转：“百度插件病毒”深度分析

[polomasu]

最近发现在浏览一些网站时，会不知不觉的被安装上一个来自百度公司名为“IE搜索伴侣”的IE插件。
这个插件极为怪异，有时的签名是baidu.com，有时的签名是Gaoling Interactive Information Technology Corporation limited，不仅偷偷摸摸还极为霸道，3721一类的IE插件还几天弹一次，百度的这个插件却每分每秒无时不刻的在疯狂弹出，让人防不胜防。

百度插件开机自动运行“BIE”进程，拖慢上网速度，使系统运行极不稳定，在有的杀毒软件论坛里用户在声讨这个插件，很多网友发现百度插件安装后不经用户许可就删除用户硬盘数据和注册表项，致使一些软件无法正常运行，更可怕的是百度这个叫“BIE”的后台程序隐藏运行，在系统配置程序里删不掉，其对应的注册表项删除后又自动恢复，与病毒的特征完全一样。在金山毒霸的论坛里还有用户反应百度插件与中国游戏中心在线客户端、影音卫士等软件冲突，关机时经常会致使IE出错。

通过分析这个软件的源码可以看出，这是个一个写得很粗糙的Windows应用程序
#include "windows.h"
#include "winbase.h"
void main()
{
char buf[MAX_PATH];
::ZeroMemory(buf, MAX_PATH);
::GetWindowsDirectory(buf, MAX_PATH);
char filename[MAX_PATH];
::ZeroMemory(filename, MAX_PATH);
strcpy(filename, buf);
strcat(filename, "\\Downloaded Program Files\\BDPlugin.dll");
::MoveFileEx(filename, NULL, MOVEFILE_DELAY_UNTIL_REBOOT);
::ZeroMemory(filename, MAX_PATH);
strcpy(filename, buf);
strcat(filename, "\\Downloaded Program Files\\BDHelper.dll");
::MoveFileEx(filename, NULL, MOVEFILE_DELAY_UNTIL_REBOOT);
::ZeroMemory(filename, MAX_PATH);
strcpy(filename, buf);
strcat(filename, "\\Downloaded Program Files\\BDSrHook.dll");
::MoveFileEx(filename, NULL, MOVEFILE_DELAY_UNTIL_REBOOT);
::ZeroMemory(filename, MAX_PATH);
strcpy(filename, buf);
strcat(filename, "\\Downloaded Program Files\\BDEx.dll");
::MoveFileEx(filename, NULL, MOVEFILE_DELAY_UNTIL_REBOOT);
}

但这个百度IE插件用正常的卸载方法根本不能完全卸载，下面给大家介绍完全卸载这个插件的详细方法。
由于这个百度IE插件是使用Rundll32.exe调用连接库的，系统无法终止Rundll32.exe进程，所以我们必须先重新启动计算机，按 F8 进入安全模式（F8 只能按一次）之后，单击 开始 -> 运行 regedit打开注册表，进入：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除键：BIE 其键值为：Rundll32 C:\WINNT\DOWNLO~1\BDPlugin.dll,Rundll32（如果是win98，这里的 C:\WINNT\DOWNLO~1\ 为 C:\WINDOWS\DOWNLO~1\）
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\AdvancedOptions\ACCESSIBILITY
删除键：BDSEARCH，此键在 Internet 选项 -> 高级 中加入了百度IE搜索伴侣的选项。
HKEY_CLASSES_ROOT
删除键：BDHlprObj.BDHlprObj
删除键：BDHlprObj.BDHlprObj.1
删除键：BDHook.BDSrchHook
删除键：BDHook.BDSrchHook.1
删除键：BDHook.URLBDHook
删除键：BDHook.URLBDHook.1
删除键：BDPlugins.Interceptor
删除键：BDPlugins.Interceptor.1
HKEY_CLASSES_ROOT\CLSID
删除键：{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}
删除键：{CA92B524-BC8A-4610-BD2C-6BD3E28155D0}
HKEY_CLASSES_ROOT\TypeLib
删除键：{CE7C3CE2-4B15-11D1-ABED-709549C10000}
HKEY_LOCAL_MACHINE\Software\CLASSES\CLSID
删除键：{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}
删除键：{CA92B524-BC8A-4610-BD2C-6BD3E28155D0}
HKEY_LOCAL_MACHINE\Software\CLASSES\TypeLib
删除键：{CE7C3CE2-4B15-11D1-ABED-709549C10000}
HKEY_LOCAL_MACHINE\Software\Microsoft\Code Store Database\Distribution Units
删除键：{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}
删除键：{CA92B524-BC8A-4610-BD2C-6BD3E28155D0}
删除完注册表中的项之后，还需要删除存储在硬盘中IE搜索伴侣的文件。
删除如下文件：C:\WINNT\DOWNLO~1 目录下（98下为 C:\WINDOWS\DOWNLO~1\ 下同）
BDEX.DLL 24576 12-25-02 11：43
BDPLUGIN.DLL 49152 12-25-02 11：44
BDSRHOOK.DLL 32768 12-25-02 11：45
BDHELPER.DLL 36864 12-25-02 11：52
BDSEARCH.INF 1507 12-28-02 9：48
以上文件全部删除，这样百度IE插件就基本上从你的计算机中全部清除了。最后，重新启动计算机，进入正常模式就不再有百度插件的侵害了。


