无法解释的系统转发到 Firefox/Chrome 中的垃圾邮件（和搜索引擎）

Question

无法解释的系统转发到 Firefox/Chrome 中的垃圾邮件（和搜索引擎）

Jér*_*nge 5 browser spam-prevention automation forwarding

我对 Firefox 有一个疯狂的问题。每次我在 Google 上进行搜索，然后右键单击一个链接以在单独的选项卡/窗口中打开它时，Firefox 都会停止几秒钟，然后打开一些垃圾邮件/广告链接而不是正确的页面。

我运行了 SpyBot、SuperAntiSpyware、CCleaner，我的电脑很干净。
我尝试重新安装 Firefox 并要求删除所有历史记录和数据。它没有解决问题。
我已经删除了我的 firefox/extensions 文件夹的内容，但它没有帮助。
我安装了AGV杀毒软件。它甚至说链接是安全的......

我在其他论坛和网站上搜索了解决方案，但找不到任何解决方案。我现在在这里发布这个问题。有没有人遇到过这个问题？我该如何解决？

编辑

通常，来自 Firefox 的弹出窗口询问我是否要保存名为“s”的文件。

该问题并非特定于浏览器。Chrome 也会发生这种情况。

我运行了 Ad-Ware、CCleaner、SpyBot、Emsisoft Anti-Malware、MalwareBytes 和 SUPERAntiSpyware 的最新版本，但没有解决问题。

编辑 2

我遵循了 JdeBP 的建议（通过 DHCP 自动获取 IP 地址）。我还在我的注册表中发现了一个奇怪的条目，我已将其删除。我重新启动了，但问题仍然存在。

当我执行 a 时ipconfig /displaydns，会得到一长串条目，这些条目似乎与我收到的垃圾邮件相对应。他们都将 A（主机）记录设置为127.0.0.1.

当我执行ipconfig /flushdns后跟时ipconfig /displaydns，条目仍然存在......

当我执行时ipconfig /renew，我得到：No operation can be performed on Local Area Connection while it has its media disconnected。我不太确定这意味着什么。我通过无线（不是以太网电缆）访问 Internet。当我关闭 PC 上的无线时，我收到相同的无线连接消息。

我已经禁用了本地连接并尝试过ipconfig /renew，但它停止了......

编辑 3

这是 ipconfig /all 的输出。我目前通过无线连接到 Internet：

Windows IP Configuration

   Host Name . . . . . . . . . . . . : NoKidding
   Primary Dns Suffix  . . . . . . . : 
   Node Type . . . . . . . . . . . . : Hybrid
   IP Routing Enabled. . . . . . . . : No
   WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Local Area Connection:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Marvell Yukon 88E8055 PCI-E Gigabit Ethernet Controller
   Physical Address. . . . . . . . . : 00-1D-BA-AC-D9-26
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes

Wireless LAN adapter Wireless Network Connection:

   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Intel(R) WiFi Link 5100 AGN
   Physical Address. . . . . . . . . : 00-21-5D-EB-34-A8
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes
   Link-local IPv6 Address . . . . . : fe80::193:2bc9:cbb0:168b%10(Preferred) 
   IPv4 Address. . . . . . . . . . . : 192.168.1.148(Preferred) 
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Lease Obtained. . . . . . . . . . : vendredi 10 juin 2011 2:10:57
   Lease Expires . . . . . . . . . . : samedi 11 juin 2011 2:31:02
   Default Gateway . . . . . . . . . : 192.168.1.1
   DHCP Server . . . . . . . . . . . : 192.168.1.1
   DHCPv6 IAID . . . . . . . . . . . : 268443997
   DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-11-91-8C-91-00-1D-BA-AC-D9-26
   DNS Servers . . . . . . . . . . . : 167.206.245.130
                                       167.206.245.129
   NetBIOS over Tcpip. . . . . . . . : Enabled

Ethernet adapter VMware Network Adapter VMnet1:

