从弹窗广告发现“全家桶”的惊人秘密

　　*本文作者：布袋和尚，转载请注明来自FreeBuf.COM

　　以前听说过各种“全家桶”，但本来以为只有小白才会中招，没想到自己作为曾经混过安全圈的“业内人士”竟然也失陷了！真是防不胜防。

　　先说下过程，有些现象当时没有截图，只有事后分析尽量还原出来。

　　首先是电脑突然弹了个窗，提示清理垃圾之类的，如下图：

　　误以为是另一个软件弹的，随手点了立即清理，突然电脑卡顿几下，然后出现了这样的一个窗口…

　　好吧，竟然是腾讯电脑管家，我又不要给qq等级加速，装这玩意干吗……立刻醒悟过来，刚才的弹窗看来就是诱导安装电脑管家的！

　　那么问题又来了，这窗是谁弹的？

　　因为弹窗并不是一直存在，所以卸了电脑管家，琢磨着它应该不会善罢甘休。

　　最终定位到了弹窗的程序——%TEMP%目录下的一个名为“QXMatrixTools4524.exe”的程序：

　　果然是腾讯的签名：

　　查看了下QXMatrixTools内部资源，解压压缩包，发现原来预备的弹窗样式还不少……

　　这么多的弹窗款式——总有一款骗到你~

　　但是整个下载和安装的过程完全是在后台执行的，而且也找不到卸载项，纯属无提示安装、无安装界面、无卸载项、无节操的四无产品……

　　其实QXMatrixTools又是另一个服务启动的——QQMicroGameBoxService.exe（腾讯网页游戏微端服务）：

　　在这个目录底下，QXMatrix.dll……果然会去加载QXMatrix.dll。

　　而QXMatrix.dll释放的两个驱动还会恢复QQ旗下三个服务，用来给这三个服务保驾护航，防止被其他软件禁用掉。

　　系统底层被流氓搞得硝烟四起：

　　用QXMatrixTools这个关键词到网上搜了一下，原来这事情在知乎上早就曝光过，去年9月就有人发现并分享了清理这个服务的方法：《关于腾讯旗下产品经由QXMatrixTools开启的后门问题？》

　　之所以要分享清理方案，是因为——这个东西根本没有卸载项！！！

　　事情到此算是大体上捋清楚了，大致总结如下：

　　1. 我装了个QQ游戏大厅

　　2. QQ游戏大厅给我带了个QQMicroGameBoxService的服务

　　3. 这个服务会加载QXMatrix.dll的动态库，释放驱动不断修复腾讯的服务，还时不时的给我的临时目录底下塞一个QXMatrixTools的小工具

　　4. 小工具会弹出个窗口来“温馨提示”—您的电脑该清理了

　　5. 一旦点了清理，会“贴心”的下载回来一个电脑管家为我服务……

　　6. 这一套组合拳不仅套路深，最后竟然还不提供卸载！

　　现在知道“全家桶”都是怎么来的了吧！

　　*本文作者：布袋和尚，转载请注明来自FreeBuf