下面是完全禁止百度插件的方法：
完全删除百度插件之后，用Windows自带的记事本打开hosts文件（hosts文件是Windows里面自带的将主机名称映射到 IP 地址的一个文本格式的文件，hosts表位置，Win9x系列在C:\Windows，NT、win2000平台在\winnt\system32\drivers\etc，Winxp平台在\windows\system32\drivers\etc，如果找不到就查找一下hosts)

加入以下字符(IP和域名之间用一个空格间隔开)：

127.0.0.1 bar.baidu.com
127.0.0.1 www.baidu.com
127.0.0.1 baidu.com

保存的文件名为hosts(注意不要加任何扩展名)，怎么样？再也看不到百度插件的对话框了吧？
同理，用Hosts文件还可以对付网页中的广告。现在很多大型网站，都有专门存放广告的主机，查看网页的源代码，就可以知道广告文件存放在哪台主机上，然后用Hosts文件解析这台主机的IP，就可以把这些广告拒之门外了。 这个方法不足的地方就是无法访问百度网站，不过我们都使用Google(www.google.com)，百度网站也没有访问的价值。

另外如果有用NetCaptor、MYIE、QQ浏览器等多页面浏览器的网友也可以把：
www.baidu.com 202.108.250.228
bar.baidu.com 202.108.250.204
这些添加到黑名单，
把C段封杀
202.108.250.*
---------------------------
附件附上Hosts:
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost
127.0.0.1 bar.baidu.com #百度IE插件
127.0.0.1 www.baidu.com #百度IE插件
127.0.0.1 baidu.com #百度IE插件

[lovenoerror]

我支持你们告百度的，但是我们不防来想想自己的问题，为什么会在不经过我们的同意下安装呢，所以我们缺的是一种安全的意识，我管下的机子安有金山毒霸2003我在管理中直接禁止危险脚本，所以控制了，这一类的事情的发生，还有我的机子中过尼姆达，所以我们缺少的还是一种安全的意识，你们说呢，好了言归正传，其实想清那个有一个好的办法，就是用F8进入DOS，后进入到windows\downlo~1后删除BDplugin.dll文件，注意一点在用dir显示downlo~1时加上/a　才能显示出来，downlo~1这个目录，进入时不存在问题，重启后会报告说找不到那个文件，进入msconfig中关了BIE，再进入regedit中在run－中删除就行了

[wangjiayan]

上上楼说的很好

[ayamaya]

楼上的说得没错，但是对于像我这样的一些电脑菜鸟来说，如何加强电脑安全的管理是个难题啊。呵呵，只能在实践中摸索了。

[quote110]

[转贴]

国内封杀限制Google其实前后均由搜索引擎公司百度在幕后操作

Tubleaqis

去年底回国了一次，跟几个圈内的朋友聊了聊，其中有百度的员工，虽然所得不多，但初步证实了我由来已久关于Google在国内被封是有公司在背后操作的猜测，非常巧的是新年后在硅谷接待了一位老同学一家，我这位老同学的先生在政府相关部门工作，恰恰了解Google被封这个事，从他那里证实了国内搜索引擎公司百度(baidu.com)前前后后暗中操作Google被封及Google使用功能受限的一些传言。

我最早怀疑百度的理由非常简单：一是百度公司是Google被封唯一的受益者， Google被封之时，也刚好是国内主要门户更换搜索引擎服务商的时间段，这个事件后，门户网站视Google如洪水猛兽，网易、新浪、雅虎中国、搜狐这样的公司不得不选择了百度的产品，百度从中获利近两百万美元。二是百度作为国内搜索引擎界的知名公司，恐怕没有人比他们更了解Google，对于Google中有些什么有害信息，或者对Google的一些功能进行限制的技术实现手段上，百度是专家。整个Google事件，百度有动机，有条件。

