木马名称广告推广软件

“木马名称广告推广软件”这词儿，木马名第一次在论坛里看到，广告我还以为是推广哪个安全厂商新截获的病毒变种。点进去才发现，软件压根不是木马名那么回事。说白了，广告它就是推广一款把广告弹窗塞进你电脑右下角的流氓工具，只不过开发者给它披了层“木马”的软件皮——名字里带木马，行为也像木马，木马名但法律上它可能只是广告个“推广软件”。

我上周帮一个开网店的推广朋友清电脑。他抱怨说，软件浏览器主页被改成某导航站，木马名右下角每隔半小时弹一次“澳门线上娱乐”的广告广告。我打开任务管理器，推广发现一个叫Trojan.Ad.Promoter的进程，占着不到2MB内存，却把CPU拉到了15%。右键打开文件位置，路径是C:\ProgramData\AdPush\svc.exe。这名字起得挺直白，连伪装都懒得做。

关键问题在于，这类软件怎么进到用户电脑里的？朋友回忆说，上个月下过一个“PDF转换器”，安装时有个不起眼的复选框“推荐安装XX安全卫士”，他习惯性点了下一步。那个“安全卫士”就是这堆广告的载体。安装完成后，它先注册一个Windows服务，每隔几分钟检查一次远程配置，然后从服务器拉取广告素材。弹窗本身是个无窗口的IE控件，你关掉它，过一会儿又冒出来。更绝的是，它会把卸载入口藏得很深——控制面板里根本找不到，得去安装目录手动运行uninst000.exe。

我抓包看了下它的通信。每隔15分钟，它向api.adpromo[.]cn/v3/report发一次POST请求，内容包含你的IP、系统版本、已安装软件列表。返回的JSON里带一个广告ID和展示时长。说白了，你的电脑成了它的广告位，而广告主按展示次数给它结算。一个日活十万的“肉鸡”网络，每月收入能到六位数。这比正经做软件来钱快多了。

有人觉得，不就是弹个广告嘛，忍忍就过去了。但这类软件往往不止弹广告。我逆向过其中一个样本，发现它内置了远程命令执行接口。服务器可以下发指令，让客户端下载并运行任意exe文件。今天是广告，明天可能就是勒索病毒。去年有个叫“Adware.Win32.MultiPlug”的家族，就是靠广告推广软件铺量，后来突然转向挖矿，几十万台机器中招。

那怎么防？别指望杀软。大部分杀软对这类“灰色软件”睁一只眼闭一只眼，因为厂商可能交过“白名单”费用。我的做法是：装软件时用沙盘跑一遍，或者干脆在虚拟机里装。日常用的机器，开启Windows的“受控文件夹访问”，阻止ProgramData目录下的可执行文件自动运行。另外，路由器上把adpromo.cn这类域名直接黑洞掉，能屏蔽掉一大半弹窗。

最后说个真事。我那个朋友后来重装了系统，装完第一件事就是去某下载站下“驱动精灵”。我拦住了他，让他去官网下。他问为什么，我说：“你上次中的招，就是驱动精灵安装包里的‘推荐软件’带的。”他愣了半天，说了句：“这帮人真会玩。”是啊，木马名称广告推广软件，名字里带木马，骨子里是生意。你把它当病毒，它把你当流量。