黑色海岸线论坛 - Powered by Discuz! Board

标题: [整理]剖析恶性网站－－－9991.com专题 [打印本页]

作者: 黑色叶子 时间: 2006-5-9 00:55 标题: [整理]剖析恶性网站－－－9991.com专题

原文　http://www.zyzhang.com/article.asp?id=1082
原来9991.COM是庞升东的

　　知道很多人崇拜他，但我一直不是很喜欢这个人（天哪，又是上海的），倒不是仇富，马云、李彦宏都比我富，但他们是我的偶像；
　　我知道9991.COM是很偶然的事情，去年我们联盟与智易的合作效果很差，智易给我们带来的订单每月只有寥寥几个，但到年底的时候，从智易来的订单突然多起来，我们查了一下，多出来的订单都来自一个固定的网站，但不知道是哪一个网站；
　　突然有一天，党告诉我她知道那些订单是哪个网站来的了，她说她的IE首页莫名其妙被改成9991.COM，而且怎么都删不掉，出于职业的敏感，她看了一下9991.COM上的当当网的链接网址，从链接代码来看居然就是我们一直在找那个；
　　那个时候9991.COM还不像现在这样声名远播；
　　这些天我看到N多人在讨论9991.COM，开始完全不感兴趣，但最后终于架不住，随便看了一篇，原来有人揪出来9991.Com的幕后黑手是大名鼎鼎的庞升东。
　　并且，庞升东居然很爽快地就认了，他说
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
9991是我朋友主导的网站，已开始从良。前期，由于推广公司的原因，确实给不少朋友带来麻烦，深表歉意。很多的大网站都走过类似的道路，据说美国也是这样，唉！
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
　　说实话，说9991.COM是庞升东的我一点也不奇怪，我看过庞升东的文章，从他的文字里感觉他就是一个可以为赚钱豁上一切的人；但他这样的直白还是把我给震住了。
　　然而更让我吃惊的是，我看到那个揭露此事的人说“既然9991已经从良了，我们就原谅他吧，有时间跟老庞请教此种的推广之道”。
　　这就是我们的互联网，笑贫不笑娼。

作者: 黑色叶子 时间: 2006-5-9 00:57 标题: [整理]剖析恶性网站－－－9991.com专题

原文：http://soft.yesky.com/securityw/aqff/403/2368403.shtml
驱除烦恼 9991恶意网站清除手记
听朋友说9991.com很厉害，笔者想再怎么厉害的网站同样也是有办法可解的吧!于是登陆到该网站，发现这个网站能自动下载程序到用户的电脑中，修改IE设置(如图1)，并且非常难以清除。
　作为一个垃圾网站9991.com算是非常厉害的了，这个垃圾网站三个多月的时间从ALEXA排名没有数据现在到了前100，一个网站在我们没有看到任何广告的情况下突然飙升为100上下呢?很明显，用了非常让人讨厌的流氓手段。
世上没有决对的事情，下面就来讲讲我如何清除它:
　　在“开始”“运行”输入“msconfig”，调出系统配置实用程序，打开启动项，看到有一个update.exe启动着，顺手打开任务管理器，看了一下，没有Update.exe这个程序运行，偶就把这个启动项给勾掉了，然后根据启动项的启动目录，找到C:\盘程序文件夹下通用文件夹内，对准Update目录，按下DEL键，居然提示不能删除，郁闷!
　　看了一下通用文件夹下，还有一个SAND文件夹，这个文件夹也不是什么好玩意，按下DEL，一并清理，将IE主页恢复，重新启动计算机，再次找到Update目录夹，按下DEL，这次它乖乖地和垃圾呆在一起了。打开IE一看，主页已经被我顺利收复。
　　全盘搜索了一下，发现在c:\windows\system32下还有一个update.exe，确认了一下日期及公司，一并删除。
　　注:通用文件夹指的是C:\Program Files\Common Files
　　笔者的话:
　　网络本来需要一个相对安静的环境，在我们一至申讨流氓软件的同时，这些流氓网站带给我们的烦恼是有过之而无不及。不断的利用IE漏洞修改我们的设置，给我的网络生活带来了非常大的不便。面对这些问题，我们应该如何办呢?笔者认为在用户加强防范的同时，法律法规上面需要得到更大的加强，对这些流氓网站采取更大的打击力度。流氓网站也是一个大众化的问题，所以程序员们应该开发出更多好软件出来保护我们的网络环境。