   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : VMware Virtual Ethernet Adapter for VMnet1
   Physical Address. . . . . . . . . : 00-50-56-C0-00-01
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes
   Link-local IPv6 Address . . . . . : fe80::ccd8:6bfa:a3a4:7dfb%18(Preferred) 
   IPv4 Address. . . . . . . . . . . : 192.168.20.1(Preferred) 
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Lease Obtained. . . . . . . . . . : vendredi 10 juin 2011 2:18:29
   Lease Expires . . . . . . . . . . : vendredi 10 juin 2011 10:31:02
   Default Gateway . . . . . . . . . : 
   DHCP Server . . . . . . . . . . . : 192.168.20.254
   DHCPv6 IAID . . . . . . . . . . . : 436228182
   DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-11-91-8C-91-00-1D-BA-AC-D9-26
   DNS Servers . . . . . . . . . . . : fec0:0:0:ffff::1%1
                                       fec0:0:0:ffff::2%1
                                       fec0:0:0:ffff::3%1
   NetBIOS over Tcpip. . . . . . . . : Enabled

Ethernet adapter VMware Network Adapter VMnet8:

   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : VMware Virtual Ethernet Adapter for VMnet8
   Physical Address. . . . . . . . . : 00-50-56-C0-00-08
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes
   Link-local IPv6 Address . . . . . : fe80::3419:22f2:c13b:e8fa%19(Preferred) 
   IPv4 Address. . . . . . . . . . . : 192.168.132.1(Preferred) 
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Lease Obtained. . . . . . . . . . : vendredi 10 juin 2011 2:19:04
   Lease Expires . . . . . . . . . . : vendredi 10 juin 2011 10:31:04
   Default Gateway . . . . . . . . . : 
   DHCP Server . . . . . . . . . . . : 192.168.132.254
   DHCPv6 IAID . . . . . . . . . . . : 453005398
   DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-11-91-8C-91-00-1D-BA-AC-D9-26
   DNS Servers . . . . . . . . . . . : fec0:0:0:ffff::1%1
                                       fec0:0:0:ffff::2%1
                                       fec0:0:0:ffff::3%1
   Primary WINS Server . . . . . . . : 192.168.132.2
   NetBIOS over Tcpip. . . . . . . . : Enabled

Ethernet adapter VirtualBox Host-Only Network:

   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : VirtualBox Host-Only Ethernet Adapter
   Physical Address. . . . . . . . . : 08-00-27-00-D4-EA
   DHCP Enabled. . . . . . . . . . . : Yes
   Autoconfiguration Enabled . . . . : Yes
   Link-local IPv6 Address . . . . . : fe80::413a:949e:27db:860c%22(Preferred) 
   Autoconfiguration IPv4 Address. . : 169.254.134.12(Preferred) 
   Subnet Mask . . . . . . . . . . . : 255.255.0.0
   Default Gateway . . . . . . . . . : 
   DHCPv6 IAID . . . . . . . . . . . : 503840807
   DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-11-91-8C-91-00-1D-BA-AC-D9-26
   DNS Servers . . . . . . . . . . . : fec0:0:0:ffff::1%1
                                       fec0:0:0:ffff::2%1
                                       fec0:0:0:ffff::3%1
   NetBIOS over Tcpip. . . . . . . . : Enabled

Tunnel adapter isatap.lan:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter Teredo Tunneling Pseudo-Interface:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter isatap.{8C86257F-65F0-49A9-B3DF-A61CC7F73546}:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter #2
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter isatap.{A98786DD-7682-4826-88F4-A03BA1D824A5}:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter #3
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter isatap.{A53A0A7E-6A3D-4A72-A11F-30A6322B957C}:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter #4
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Tunnel adapter isatap.{FC119556-5E94-4BAB-8451-5D240BF581A5}:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Microsoft ISATAP Adapter #5
   Physical Address. . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP Enabled. . . . . . . . . . . : No
   Autoconfiguration Enabled . . . . : Yes

Run Code Online (Sandbox Code Playgroud)

