討論 - 難纏的植入廣告

[猜謎人]

　　日前我在雅虎的網頁竟然出現這個畫面！



　　起先以為是雅虎登這種廣告，後來才發現，這些廣告都指向ad.yieldmanager.com這個名稱，這時我才知道我被植入廣告了！有關這方面的文章不是很多，對於這方面我本來不是很了解，但是，這些日子的研究，讓我有一些心得，我想讓更多人也能加入研究，以免更多人也有相同遭遇！希望這篇文章能讓大家能一起抵制植入廣告！
　　剛開始我以為只要用軟體就可移除，於是，我先用Adware、spypot等軟體去移除。他是有抓出一些東西，但是，沒有用的。我就分兩路進行，一是在在網路上搜尋ad.yieldmanager.com，一是在軟體討論區求助，網路搜尋結果發現國外已經很多人和我一樣有此遭遇，他們的文章有提到這是在cookie植入的廣告！於是，我把有ad.yieldmanager.com的cookie刪除，有效一下子而已。
　　軟體討論區感謝plunderer大大的指點，我先用HijackThis掃描，plunderer大大觀看日至後給我的意見，他發現有個8個亂數英文字母形成的dll檔有嫌疑！他說按開始－執行－msconfig去看看開機時執行的程式是否有奇怪的dll檔



，結果，有三個奇怪的8個亂數英文字母形成dll檔﹙我發現你如果把這些檔按右鍵看他屬性，都是不明連接檔，一般都會有公司名稱﹚，plunderer大大是說一個有嫌疑，我先破壞他試試看﹙先備分，然後在安全模式下用記事本打開，把裡面的亂碼刪除一些！﹚，我的想法是只要讓你這個檔損壞，廣告自然沒有，把他破壞的結果，廣告有少一些，這時才在安全模式下刪除一個，結果，還是有！我再刪除其他兩個！廣告是沒有了，可是，因為沒刪除登錄檔，所以，開機時會出現載入dll錯誤。我想我已經擺脫了！但事實不是…
　　次日，廣告區塊沒廣告，但是有說無法接收ad.yieldmanager.com，我傻眼了，但是，msconfig都是啟動應該的檔案啊！而沒多久，又出現兩個奇怪的8個亂數英文字母形成dll檔，不久，廣告又出來了！這次，我重灌！
　　但是，只有三天！雅虎偶而會出現ad.yieldmanager.com！我又參考一些文章，有說到他們會從遠端變更登錄檔，於是，我從控制台－系統管理工具－服務－Remote Registry把他停用！另外，Cookie把他禁止yieldmanager.com和ad.yieldmanager.com，目前，狀況還在觀察！

[猜謎人]

作者: 輕舞飛揚

猜謎大,
你在重灌時,有沒有先把那顆硬碟給再次"格式化"?
若沒先格式化而直接重灌的話,通常來說以前的問題都會依舊,即使你ghost了也一樣.

ghost不是會覆蓋原磁區
即使有廣告不是都蓋過去
我是沒有格式化

[古里特]

作者: 猜謎人

ghost不是會覆蓋原磁區
即使有廣告不是都蓋過去
我是沒有格式化

簡單地講

覆蓋歸覆蓋，格式化是格式化

在電腦的世界透過目錄(directory)做為索引去找到資料

我們常見到的快速格式化就是將目錄拿掉，這樣子電腦就找不到索引，沒有路徑去找到資料

但是檔案還是在硬碟，只是電腦找不到而已

等你下次使用硬碟的時候，會建立起新的索引去使用那塊資料區，然後將原有的資料覆蓋掉

[猜謎人]

作者: 古里特

簡單地講

覆蓋歸覆蓋，格式化是格式化

在電腦的世界透過目錄(directory)做為索引去找到資料

我們常見到的快速格式化就是將目錄拿掉，這樣子電腦就找不到索引，沒有路徑去找到資料

但是檔案還是在硬碟，只是電腦找不到而已

等你下次使用硬碟的時候，會建立起新的索引去使用那塊資料區，然後將原有的資料覆蓋掉

早上又重灌，我還是直接覆蓋
現在要慢慢去抓
唉

[古里特]