根据我前后接触四五个与这件事有关的朋友的说法，大概整理出百度操作Google事件的经过：

2001年中，百度的一个副总即开始与政府有关部门谈Google中"有害信息"的问题，但当时百度接触的人级别比较低，百度的想法也只是想通过政府向使用Google的一些中文网站施加压力，另一方面有关官员也认为Google的服务器在国外，同时在国内影响不大，所以也只是根据百度的举报抽查过用Google服务的网易一两次，并没有什么大的风波。

2002年的时候百度最为害怕Goolge，因为这时传言Google　的　Founder将访华，Google也准备在年底正式进入中国市场，同时百度最大的客户新浪、搜狐也正在和Google接触。面对这种情况，有点像是对百度宣判了死刑，所以百度开始变得疯狂，专门制定了一个针对Google的计划。

根据朋友的说法，从公司层面，百度分三类整理了Google含有所谓政治问题、宗教问题、情色问题的材料，每一类材料多达数百页A4纸，定期向有关部门提交，百度并提供数据证明中国网民经常在查找这些东西。虽然人们在使用Google时，可能不足几万分之一的情况是search这些"不良信息"，但由于百度是国内最大的搜索引擎公司，他们提供的数据却说明中国网民有多达近10个百分点的比例在经常搜索"不良信息"，这样的数据给政府有关部门造成了很大的影响，觉得Google中的"不良信息"对中国网民危害巨大。

从用户层面，百度也动用了非常多的人力和财力操作这个事，包括组织一些员工和兼职进行信函举报，即以用户身份给有关部门写信投诉Google"危害社会"，"危害中国互联网"，"危害青少年身心健康"，从我在政府部门工作的朋友所称，这一招是非常有效的，对最后有关部门的决策起到了重要作用。

从高层路线，经过一年的打基础，百度的CEO和VP开始能接触到有一定级别的官员，并适机的传递一些Google中众所周知的特别要害的"有害信息"情况，这也是后来Google被封时民间传言Google所含有特别要害的"有害信息"到达政府一定级别官员的一个重要途径之一。

2002年9月，中国5600万网民的不幸，历时一年多的阴谋策划后，百度的计划得逞了，有关部门封杀了Google。虽然这一事件前前后后网上传言众多，但可以肯定的是，没有搜索引擎公司百度的幕后操作，就不会有封杀全球最伟大的搜索引擎Google。Google假如进入中国市场，对百度的打击是毁灭操的，但一个精心策划的阴谋使得百度公司不仅逃过一劫，还能长治久安，并且当年就通过向本来可能是Google客户的Sohu、Sina、网易、中国雅虎卖自己的搜索引擎服务获利近两百万美元。

更为让人吃惊的是，据有人称，Google被封杀后，篡改Google DNS指向的人中即有百度。这一推测其实也很容易成立：虽然篡改DNS违反中国法律，但百度在当时特定情况下断定政府不会追查此事，所以在整死Google后还分Google的残骸，篡改DNS，把访问Google的用户引到百度网站，为了分散网民的注意，又把其它如北大天网、ENet等一些不相干的网站拉下水。其实有聪明的用户稍加分析就可以明白，中国提供搜索引擎的网站那么多，但Google被篡改的DNS后指向的网站为什么只有百度一个是真正概念上的搜索引擎呢？而没有比较知名的搜索网站sohu、sina、yahoo？

虽然Google被封杀已成昨日烟云，但今天的Google中文的使用仍然在国内受到芏嗤缂际醯南拗啤Ｔ贕oogle的Keywords、Cache、Spider等程序服务中，Google中文网站受到一套相当完善的技术限制，有朋友称，百度的几名核心程序员参与了这一套Google限制技术的开发和技术支持。Google已经成为互联网上搜索引擎的代名词时，只有中国不能真正的使用他，而这套技术的创意与提供，却正是中国的搜索引擎公司百度。

因为一个公司的私利、中国5600万网民不能方便的得用互联网查询资料，因为一个公司的阴谋，整个中国互联网的信息利用向走退了一大步。我前后接触了几个与事件相关的人物，通过私下交流中获得一些信息，把事实与内幕记录下来，只是想澄清中国互联网发展史上的一个令人震惊的事实，让众人明白一个问题：是谁在为中国的搜索引擎服务做贡献，是谁在残害中国的搜索引擎服务。