显然，无线的 DNS 关联是 167.206.245.130，它解析为“vdns2.srv.prnynj.cv.net”。

编辑 4

我注意到我没有hosts文件。我不知道我是怎么陷入那种境地的。Windows 7 从未抱怨过这一点。

hosts目录中某个位置的一些备份，包括 SpyBot 制作的备份。我已经从中创建了一个新的主机文件并重新启动，但我仍然面临同样的问题。

我ipconfig /displaydns又试了一次，它仍然显示有问题的条目。这些条目不在我的hosts文件中：

# Copyright (c) 1993-2006 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

127.0.0.1       localhost
::1             localhost
# Start of entries inserted by Spybot - Search & Destroy
127.0.0.1   www.007guard.com
127.0.0.1   007guard.com
127.0.0.1   008i.com
127.0.0.1   www.008k.com
127.0.0.1   008k.com
127.0.0.1   www.00hq.com
127.0.0.1   00hq.com
127.0.0.1   010402.com
127.0.0.1   www.032439.com
...

127.0.0.1   www.zxsex2.info
127.0.0.1   zxsex2.info
127.0.0.1   zyban-zocor-levitra.com
# This list is Copyright 2000-2008 Safer Networking Limited
127.0.0.1   suportevendas.com
127.0.0.1   www.suportevendas.com
# End of entries inserted by Spybot - Search & Destroy

Run Code Online (Sandbox Code Playgroud)

编辑 5

对不起，我收回。返回的有问题的条目ipconfig /displaydns确实出现在我的hosts file. 所以，我从一个新的开始：

# Copyright (c) 1993-2006 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

127.0.0.1       localhost
::1             localhost

Run Code Online (Sandbox Code Playgroud)

这就是它变得真正疯狂的地方。重新启动我的电脑后，显示 DNS 返回：

Windows IP Configuration

    1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa
    ----------------------------------------
    Record Name . . . . . : 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa.
    Record Type . . . . . : 12
    Time To Live  . . . . : 86400
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    PTR Record  . . . . . : localhost


    1.0.0.127.in-addr.arpa
    ----------------------------------------
    Record Name . . . . . : 1.0.0.127.in-addr.arpa.
    Record Type . . . . . : 12
    Time To Live  . . . . : 86400
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    PTR Record  . . . . . : localhost


    localhost
    ----------------------------------------
    Record Name . . . . . : localhost
    Record Type . . . . . : 1
    Time To Live  . . . . : 86400
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 127.0.0.1


    localhost
    ----------------------------------------
    Record Name . . . . . : localhost
    Record Type . . . . . : 28
    Time To Live  . . . . : 86400
    Data Length . . . . . : 16
    Section . . . . . . . : Answer
    AAAA Record . . . . . : ::1

Run Code Online (Sandbox Code Playgroud)

去谷歌后，搜索一些虚拟术语，然后右键单击任何链接以在新选项卡中打开一个页面，我收到了垃圾邮件。当我再次执行显示 DNS 时，我得到：

Windows IP Configuration

    1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa
    ----------------------------------------
    Record Name . . . . . : 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa.
    Record Type . . . . . : 12
    Time To Live  . . . . : 86400
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    PTR Record  . . . . . : localhost


    1.0.0.127.in-addr.arpa
    ----------------------------------------
    Record Name . . . . . : 1.0.0.127.in-addr.arpa.
    Record Type . . . . . : 12
    Time To Live  . . . . : 86400
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    PTR Record  . . . . . : localhost


    clickalmost.org
    ----------------------------------------
    Record Name . . . . . : clickalmost.org
    Record Type . . . . . : 1
    Time To Live  . . . . : 30
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 69.65.49.114


    t3.gstatic.com
    ----------------------------------------
    Record Name . . . . . : t3.gstatic.com
    Record Type . . . . . : 5
    Time To Live  . . . . : 28
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : tbn.l.google.com


    www.gregorypacks.com
    ----------------------------------------
    Record Name . . . . . : www.gregorypacks.com
    Record Type . . . . . : 5
    Time To Live  . . . . : 1785
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : gregorypacks.com


    www.gap-system.org
    ----------------------------------------
    Record Name . . . . . : www.gap-system.org
    Record Type . . . . . : 5
    Time To Live  . . . . : 7185
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : turnbull.mcs.st-and.ac.uk