作者: 猜謎人

早上又重灌，我還是直接覆蓋
現在要慢慢去抓
唉

講點不相干的
目前還沒見過有病毒逃得過格式化這個大絕招
但有病毒可以逃過還原片和GHOST




有陣子某個病毒很盛行的時候
偶貪圖方便，因為那時候有一卡車的電腦等著偶修理
所以我是直接拿還原片GHOST回去，結果病毒症狀照樣存在
因此只好乖乖格式化，再GHOST回去

[getter]

作者: 猜謎人

麻煩的是都用Ad-Aware、Spybot掃過
沒有未知程式安裝
連防毒也掃過
他首頁不綁
而是覆蓋其他網頁廣告

我依照你的貼圖，以我這邊點進去發現，也是這樣的﹐不果並非是一樣的廣告


我推測可能是 YAHOO 的問題，不是您的電腦的問題...
每按一次重新整裡廣告都不同，是 FLASH 的廣告或連結廣告的說

[getter]

作者: 古里特

簡單地講

覆蓋歸覆蓋，格式化是格式化

在電腦的世界透過目錄(directory)做為索引去找到資料

我們常見到的快速格式化就是將目錄拿掉，這樣子電腦就找不到索引，沒有路徑去找到資料

但是檔案還是在硬碟，只是電腦找不到而已

等你下次使用硬碟的時候，會建立起新的索引去使用那塊資料區，然後將原有的資料覆蓋掉

有點對也不太對 ...

一但磁區覆蓋磁區，基本上跟 DISKCOPY A: B: 類似，原來的 B: 的資料
會被摧毀並失去原有路徑的，因此 GHOST 的覆蓋也如此。蓋掉就是蓋掉了
一般被覆蓋的區域是很難被復原的尤其是覆蓋率達 100% 情況，更是就不回
來的。使用 GHOST 覆蓋後可以就會部分資料是因為覆蓋率未達 100% 的關係
因此就像是考古一樣的可以救回來。

以前曾看過 GHOST 的一份進階文件說，可以針對未使用區域或以使用區域進行
"清除"，這可以資料更徹底的消失，無法施救。

格式化有分「一般」與「破壞式」兩種。

「一般」的會先進行反格式化處裡，在做格式化，如此不慎格式化才得以
救回資料(自 DOS 5.0 之後的版本有的功能) 而用檔案總管，或 CMD
命令的 FORMAT、FORMAT /Q (/Q 快速格式化) 皆屬於「一般」。

「破壞式」格式化採用一軌一軌的填入 "0" 或 "1" 將原有的資料清除，使其
真正淨空，只有 CMD 命令的 FORMAT /U 者。

會何用了 GHOST 還是有中毒或惡意程式呢?

1.在做 GHOST 備份前就已經感染了。
2.假定是乾淨的 GHOST 備份，是因為有其他的磁碟區域導致重複
感染，如 USB 病毒、AUTORUN 病毒，雖然將 C: 還原但是 D: 中標了
因此還會再中一次。(Windows 本身會對有 \AUTORUN.inf 的磁碟區做
定義讀取，經果我反覆試驗並參考網路上說可以關自 AUTORUN 的文件
發現，並未能禁止 Windows 讀取磁碟區的 \AUTORUN.inf)
3.使用者習慣，如有使用特定的程式或上特定網站，如遊戲外掛，
偏偏又是放在 D: 中，即使，C: 還原了，還是再中一次。

最後有關 MBR 區域的部份，這是依個極小的區塊，主要是用來記錄硬碟
的分割區狀態，但在 DOS 有人利用這一快寫入病毒資訊，當然 ... 重灌
N 次也沒用的一個原因。

[蠻牛]

作者: 猜謎人

麻煩的是都用Ad-Aware、Spybot掃過
沒有未知程式安裝
連防毒也掃過
他首頁不綁
而是覆蓋其他網頁廣告

正常的吧,我的也是有呀,按重新整理就有不同的廣告

[getter]

作者: 蠻牛

正常的吧,我的也是有呀,按重新整理就有不同的廣告

同意，我認為也是正常，除非用了怪怪的軟體
我有找到一個有說關於 ad.yieldmanager.com 的部落格

http://waterbee.blogspot.com/2006/12/cbox.html

內容有指出就是用了某個免費軟體後，就會有附廣靠。

[猜謎人]

今天已經重灌2次了
..............