作者: 黑色叶子 时间: 2006-5-9 00:59 标题: [整理]剖析恶性网站－－－9991.com专题

原文：http://www.searchweb.cn/post/2148.html
9991的垃圾推广方式又被发现了
QQ表情本来是广受用户欢迎的一个实用工具，然而，最近有人却利用人们对QQ表情的喜爱，将其变成了一种恶性病毒。最近，笔者不断接到求助电话，受到一款名叫多多QQ表情病毒的骚扰。笔者随即对这款工具软件进行调查，发现了其背后还暗藏着惊人秘密。
　　真相：公开捆绑传播，被指暗藏病毒
　　在百度上搜索“QQ表情”，找到相关网页约1,660,000篇，搜索“多多QQ表情”，找到相关网页约660,000篇，通过这简单的计算，多多QQ表情拥有QQ表情市场近40%的市场占有率。那么这款有着惊人市场占有率的软件到底是一款什么样的软件呢？
　　根据其官方介绍，多多QQ表情是一款专门为腾讯QQ用户打造的免费软件,提供超炫QQ表情,点击就能导入QQ表情中,导入完毕就能在QQ聊天时使用,丰富您的对话。同时QQ表情还向软件作者和站长开出了价码，称将按0.05元一个的价格与软件捆绑，且特别声明，在安装成功后在添加删除程序中可以看到“多多QQ表情”选项，可自由卸载。
　　真相到底是怎样呢？在百度里，笔者发现得更多的却是和求助电话里类似的内容。见图：
　　
　　同时，笔者向一位做安全的朋友求助，他称，多多QQ表情虽然只有47K，而且表面上可挟载，但它确捆绑了另一个叫Update的病毒。而这已经大大超出了之前大家所定义的流氓软件的范畴，因为，在诺顿和瑞星里，大家已经将UPDATE定义成了病毒。
　　背后：商业动机弹出全球百强网站
　　多多QQ表情敢于挑战法律，公开捆绑恶性病毒，目的何在呢？笔者随后又对其展开了进一步的调查。首先，笔者打开了其弹出的第一个网站9991的链接，吃惊的发现，这家成立于2005年10月第二个星期的网站，在ALEXA里的排名居然已经上升到了全球前100名。如果按照其REACH值1万来推算，其流量已经达到了新浪的七分之一。
　　那么这家网站又是通过什么手段如何神奇般在3个月之内的由0做到全球100名呢？那就是前面被诺顿和瑞星认定的多多QQ表情携带的UPADATE病毒。同时，笔者打开多多QQ表情指向的其他相关网站，同样发现了这个这恶性病毒所带来的巨额流量使这些网站在短期间内搭上了超级火箭。
　　谁是幕后黑手？
　　在百度里，笔者输入“9991”显示的第一条结果是"9991实用生活网-网址大全-分类信息-实用查询",而对应的链接是www.woyaoshang.com(我要上),而不是www.9991.com,进去一看,内容和9991一样，相关的联系方式和9991也是一模一样，可以断定，他们是同一个人所为。
　　在DONEWS一篇BLOG暴料：“现在网站打着"9991.com是绿色安全网站,多家媒体宣传、推荐,点此查看",看来流氓改良了，不从事流氓事业了，关键是以前被你流氓的用户怎么摆脱痛苦！！！!www.woyaoshang.com又是谁注册的呢？自己没有到域名注册商那去搜索，而是直接到了www.alexa.com 去查，查询到的邮箱是whocool@163.com,，再回到baidu搜索这个信箱，原形就出来了！邮箱无一例外都指向了同一个人-——大名鼎鼎的庞升东。”
　　看来，表面的众多证据，都指向庞升东。但是，幕后到底又有怎样的