[powergun007]

下面是百度论坛上百度公司对该贴子的评论：
建议写http://expert.csdn.net/Expert/topic/1359/1359091.xml 的程序员如果有这样的时间和精力不如把微软的源代码破出来，或者认真扎实地去作自己的研究。远比现在这样诈唬要有意义的多。
我崇拜你的技术，却蔑视你的所为。
http://forum.baidu.com/cgi-bin/forum/topic_show.cgi?id=4130&h=1&bpg=1&age=0

[powergun007]

google被封时我曾想这不是简单的事件，背后一定有黑手，事实证实了我的想法。这是有预谋的谋杀。

google是我的最爱，在2000年我刚接触google时，便被它的搜索快速、海量资料、功能繁多所深深吸引，从此只要遇上查点资料便欲罢不能，都要上google找来资料。不幸的是2002年9月google一度被查封，虽说现在恢复使用，但是像网页快照等功能仍属于限制之列，无法使用。一个完整易用深为网友所喜爱的搜索引擎被肢解的支离破碎，而我只不过想用来查找资料而已，这也是互联网最大的功能之一。
现在终于有人捅破了这个黑幕，百度这只幕后的黑手利用卑劣的手段扼杀了google，所为的只是自己的利益。百度的搜索引擎一开始便有模仿google的迹象，例如现在的百度快照简直就是google网页快照的翻版。即便如此，百度搜索引擎在网页的量及其功能上仍无法超越google，具体说应是核心的搜索技术比不上google，特别一提的是百度别出花样、粗制滥造的插件，极大影响了用户电脑系统的稳定性，在互联网早已成过街老鼠，被网友们喊打。所以当听说google要涉足中国的搜索引擎市场时便慌了手脚，使出这招处心积虑、蓄谋已久的卑劣手段来谋杀google。
我一向提倡市场公平竞争，只有在公平的竞争中才能学习和提高。但是百度这种不思考自身产品问题，不是想办法如何提高自身产品质量和功能，而是采用下阴招、背后捅刀的行为，实在为人所不齿。这样的企业值得我们支持吗？这样的产品值得我们使用吗？
呜呼，睹文有感，愤懑难耐，遂发此牢骚。

[云深不知处2]

（哑然！）
其实我挺喜欢使用www.baidu.com的，google我也喜欢，而且我也从来不装那个工具条。
真想不到www.baidu.com原来这么恶毒。

[jiangtao921]

彻底清除3721,百毒这些垃圾~~~

[anwell]

是呀，
这也是国人唯一不能容忍google 的地方

[gsw1204]

百度是垃圾！3721更是！

[darkestyang]

百度和3721都是垃圾！！

[jianglinchun]

说的对，两个垃圾，垃圾3721把我地址栏的搜索指向他们公司了，我fuck.都是一不小心惹得货。

对不起，真的忍不住想骂人了。一个程序员写个程序不容易，tnnd这些垃圾插件常常捣鬼。百渡公司和3721的行为真TMD LAGI.

[asbeforelong]

资本的原始积累阶段嘛，资本家这个时候最穷凶极恶。其实西方的那些软件公司以前不也那样。

[sungod8]

提供个删除的方法,打开任务管理器,结束RUNDLL32.EXE这个进程,然后打开注册表,进入HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
然后下面有什么Rundll32 C:\WINNT\DOWNLO~1\....DLL的都删了(因为它是会随机改名的)

[lengnuan]

cnnic的中文##也是一样无耻!!!

俺为了测试东西,把安全设为最低.结果浏览enet的新闻,
就跳出来窗口说已经安装成功,请注册!!!

Q@$#%!$#%!#$%

真是tnnd.

[严黎斌]

另，对ie浏览器，我有个想法。
当网站要给我们安装一个类似3721这样的控件的时候，除了回答是否，还有个选项“一直信任...网站”什么的。
我一直纳闷，为什么没有“永远不信任...网站”这样的选项？？？？
比尔老盖子，你赚那么多钱，干什么吃的！！！！

[sharkhu]

妈的，把我机器搞得半死不活的，靠~~~~

哪个兄弟告他的时候叫上俺一声

[pitchief]

百渡的这个插件没用过，不过3721的插件很容易删除啊，添加删除了就没了，再也没出来过，没遇到有的人说的阴魂不散啊。

不过我上网是比较小心的，除了微软在线升级的插件和flashplayer的插件，什么插件我也不装。

[严黎斌]

我觉得，程序员也要有基本的职业道德。写这样的软件，真的是程序员的羞耻。
对3721和百度的程序员，既同情，又不耻。

[lengnuan]

pitchief(天下第一笨) :
基本上可以说你肯定没有完全删除3721.