一個一個慢慢測試

[getter]

作者: 猜謎人

今天已經重灌2次了
我現在是懷疑WinRAR
之前有人使用NOD
結果判定有毒！
3.70測的結果都會出現廣告
getter大大提到cookie封鎖
我試過沒有效

那問題可能在於 免費軟體 與 一鍵安裝之類

以重灌來分析吧，一定會再某一個軟體的地方出現

我用的 WinRAR 3.70/3.71 不會說然後阿

Windows 裝完後馬上先做 Ghost(連驅動都不上)，留一個最純的環境
在一步一步裝，每裝一個究測試一次並以紙筆紀錄 ... 遲早會抓到的

雖然這是個笨方法，可是我都用好幾次了，很累。

[猜謎人]

作者: getter

那問題...............

Windows 裝完後馬上先做 Ghost(連驅動都不上)，留一個最純的環境
在一步一步裝，每裝一個究測試一次並以紙筆紀錄 ... 遲早會抓到的

雖然這是個笨方法，可是我都用好幾次了，很累。

現在正在依你方式試
真的累

[猜謎人]

放棄了
只裝防火牆和防毒照樣出現！
算了

[getter]

作者: 猜謎人

放棄了
只裝防火牆和防毒照樣出現！
算了

可能是那個，先試著換別家的產品看看。



在Google 收尋 ad.yieldmanager.com
http://www.google.com.tw/search?hl=z...eldmanager.com

出現這個
http://ca.com/tw/securityadvisor/pes...x?id=453097711

DAT 版本 產品 DAT 版本
Original CA Antispyware v9
eTrust PestPatrol v5
eTrust PestPatrol v8
eTrust PestPatrol v4
eTrust PestPatrol v4
eTrust PestPatrol v4

Latest CA Antispyware v9
eTrust PestPatrol v5
eTrust PestPatrol v8
eTrust PestPatrol v4
eTrust PestPatrol v4
eTrust PestPatrol v4

可能被整到某個安全產品裡

[猜謎人]

好奇怪怎會把廣告整進來
下次再試試看
重灌真是累啊！
getter大你都沒出現嗎？

[getter]

作者: 猜謎人

好奇怪怎會把廣告整進來
下次再試試看
重灌真是累啊！
getter大你都沒出現嗎？

就是要你付錢變成 OO 版，不然勒。

當然不會有阿，用的安全產品就不一樣了
防毒用的是 AVAST! v4.7 HOME --> 免費註冊的，還是免費。
防火牆用的是 Kerio Personal Firewall 2.1.4 --> 很古老的防火牆可，功能或安全能力上或許不如新版或其他品牌的，可是簡單好用。

免費軟體的特徵，不是藏有病毒、功能受限、有試用期、不然就是綁廣告，
當然可以付錢變成 OO 版，就不會有這類的困擾。

猜大用的 Windows 是哪一種，是整合版還是乾淨版的？整合版的會有
某種程度的風險存在。 對我來說整合版的還是SuperXP 的最好用。

如果不是安全軟體的話? 就要去懷疑 Windows 了，如果用的是整合版的 Windows
就有可能被埋東西進去了。


這個網頁阿 http://ca.com/tw/securityadvisor/pes...x?id=453097711
，我在仔細看了一下，是我弄錯了，是他把 Ad.YieldManager.com Cookie

列為某種威脅，而這個網頁也支援線上掃瞄(病毒、間諜程式等) 要不要先掃掃看。