全面分析3721及上网助手(2)

图 24不知道什么时候被植入的额外两个模块

8、植入系统的系统服务表

使用IceSword这款安全软件测试平台服务描述表（SSDT），可以看到除Ntoskrnl.exe这个平台内核外，就是3721和上网助手的“CnsMinKP.sys”了。搞编程的人了解这做到了哪些级别，普通网友反正“眼不见为净”。可见功夫真的下到了家了！

图 25通过任务管理器无法查看到的系统服务表

9、自动创建的线程情况

从图26可以看出，上网助手以及组件自动构建的线程数之多，在平台总体线程数的比重上是多得令人吃惊的！该图为已开启任何浏览器以及其它相关窗口情况下的线程构建情况（部分需滚动从而查看）。

图 26自动创建的线程列表

10、后台运行的消息钩子

有兴趣的人可以看看图27中的钩子类型地址栏 清除上网痕迹，看看3721利用的大量钩子函数在干些什么。

图 27众多的消息钩子

11、植入浏览器右键菜单的“！搜一搜”菜单项

呵呵，浏览器右键菜单中被植入的“！搜一搜”是不是该倒回去从右向左读？这个世界的定律是不是也要倒过来解读（图28）？

图 28浏览器右键菜单项

12、上网助手Assistse.exe打开本地1028端口

如图29，上网助手Assistse.exe打开本地UDP 1028端口，作用不明。

图 29端口打开情况

13、植入Internet选项修改

图31是植入至Internet选项的“高级”设置的内容。看看，还有“自动更新”功能呢，有哪些新的方式或主意了，再在您的系统中试试？

图 31Internet选项中被植入的内容

四、3721及上网助手卸载情况分析

有人在网卡撰文说3721现在可以借助其卸载程序干净地卸载了。事实状况真的是这种吗？请看——

1、“完全删除”和“完全卸载”的卸载承诺

如图32，无论3721网络实名还是上网助手，在卸载程序中都承诺“把上网助手从手机中完全删除”和“完全卸载实名插件并关掉实名功能”。

图 32卸载界面的承诺

2、完全卸载不完全

网络实名卸载顺利并重启后，在资源管理器中能够发现WindowsDownloaded Program Files文件夹中有任何文件（即使你将资源管理器设置为显示所有文件、显示系统文件）。但使用著名的Total Commander文件管理器，却看到有一个zsmod.dll的隐藏文件（图33）！如果是删除上网助手，卸载成功并重启后，上述目录貌似隐藏有30个文件1个文件夹（图34）！

以zsmod.dll为关键字在注册表编辑器中搜索，可以看到这个文件并非是一个被“遗忘”的死文件，而是有相应的注册表键值（图35）！

卸载上网助手成功并重启后，检测BHO（浏览器帮助对象），发现平台中一直保留有YDT.DLL和CnsHook.dll这两个BHO对象（图36）！

卸载上网助手成功并重启后，检测自动读取项目，发现并且存在helper.dll、YDTMain.exe、CnsMin三个自动读取的程序项目（图37）！

再测试平台尚未读取的内核组件，发现以驱动方式读取的CnsMinKP.sys仍然被成功加载（图38）！以CnsMinKP.sys在注册表编辑器中搜索，卸载成功并重启后注册表中一直保留CnsMinKP.sys的3处隐藏服务键值（图39），使得卸载操作完全是一个骗局，其基本功能根本没有受到制约，至多是那些通常状况下显示在平台托盘的可以向客户提供“服务”的小图标不见了！当然，系统Drivers目录中的CnsMinKP.sys文件仍然完好，没有受到任何破坏！

看看系统进程如何。如图40，YDTMain.exe、相互守护的Rundll32.exe共3个进程一直静静地在那里！

由此可见，上述就是所谓的“把上网助手从手机中完全删除”的真相！

真的想把他们彻底消除吗？可以，手工在添加删除程序列表中把另外已被告知的两个3721强行安装的程序一一卸载（卸载时切记看清楚相关选项！否则可能既互相修复），此时绝大多数文件跟注册表被消除。但WindowsDownloaded Program Files文件夹中zsmod.dll的隐藏文件或者相关的注册表键值却永远不会被清除！

图 333721卸载重启后资源管理器无法看到的隐藏文件

图 34上网助手卸载重启后系统目录中隐藏的长期文件（Windows资源管理器无法以任何形式查看到，Total Commander可显示）

图 35卸载重启后注册表中的保留键值

图 36卸载重启后仍然被保留的浏览器帮助对象组件

图 37卸载重启后仍然被保留的手动加载项目

图 38卸载重启后仍然以驱动方式读取的内核组件

图 39卸载重启后注册表中一直保留的3处隐藏服务键值

图 40上网助手卸载重启后仍然在运行的后台进程跟一直存在的浏览器工具栏按钮

3、额外加装的两个模块需要另行卸载

图43就是安装时已被确立告知就试图安装的、需要我们手工卸载的垃圾程序。

图 43额外加装的两个模块需要手工卸载

4、卸载过程中一直企图交叉修复

卸载某些额外程序模块的过程中，存在默认被选中的以“卸载”二字开头的一个选项：

“卸载上网助手-地址栏搜索后保留上网助手等按钮”

如果你操作中只看了后面半句，以为是选择了“卸载”它们，那你就错了！

由此可见3721的对用户的心理跟手机使用习惯研究得十分透彻，能够运用的都充分利用了！

图 44卸载过程中一直强行交叉修复

五、3721综合行为的法律、道德剖析

1、3721及上网助手的道德层面剖析

什么“裸体”、“自拍”、“三级明星电影”、“诱惑放荡的美女”、“宾馆偷房”、“无限温情”……等亵渎了广大观众的情趣品味；对青少年进行了非常不良的欺骗引诱；污染了网络环境。

未经明确告知，强行植入其他程序模块。

通过平台驱动的方法读取，安全模式亦难以规避。就连Windows都将带网络联结的安全模式作为一个单独的项目提供帮客户，而3721则是青红皂白，不管用户是否使用网络，一律加载没商量！

2、3721及上网助手的法律层面剖析

额外安装程序侵犯知情权；

强行植入的少儿不宜的URL链接无视青少年权限保护；

宣传黄毒；

介绍黄毒；

卸载卸载过程中以误导的方式保留未经用户许可的组件，而且互相交叉修复；

自动感染、自动繁植、隐藏自身、占用系统资源、干扰客户上网活动、直接或间接向平台中带入不良数据、清除极其困难、通过多种途径自动加载……已经具备完整的病毒特性；

提供不良内容下载……

3、3721及上网助手对国家安全及文化导向的制约

由艰苦奋斗勤俭建国转向靡靡之音声色犬马的和平演变，只需借助3721；

瓦解民众斗志，只需3721；

占领中国的宣传阵地，只需利用3721；

主导美国的网络安全命脉，只需掌握3721；

转变中国网民的文化导向，只需借助3721；

对中国发动网络瘫痪战，只需通过3721！

…………

所有那些，3721已经在做了，而且做得很好！

驭龙 发表于 2005-6-27 22

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-135404-2.html