難纏的植入廣告
 

　　日前我在雅虎的網頁竟然出現這個畫面！



　　起先以為是雅虎登這種廣告，後來才發現，這些廣告都指向ad.yieldmanager.com這個名稱，這時我才知道我被植入廣告了！有關這方面的文章不是很多，對於這方面我本來不是很了解，但是，這些日子的研究，讓我有一些心得，我想讓更多人也能加入研究，以免更多人也有相同遭遇！希望這篇文章能讓大家能一起抵制植入廣告！
　　剛開始我以為只要用軟體就可移除，於是，我先用Adware、spypot等軟體去移除。他是有抓出一些東西，但是，沒有用的。我就分兩路進行，一是在在網路上搜尋ad.yieldmanager.com，一是在軟體討論區求助，網路搜尋結果發現國外已經很多人和我一樣有此遭遇，他們的文章有提到這是在cookie植入的廣告！於是，我把有ad.yieldmanager.com的cookie刪除，有效一下子而已。
　　軟體討論區感謝plunderer大大的指點，我先用HijackThis掃描，plunderer大大觀看日至後給我的意見，他發現有個8個亂數英文字母形成的dll檔有嫌疑！他說按開始－執行－msconfig去看看開機時執行的程式是否有奇怪的dll檔



，結果，有三個奇怪的8個亂數英文字母形成dll檔﹙我發現你如果把這些檔按右鍵看他屬性，都是不明連接檔，一般都會有公司名稱﹚，plunderer大大是說一個有嫌疑，我先破壞他試試看﹙先備分，然後在安全模式下用記事本打開，把裡面的亂碼刪除一些！﹚，我的想法是只要讓你這個檔損壞，廣告自然沒有，把他破壞的結果，廣告有少一些，這時才在安全模式下刪除一個，結果，還是有！我再刪除其他兩個！廣告是沒有了，可是，因為沒刪除登錄檔，所以，開機時會出現載入dll錯誤。我想我已經擺脫了！但事實不是…
　　次日，廣告區塊沒廣告，但是有說無法接收ad.yieldmanager.com:on_74:，我傻眼了，但是，msconfig都是啟動應該的檔案啊！而沒多久，又出現兩個奇怪的8個亂數英文字母形成dll檔，不久，廣告又出來了！這次，我重灌！
　　但是，只有三天！雅虎偶而會出現ad.yieldmanager.com！我又參考一些文章，有說到他們會從遠端變更登錄檔，於是，我從控制台－系統管理工具－服務－Remote Registry把他停用！另外，Cookie把他禁止yieldmanager.com和ad.yieldmanager.com，目前，狀況還在觀察！

剛剛發現偶而還是會出現！看來還要再研究了！

我說過, 那隨機檔名的 DLL 是某個軟體執行後產生的, 即使現在刪除了, 當那軟體執行又會產生

根絕之道只有找出是哪個軟體生成的

上次看了你的 log, 程式太多了, 很難判斷是哪個軟體所產生的

我現在打算重灌之後再一一測試程式
到時再麻煩大大:on_28:

對了
請問大大
下載的檔案會是問題來源嗎？
還是要安裝的東西才會產生問題？
如果安裝才會產生
是否移除就不會出現了？

你的問題不是因為下載或安裝才產生

因為那隨機檔即使刪除了還會再出現, 表示某個軟體在開機自動執行時產生的, 或者是你每次都會用的軟體執行時產生的

我現在已經重灌系統了
我執行了msconfig
看了msconfig內容，開機並無啟動奇怪程式，可是現在偶而還是會出現廣告耶

偶插一下嘴

重灌之後的系統是比較乾淨的

設定好網路之後，去測測一下雅虎網頁看看會不會出現

醬就可以知道是否是啟動軟體所產生的



另外請教一下，是開每個網頁都會如此，還是只有開特定網頁會如此?


因為偶接過一個使用者CASE，也是說會彈跳出廣告視窗
偶看過他的電腦都沒什麼，但是的確是連網頁會彈出廣告視窗
後來偶拿那個網址去其他台電腦測試，也都會出現
因此偶才認為是那個網站有出問題，或許是置入性廣告視窗
只有在某些特定的網站才會出現那些廣告視窗

主要是分 4 種
1.機碼型。機碼型的最好處裡，只要知道它改了哪幾個就能改回來。
2.程式型。看看控制台裡的新增程式，有沒有未知程式，通常反安裝後並重設首頁救回來了。
3.服務型。這一種的根木馬型的一樣超棘手的，可能需要用工具處裡。
4.木馬型。這種的不要說了，已經算是病毒了。
5.AUTORUN 型。利用 AUTORUN 的特性載入，重灌當然無效，跟病毒沒有兩樣。該要清一清的
還是要清，不然再爽一次。


可以先使用，Ad-Aware、Spybot 之類的程式先檢查看看。

有關有頁機碼的的部份 ...


以下虛線的內容機碼 (*.reg) 就是相關的網頁機碼
全部以 tw.yahoo 為主的
------------------------------------
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Default_Search_URL"="http://tw.yahoo.com/search/kimo?p="
"Default_Page_URL"="http://tw.yahoo.com"
"Search Page"="http://tw.yahoo.com"
"Start Page"="http://tw.yahoo.com"
---------------------------------------

Default_Search_URL = 預設的搜尋網頁
Default_Page_URL = 預設首頁
Search Page = 搜尋網頁
Start Page = 入口首頁

如果重灌還是會出現廣告 那你得看看你的視窗是不是原版CD還是"加工"過的版本

那個值入很厲害
只要廣告版面大小符合
任何網頁都會出現
他會先出現原網頁
一下子又跳成植入廣告
或者直接覆蓋

麻煩的是都用Ad-Aware、Spybot掃過
沒有未知程式安裝
連防毒也掃過
他首頁不綁
而是覆蓋其他網頁廣告

這是以前安裝的ghost
不過以前沒這問題耶

Try this small utility called Combofix

http://www.bleepingcomputer.com/comb...o-use-combofix

I used this to fix some entries that HJT couldn't fix.

Hope this tool helps.

猜謎大,
你在重灌時,有沒有先把那顆硬碟給再次"格式化"?
若沒先格式化而直接重灌的話,通常來說以前的問題都會依舊,即使你ghost了也一樣.