    www.cityofgregory.com
    ----------------------------------------
    Record Name . . . . . : www.cityofgregory.com
    Record Type . . . . . : 5
    Time To Live  . . . . : 3585
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : cityofgregory.com


    www.gregorysshoes.com
    ----------------------------------------
    Record Name . . . . . : www.gregorysshoes.com
    Record Type . . . . . : 5
    Time To Live  . . . . : 3585
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : gregorysshoes.com


    twitter.com
    ----------------------------------------
    Record Name . . . . . : twitter.com
    Record Type . . . . . : 1
    Time To Live  . . . . : 7
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 199.59.148.10


    Record Name . . . . . : twitter.com
    Record Type . . . . . : 1
    Time To Live  . . . . : 7
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 199.59.148.82


    Record Name . . . . . : twitter.com
    Record Type . . . . . : 1
    Time To Live  . . . . : 7
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 199.59.149.198


    online.wsj.com
    ----------------------------------------
    Record Name . . . . . : online.wsj.com
    Record Type . . . . . : 5
    Time To Live  . . . . : 34
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : online.wsj.akadns.net


    www.gregory1.com
    ----------------------------------------
    Record Name . . . . . : www.gregory1.com
    Record Type . . . . . : 1
    Time To Live  . . . . : 14385
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 98.190.238.71


    www.utrecsports.org
    ----------------------------------------
    Record Name . . . . . : www.utrecsports.org
    Record Type . . . . . : 5
    Time To Live  . . . . : 3585
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    CNAME Record  . . . . : utrecsports.org


    adwords.google.com
    ----------------------------------------
    Record Name . . . . . : adwords.google.com
    Record Type . . . . . : 1
    Time To Live  . . . . : 251
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 72.14.204.112


    localhost
    ----------------------------------------
    Record Name . . . . . : localhost
    Record Type . . . . . : 1
    Time To Live  . . . . : 86400
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 127.0.0.1


    localhost
    ----------------------------------------
    Record Name . . . . . : localhost
    Record Type . . . . . : 28
    Time To Live  . . . . : 86400
    Data Length . . . . . : 16
    Section . . . . . . . : Answer
    AAAA Record . . . . . : ::1


    www.newadvent.org
    ----------------------------------------
    Record Name . . . . . : www.newadvent.org
    Record Type . . . . . : 1
    Time To Live  . . . . : 3321
    Data Length . . . . . : 4
    Section . . . . . . . : Answer
    A (Host) Record . . . : 208.87.26.197

Run Code Online (Sandbox Code Playgroud)

有些东西只是通过浏览来污染我的 DNS 信息。为了确保它不在 Firefox 的历史中，我在这之前执行了 CCleaner。

我开始相信它来自网络并利用了 Windows 7 和浏览器的弱点。

编辑 6

我试图以安全模式通过网络重新启动，然后我启动了 Firefox。问题仍然发生。我安全地重新启动了 Firefox（即禁用所有附加组件等...）。问题仍然发生。

我的主页是http://www.google.com。我输入 KB66。网址更改为：

http://www.google.com/#sclient=psy&hl=en&site=&source=hp&q=KB66&aq=f&aqi=&aql=&oq=&pbx=1&bav=on.2,or.r_gc.r_pw.&fp=5014d35bb6efb157&biw=1280&bih=671

我右键单击一个名为“www.faucetdirect.com › ... › Kingston Brass Tub and Shower”的链接（例如）以在单独的选项卡（或窗口）中打开它。新选项卡中的链接变为：

http://7search.com/scripts/validation/v1/validate.aspx?x=dy9ygBqjMxLd%2fx4LgOz5nQ%3d%3d_nO1ntDEYzcueda6yqGuUEeCV6c3Bxc6tmw%2fI%2fM6cQTK3SaB9RpCN6iq7Oi6xnF6w0rps%2b%2bhP2MyCTu9vIpIX4yX3Rbb3DEqizuSnIrOMbXnjc%2bPLs5ynvpAR7ks6T%2b9EdGLnPWbO2Cu7Mv3V1w1MUhZAz6VAxhb3x4jYKaGcSRGjiUq%2bq0gHn2Ztqy2ZO0SJvCokHOYmlvuWGAEsf6xaAZ6sdsUfpzQXggpBWlZYwVIMNbCU9Y%2fhVzEWcKJ6XO4HZrlIhZwXAJ9%2brzRxqtwdegQ8fzHsM1DnhYe0kpgzZi4XCYIHjW%2fg5sf%2brshMYtgq