作者: 黑色叶子 时间: 2006-5-9 01:01 标题: [整理]剖析恶性网站－－－9991.com专题

原文；http://www.searchweb.cn/post/2149.html
谈9991.com的勃起
又一家网址站杀了出来。
之所以说它是勃起，那是因为它确实就是勃起的，要强奸网民的浏览器也必然需要勃起。
我应该是在两个月前认识9991的，认识的原因是它强奸了室友的浏览器。我们试用了n多种方法也没有将其留下的木马彻底清除。此木马生命力极强，往往好像是把它删掉了，但过了几天又突然复活。当时这个网站特别是这个木马引起了我极大的兴趣。我通过QQ向9991的某工作人员透露我有买下这个木马的意思。聊天记录如下：
我：你们锁定首页的代码是否出售
9991：您好，我现在有事不在，一会儿再和您联系
9991：出售
我：我想看一下演示我自己还没中过
9991：首页　５０００　每月
9991：啊？中什么？
我：我说的是你们强行修改首页的代码
我：你们的代码很强我想买
9991：哦　我们也有所闻，但是我们推广都是外包的
9991：您需要联系我们外包的公司
我：能给联系方式吗
9991：这个暂时是保密的
我：能透露一下外包用了多少钱么
9991：呵呵　大约３６０万吧
我：不可能吧
9991：我也觉得不可能，网络这东西　不就是　烧钱吗
当时9991的网页日ip应该在200万左右，alexa三种走势图里线条均一路上扬。而在8月中旬以前，此站还是没有统计数据的。不得不感叹，9991的推广实在是强。而且我多次浏览9991首页，没有任何浏览器被强奸的迹象，木马肯定是挂在别的网站上，而且可能是挂在几个知名的大站，才能引来这么大的流量。
大概一个月以前，9991首页上曾出了一条公告，当时没有记录下来，现在仅回忆出大概意思：我们9991的推广工作是交给其他几个网站的，这几个网站为了自己的利益可能修改了用户的首页，9991在此道歉，并提供解锁首页的方法。“请将您的情况详细描述，发邮件给我们。我们的技术人员将在一个工作日内回复邮件。电子邮件： 9991ANGEL＃163.com，注意发邮件时请将＃改为@符号”。
9991如果真不知情，如果真想真诚道歉，那么他应该把解锁的方法提供出来，而不是叫写邮件去索取。稍微在行的人一眼就能看出来这里面有什么猫腻，9991这个强奸犯好像在说，“哎呀，我不是故意强奸你的。”
9991的页面布局确实比较清爽，但与网上现存的网址站并无太大区别，只是颜色风格上的改变而已。关键是它称自己为生活网。其“生活网理论”的核心是其有一套标题为“同城生活咨讯”的系统。我们来看看这套系统吧，一看就知道是用淘宝程序改的。真是难以想象，一个号称拿360万来做推广的网站居然连最重要的系统程序都不是自己开发，怪哉怪哉。
写这篇文章的时候，我的浏览器也打开着9991。首页顶端赫然写着“9991.com是绿色安全网站,多家媒体宣传、推荐,点此查看...”，我觉得这简直是无耻至极。点开一看，其称在《电脑报》《环球时报》《北京晨报》《网易》《搜狐》《新浪》等媒体上都有做过广告。我好久没买报纸了，无从考证9991是否做过纸媒广告，但凭我的理智来看，其在三大门户做广告的说法简直是天方夜谭。我估计他给出的几张广告截图，关于9991广告的部分是自己贴上去的，覆盖了人家本来显示着的广告。搜狐广告更离谱，点开看一看就知道了，我至今不知道这张图是改自的哪个页面。真正在纸媒上做过宣传的网址站我记得好像有da123，这都是2003年底的事了。现在da123的alexa排名在2000多，比起9991两个月就创造出的当日排名200名左右的记录，真是不服老都不行。
9991.com是绿色安全网站？笑话！如果它真是绿色安全网站我们会看到他吗？网址站多如牛毛你9991为什么就让那么多人看到你了而没看到别的站？所谓绿色安全网站，顶多是说站内没有恶意代码，挂在其他站上的可能性是很大的。
都说后来的网址站是垃圾站，9991简直是让我们看到了从垃圾堆里钻出来的极品。不管是否真实，他至少向我们透露了两个秘诀，网址站（“网址站”三个字也可替换做别的站）要出名，一要有钱，二要会玩木马玩病毒。有这两点，做一个流量大的网站指日可待。
另外，用恶意代码提高流量姑且可以原谅，用了恶意代码还一个劲抵赖，制造种种谎言愚弄大众，简直该死。

（在9991的论坛里，看见那还算是热闹，但是看起来很怪异。我好像看见有人正在被强奸但还一个劲喊爽。我想我国很大一部分初级网民的奴性是一个值得重视的话题）

作者: 黑色叶子 时间: 2006-5-9 01:03 标题: [整理]剖析恶性网站－－－9991.com专题

原文：http://it.sohu.com/20060113/n241423045.shtml
千万QQ表情暗藏病毒温柔背后另有惊人秘密
QQ表情本来是广受用户欢迎的一个实用工具，然而，最近有人却利用人们对QQ表情的喜爱，将其变成了一种恶性病毒。最近，笔者不断接到求助电话，受到一款名叫多多QQ表情病毒的骚扰。