一招必杀计:
http://bbs.cniti.com/cgi-bin/topic_show.cgi?id=350259302&h=1&bpg=1&age=0

完全清除.
http://bbs.xmu.edu.cn/bbsgcon?board=Internet&file=G.1029118698.A&num=376

发信人: flyhawk (牧羊人), 信区: Internet
标 题: 如何彻底删除 3721 网络实名
发信站: 鼓浪听涛 (Mon Aug 12 10:19:43 2002), 站内信件

3721 网络实名 真的很可恶，相信很多网友都是费了半天劲也不能删除它。
历经多种尝试，我终于干掉了这个破玩艺，下面将删除步骤列出：

-----------------------------------------------------------

可恶的 3721 藏了个 CnsMin.dll 在 Winnt/Download Program files
下。。。可是打开Winnt/Download Program Files，结果里面空空如也
～～。点击显示所有文件，不隐藏系统文件也什么都没有。

3721实在太恶毒了。。。。

还好在MS-DOS方式下dir 一看。嘿嘿。。 那个Download program
files下面有n多3721的文件，。。。。

把CnsMin.dll改名（如果直接输入del *.* 结果是拒绝删除，不行！）
然后重起。。系统会显示CnsMin.dll不存在（要的就是这个效果！）。。

现在好了可以到注册表里把3721,CnsMin,网络实名搜索一遍，统统
杀了，具体步骤如下。

单击 开始 -> 运行 regedit.exe 打开注册表，进入：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除键：CnsMin
其键值为：
Rundll32.exe C:\WINNT\DOWNLO~1\CnsMin.dll,Rundll32
（如果是win98，这里的 C:\WINNT\DOWNLO~1\ 为
C:\WINDOWS\DOWNLO~1\）

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\
删除整个目录：!CNS
这个目录在 Internet 选项 -> 高级 中加入了3721网络实名的选项。

HKEY_LOCAL_MACHINE\SOFTWARE\3721\ 以及 HKEY_CURRENT_USER\Software\3721\
删除整个目录：3721

注：如果您安装了3721的其它软件，如“极品飞猫”等，则应删除
整个目录：HKEY_LOCAL_MACHINE\SOFTWARE\3721\CnsMin
　　以及　HKEY_CURRENT_USER\Software\3721\CnsMin

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\
删除键：CNSEnable 其键值为：a2c39d5f
删除键：CNSHint 其键值为：a2c39d5f
删除键：CNSList 其键值为：a2c39d5f


　　在删除完注册表中的项之后，还需要删除存储在硬盘中的3721
网络实名文件。 再进 MSDOS... del *.* 也可以把
WINNT/Download Program Files 下的东西全部咔咔～～

　　删除如下文件：

2001-08-02 17:03 40,960 cnsio.dll
2001-08-08 14:14 102,400 CnsMin.dll
2001-08-24 23:14 42 CnsMin.ini
2001-08-09 10:18 13,848 CnsMinEx.cab
2001-07-06 17:57 32,768 CnsMinEx.dll
2001-08-25 02:52 115 CnsMinEx.ini
2001-08-25 02:51 17,945 CnsMinIO.cab
2001-08-02 17:02 32,768 CnsMinIO.dll
2001-08-24 23:15 40,793 CnsMinUp.cab

现在，终于把3721全部手动清除了，然后打开IE浏览器，选择菜单：
工具-->Internet选项-->安全-->受限制的站点-->点击“站点”
按钮，然后把“3721.com”加入，这样以后拒绝访问 3721 的一切
网页，以免再被装上他们的网络实名！

关闭各窗口，然后重新启动计算机，整个世界终于可以清净了。。。。

注：原来3721写了几个dll在 Winnt\Download program files下。
并且在windows下是看不见的（显示所有文件，不隐藏系统文件也看
不见，连搜索文件也找不到） 然后在注册的Run键值下写入了
CnsMin.dll,这样每次开机CnsMin.dll自动驻留在内存里,因此这个
时候清注册表是没用的，它马上又会往注册表里写。。。 所以只
能先把CnsMin.dll改名，然后重起，再清除注册表就没问题了。。