Run Code Online (Sandbox Code Playgroud)

有时，我会收到指向其他垃圾邮件或搜索网站的不同链接。

当我右键单击链接到单独选项卡中打开内容的“缓存”时，我得到：

http://webcache.googleusercontent.com/search?q=cache:Y5x8Fw4B-OgJ:www.faucetdirect.com/kingston-brass-kb66-px-double-handle-tub-and-shower-with-rough-in-single-function-showerhead-tub-spout-and-porcelain-cross/p1507409+KB66&cd=2&hl=en&ct=clnk&gl=us&source=www.google.com

Run Code Online (Sandbox Code Playgroud)

我遵循了harrymc关于自动运行的建议，我在我的启动项中找不到可疑的东西。

我一直在欧洲和美国使用这台 PC，这两个地方都发生了问题。

PS：昨天，我还再次运行了所有反间谍软件、机器人和防病毒软件，发现了 0 个问题。

对于记录

从头开始重新格式化我的电脑解决了这个问题。我从没想过我会走那么远。噗噗噗……

Answer 1

Jde*_*eBP 3

您在两个单独的 WWW 浏览器中看到了这一点，因此这不是 WWW 浏览器问题。摆弄你的万维网浏览器并不能解决这个问题。

\n\n

这是恶意软件问题。但这不是由您计算机上当前实际运行的恶意软件引起的问题。该恶意软件在过去的某个时刻运行过，它会重新配置您的计算机，使其仅使用恶意软件作者/分发者提供的 Internet 服务。特别是，它调整了您的机器关于向谁请求任何 DNS 查找的想法 - 从哪里获取代理 DNS 服务。

\n\n

恶意软件重定向代理 DNS 服务器

\n\n

您的计算机现在正在联系恶意代理 DNS 服务器以进行所有 DNS 名称→IP 地址查找。该服务器反过来告诉您整个互联网（或至少像谷歌这样的流行部分）存在于一个特定的网络中。（这在一些报告中很常见，例如2011 年 2 月的报告，即 93.188.163.0/23 和 93.188.160.0/24，但无论如何，这些人并不是唯一这样做的人。）

\n\n

因此，您的计算机会联系该网络上的 IP 地址，以获取它尝试与之通信的所有内容 HTTP 服务器。在该网络上（除其他外）有类似的恶意 HTTP 服务器，它们提供了对实际万维网的微妙扭曲的视图。他们复制每个人的 WWW 页面，以消除您的怀疑，并偷偷地修改诸如 Google 搜索结果页面中的 URL 之类的内容，这样他们就不会带您到 Google 列出的 WWW 的实际部分，而是您访问广告 WWW 页面，正如您所看到的那样。

\n\n

DNS 查找被恶意软件覆盖

\n\n

我上面描述的行为，在这个答案的原始版本中，是（除其他外）Zlob 特洛伊木马程序的“DNSChanger”变体的行为。这并不是唯一修改 DNS 设置的恶意软件，正如上面给出的 IP 地址的 Promnet Ltd. 并不是运行恶意服务器的唯一目标网络一样。另一种恶意软件是QHosts-1（McAfee 的名称）特洛伊木马程序。

\n\n

这也会修改代理 DNS 服务器设置。但除此之外，它还产生了在我回答后添加的问题的附录中观察到的效果。正如迈克菲所指出的，它还会修改该hosts文件。再说一次，无论如何，这并不是唯一一个这样做的恶意程序。