笔者随即对这款工具软件进行调查，发现了其背后还暗藏着惊人秘密。
　　真相：公开捆绑传播，被指暗藏病毒
　　在百度上搜索“QQ表情”，找到相关网页约1,660,000篇，搜索“多多QQ表情”，找到相关网页约660,000篇，通过这简单的计算，多多QQ表情拥有QQ表情市场近40%的市场占有率。那么这款有着惊人市场占有率的软件到底是一款什么样的软件呢？
　　根据其官方介绍，多多QQ表情是一款专门为腾讯QQ用户打造的免费软件,提供超炫QQ表情,点击就能导入QQ表情中,导入完毕就能在QQ聊天时使用,丰富您的对话。同时QQ表情还向软件作者和站长开出了价码，称将按0.05元一个的价格与软件捆绑，且特别声明，在安装成功后在添加删除程序中可以看到“多多QQ表情”选项，可自由卸载。
　　真相到底是怎样呢？在百度里，笔者发现得更多的却是和求助电话里类似的内容。见图：
　　同时，笔者向一位做安全的朋友求助，他称，多多QQ表情虽然只有47K，而且表面上可挟载，但它确捆绑了另一个叫Update的病毒。而这已经大大超出了之前大家所定义的流氓软件的范畴，因为，在诺顿和瑞星里，大家已经将UPDATE定义成了病毒。
对UPDATE的分析
　　显性动作
　　[SetHomePage] Url=http://www.9991.com/
　　[PopupIE] Url=http://www.chanet.com.cn/click.cgi?a=6606&d=3086&u=
　　[PopupIE] Url=http://www.b2b2.net/51gg/index.html
　　[PopupIE] Url=http://www.7mp3.com
　　[PopupIE] Url=http://www.600001.com/
　　[PopupIE] Url=http://www.600005.com/
　　隐性动作
　　[Actions]访问 Url=http://file.qqhelper.com/up/update.dat
　　[Update]升级 Url=http://www.yulexingkong.com/mop/uninstalldrv.exe
　　[Update] Url=http://www.ha0l23.com/softbaby/uninstalltmp.exe
　　[Update] Url=http://tongji.qqhelper.com/tj/tj?setupid=$(setupid)&mac=$(computerid)&type=$(sendflag)&version=$(version)&exeversion=$(exeversion)&setupdate=$(setupdate)
　　在机器生成以下目录以及文件：
　　C:\Program Files\Common Files\UPDATE
　　update.dat
　　update.exe
　　以上动作都是update.exe干的
　　另外生成一个目录以及文件：
　　C:\Program Files\Common Files\SAND
　　updatesr.ini
　　svr.dat
　　qqfacerclient.exe
　　twunk_8.exe
　　还没有看到具体动作，有潜伏期。
　　背后：商业动机弹出全球百强网站
　　多多QQ表情敢于挑战法律，公开捆绑恶性病毒，目的何在呢？笔者随后又对其展开了进一步的调查。首先，笔者打开了其弹出的第一个网站9991的链接，吃惊的发现，这家成立于2005年10月第二个星期的网站，在ALEXA里的排名居然已经上升到了全球前100名。如果按照其REACH值1万来推算，其流量已经达到了新浪的七分之一。
　　那么这家网站又是通过什么手段如何神奇般在3个月之内的由0做到全球100名呢？那就是前面被诺顿和瑞星认定的多多QQ表情携带的UPADATE病毒。同时，笔者打开多多QQ表情指向的其他相关网站，同样发现了这个这恶性病毒所带来的巨额流量使这些网站在短期间内搭上了超级火箭。
　　谁是幕后黑手？
　　在百度里，笔者输入“9991”显示的第一条结果是"9991实用生活网-网址大全-分类信息-实用查询",而对应的链接是www.woyaoshang.com(我要上),而不是www.9991.com,进去一看,内容和9991一样，相关的联系方式和9991也是一模一样，可以断定，他们是同一个人所为。
　　在DONEWS一篇BLOG暴料：“现在网站打着"9991.com是绿色安全网站,多家媒体宣传、推荐,点此查看",看来流氓改良了，不从事流氓事业了，关键是以前被你流氓的用户怎么摆脱痛苦！！！!www.woyaoshang.com又是谁注册的呢？自己没有到域名注册商那去搜索，而是直接到了www.alexa.com 去查，查询到的邮箱是whocool@163.com,，再回到baidu搜索这个信箱，原形就出来了！邮箱无一例外都指向了同一个人-——大名鼎鼎的庞升东。”
　　看来，表面的众多证据，都指向庞升东。但是，幕后到底又有怎样的实情？计世网将继续跟踪报道。

作者: oblivion 时间: 2006-5-12 10:54 标题: [整理]剖析恶性网站－－－9991.com专题

．．．．．．．．．．我今天打开电脑就发现自己的主页是他了．．．．．

作者: oblivion 时间: 2006-5-12 10:55 标题: [整理]剖析恶性网站－－－9991.com专题

偶每次都到注册表main项把所有的有地址的都改成about;blank
所有的数值是１的都改成０
就没有了
嘎嘎

作者: x86 时间: 2006-5-12 11:49 标题: [整理]剖析恶性网站－－－9991.com专题

我在这台电脑也是的，^_^

作者: 我是中国人 时间: 2006-5-12 20:49 标题: [整理]剖析恶性网站－－－9991.com专题

说实话，我鄙视这种行为，但我佩服写这插件的人。

欢迎光临黑色海岸线论坛 (http://bbs.thysea.com/)