:47 PM	#6 (permalink)
plunderer 長老會員榮譽勳章勳章總數8 UID - 74024 在線等級: 註冊日期: 2003-05-31 文章: 1399 精華: 0 現金: 507220 金幣資產: 608580 金幣	你的問題不是因為下載或安裝才產生因為那隨機檔即使刪除了還會再出現, 表示某個軟體在開機自動執行時產生的, 或者是你每次都會用的軟體執行時產生的

	送花文章: 6, 收花文章: 575 篇, 收花: 1747 次

2008-03-10, 10:50 PM	#9 (permalink)
getter 管理員榮譽勳章勳章總數19 UID - 6433 在線等級: 註冊日期: 2002-12-08 住址: 天線星球文章: 8157 精華: 0 現金: 19955 金幣資產: 765391 金幣	主要是分 4 種 1.機碼型。機碼型的最好處裡，只要知道它改了哪幾個就能改回來。 2.程式型。看看控制台裡的新增程式，有沒有未知程式，通常反安裝後並重設首頁救回來了。 3.服務型。這一種的根木馬型的一樣超棘手的，可能需要用工具處裡。 4.木馬型。這種的不要說了，已經算是病毒了。 5.AUTORUN 型。利用 AUTORUN 的特性載入，重灌當然無效，跟病毒沒有兩樣。該要清一清的還是要清，不然再爽一次。可以先使用，Ad-Aware、Spybot 之類的程式先檢查看看。有關有頁機碼的的部份 ... 以下虛線的內容機碼 (*.reg) 就是相關的網頁機碼全部以 tw.yahoo 為主的 ------------------------------------ Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main] "Default_Search_URL"="http://tw.yahoo.com/search/kimo?p=" "Default_Page_URL"="http://tw.yahoo.com" "Search Page"="http://tw.yahoo.com" "Start Page"="http://tw.yahoo.com" --------------------------------------- Default_Search_URL = 預設的搜尋網頁 Default_Page_URL = 預設首頁 Search Page = 搜尋網頁 Start Page = 入口首頁
	__________________ 在「專業主討論區」中的問題解決後，要記得按一下按鈕喔，這是一種禮貌動作。一樣是在「專業主討論區」中發問，不管問題解決與否，都要回應別人的回答文喔。不然搞 [斷頭文]，只看不回應，下次被別人列入黑名單就不要怪人喔。天線寶寶說再見啦~ ... 天線寶寶說再見啦~ 迪西：「再見~ 再見~」『 Otaku Culture Party 』關心您 ...
	送花文章: 37855, 收花文章: 6441 篇, 收花: 26052 次

2008-03-10, 10:58 PM	#10 (permalink)
Living 超級版主榮譽勳章勳章總數18 UID - 1966 在線等級: 註冊日期: 2002-12-06 住址: 糖城文章: 9601 精華: 1 現金: 18 金幣資產: 11727852 金幣	如果重灌還是會出現廣告那你得看看你的視窗是不是原版CD還是"加工"過的版本
	__________________ 經驗分享是學習的一種請多珍惜這片學習的園地史版啞甘部主任
	送花文章: 52690, 收花文章: 8441 篇, 收花: 61930 次

2008-03-11, 10:40 AM	#14 (permalink)
tyc8008 註冊會員榮譽勳章勳章總數1 UID - 263551 在線等級: 註冊日期: 2007-03-17 文章: 109 精華: 0 現金: 64 金幣資產: 4060 金幣	Try this small utility called Combofix http://www.bleepingcomputer.com/comb...o-use-combofix I used this to fix some entries that HJT couldn't fix. Hope this tool helps.

	送花文章: 1, 收花文章: 42 篇, 收花: 56 次

2008-03-11, 11:03 AM	#15 (permalink)
輕舞飛揚超級版主榮譽勳章勳章總數11 UID - 222573 在線等級: 註冊日期: 2006-01-27 住址: 心的牢寵文章: 2445 精華: 2 現金: 11059 金幣資產: 2882357 金幣	猜謎大, 你在重灌時,有沒有先把那顆硬碟給再次"格式化"? 若沒先格式化而直接重灌的話,通常來說以前的問題都會依舊,即使你ghost了也一樣.
	__________________ 97年5月1日求檔區新版規正式實施. 98年3月24日修改及新增規定了!!請注意!! 求檔不回應不動作,被人列入黑名單可別怨嘆!!
	送花文章: 340, 收花文章: 747 篇, 收花: 1809 次

相似的主題
主題	主題作者	討論區	回覆	最後發表
求助 - 被植入廣告	猜謎人	軟體應用問題討論區	26	2008-03-13 10:14 AM
新聞轉貼 - Google一股500美元的祕密	觀風使	時事、科技、娛樂新聞話題討論區	0	2007-02-02 08:53 PM

Google 提供的廣告