\n\n

该hosts文件在 Microsoft Windows 上以两种方式之一使用。如果没有运行 DNS 客户端 ( ) 服务，则在查询 DNS 之前dnscache，希望将名称映射到 IP 地址的应用程序会直接查询该服务。如果正在运行 DNS 客户端服务，则该服务在启动时会根据文件的内容初始化其查找缓存，无论文件的修改时间戳何时更改，以及每当服务被指示重新初始化自身时命令。的输出是 DNS 客户端缓存中的内容，其初始内容是恶意条目的全部负载，这一事实表明这些条目位于文件中。hostshostsipconfig /flushdnsipconfig /displaydnshosts

\n\n
7搜索
\n\n
自从我回答这个答案的第二个版本以来，我们就被告知了域名7search.com.。正如我已经提到的，Zlob DNSChanger 并不是唯一可以更改配置的软件。其他此类程序包括7FaSSt和BrowserAccelerator（尚不清楚它们是同一事物的两代还是两个不同的事物。），这两个程序都是插入 WWW 浏览器的工具栏，其作用是通过 7Search 汇集所有 Google 搜索。
\n\n
值得注意的是，这些浏览器工具栏插件的分类有些模糊。7Search 在 2008 年起诉 McAfee，要求其停止将其工具栏称为“间谍软件”，并且可以找到的几份报告明确将其归类为“不是病毒”。（当然，间谍软件不一定是病毒。）SpyBot 添加hosts文件条目以排除计算机对 7Search 的访问，理由是它与间谍软件工具栏相关，而 7Search 则进行报复，四处谴责SpyBot 的行为是“坏的”，并提供说明来帮助用户在hosts没有 SpyBot 预防措施的情况下恢复“干净”的文件。
\n\n
本地修复
\n\n
代理 DNS 服务器重定向
\n\n
由于您现在没有运行恶意软件，因此本地修复方法是使用您以前使用的代理 DNS 服务器将计算机的配置设置回原来的状态。您曾经使用 ISP\xc2\xb4s 代理 DNS 服务器或您自己网络上的本地代理 DNS 服务器（例如企业 Microsoft Windows 域控制器）。您通过以下两种方式之一执行此操作
\n\n
\n
您的 ISP/域管理员告知您要硬连线一个或多个 IP 地址。 在这种情况下，您只需要恢复这些IP地址，代替恶意DNS服务器的IP地址。
\n
您通过 DHCP 自动获取 IP 地址。恶意软件会将其关闭，并将您切换到手动指定的 DNS 服务器 IP 地址。您只需重新打开此功能并续订 DHCP 租约即可。
\n
\n\n
对于 Microsoft Windows，Technet 上提供了执行此操作的分步指南。不要忘记从所有网络适配器设置中删除所有恶意 DNS 服务器 IP 地址。
\n\n
请注意，我在这里不包括有关让您的计算机返回使用某些第三方公共代理 DNS 服务器（例如 Google 或 OpenDNS）的说明。您将亲眼目睹为什么使用第三方公共代理 DNS 服务器非常危险- 由与您没有合同关系或其他理由信任的任何人运行。当代理 DNS 服务器被恶意者运行时，他们可以随心所欲地对您的计算机执行此类操作，而无需在您的计算机本身上运行任何内容。事实上，如前所述，他们中的一些人别有用心，事实上，就像那些在这里劫持了您的代理 DNS 服务的人一样，他们已经采用了完全相同的伎俩，将大片互联网映射回他们自己的服务器。
\n\n
DNS 查找覆盖
\n\n
同样，由于您现在没有运行恶意软件，因此本地修复非常简单，只需将所有这些条目从文件中编辑回来即可hosts。
\n\n
微软再次在其知识库中提供了执行此操作的分步指南以及修复“向导”。
\n\n
7搜索
\n\n
一些间谍软件删除实用程序声称能够卸载7FaSSt和BrowserAccelerator. 例如，间谍软件终结者就是这样做的。也许更有用的是间谍软件终结者的 WWW 页面列出了所使用的7FaSSt所有文件和注册表项7FaSSt。同样，此 ThreatExpert 报告似乎列出了BrowserAccelerator.
\n

归档时间：	14 年，5 月前
查看次数：	1867 次
最近记录：	13 年前