從IE彈出廣告來看流氓軟件原理

很多人受到IE自動彈出廣告的困擾吧，這裏給出一個解決思路，可以搞定利用BHO（Browser Helper Objects，瀏覽器幫助模塊）興風作浪的流氓軟件。遺憾的是這個方法還是比較複雜的，僅限高手使用，希望高手們能夠幫助身邊的朋友接觸他們的痛苦。  

　　1、運行regedit，打開到

　　HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows

/CurrentVersion/Explorer/BrowserHelperObjects

　　這裏有數個BHO的ID號：

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} Adobe Acrobat Reader

{3E422F49-1566-40D3-B43D-077EF739AC32} 未知

{A5366673-E8CA-11D3-9CD9-0090271D075B} 網際快車（FlashGet）

{AA58ED58-01DD-4d91-8333-CF10577473F7} Google Toolbar

{E5A1691B-D188-4419-AD02-90002030B8EE} FlashFXP

　　2、複製未知BHO的ID號，到HKEY_CLASSES_ROOT下進行搜索，將找到的CLSID項展開，雙擊InprocServer32，右側將會顯示出這個CLSID對應的DLL文件位置winnt/system32和名稱Navihelper.dll，將其記錄下來。（可能未知ID名稱會有所不同，一定要搜索所有的未知ID，以便徹底清潔）

　　3、用UltraEdit打開此Navihelper.dll，發現了一個host.dat的字符串，而且在winnt/system32下。用UltraEdit打開host.dat，可以看到數個廣告地址，這無疑就是惡意彈出廣告的來源了。

　　4、首先在註冊表裏把{3E422F49-1566-40D3-B43D-077EF739AC32}和Navihelper的鍵值全部查找出來並刪除。然後，開始，運行，輸入：“regsvr32 NaviHelper.dll -u”。最後重新啓動計算機，到winnt/system32下刪除NaviHelper.dll及Host.dat文件即可。

　　流氓軟件原理分析：此Navihelper.dll使用BHO（這個東東實在太強大了）的方法在IE裏註冊，打開IE時會自動從網站下載需要顯示的廣告，並將其保存在host.dat中，然後根據host.dat的設置在用戶使用IE的時候顯示廣告。