EEPW论坛

间谍软件工作原理

引言

您的计算机是否曾变得非常慢，即使打开Word处理器也会占用很长时间，甚至您都可以用这点时间吃一顿快餐了！间谍软件可能就是真正的元凶。

间谍软件往往伪装成一个通知您获奖的弹出式窗口。

间谍软件是指将自身非法附着在操作系统上的一类计算机程序。它们会侵蚀计算机的处理能力。间谍软件有多种企图，包括跟踪您的上网习惯，接连不断地弹出您不需要的销售信息，或是为它们的宿主网站增加访问流量。根据最新估计，全世界约有三分之二以上的个人计算机都感染了某种形式的间谍软件[参考]。即便如此，您可能还是想继续使用计算机来了解信息，尽管您也曾想过将计算机扔出窗外并搬到一个荒岛上居住。在本文中，我们将介绍计算机是如何感染间谍软件的，间谍软件都有哪些害处以及如何清除间谍软件。

间谍软件则不然，它们一般不会损坏您的计算机。从广义上讲，间谍软件是指偷偷潜入计算机并隐藏在后台，以施加改动来烦扰用户体验的任何程序。它们往往以推销产品为主要使命，所做的破坏更多的是向您宣传目标广告，或是让您的浏览器显示某些特定的站点或搜索结果。

目前，大多数间谍软件都只针对Windows操作系统。一些较为臭名昭著的间谍软件公司包括Gator、Bonzi Buddy、180 Solutions、DirectRevenue、Cydoor、CoolWebSearch、Xupiter、XXXDial和Euniverse。

计算机感染间谍软件往往是由于用户的某些操作引起的，例如点击弹出式窗口上的按钮、安装软件包或同意在网络浏览器中添加功能等。为了让您安装这些应用程序，它们通常会耍些把戏，包括显示假的系统警报消息，或设置标明“取消”但实际上却执行“确定”操作的按钮。

下面是计算机感染间谍软件的一些常见的途径：

• 背载式软件安装——有些应用程序（特别是对等文件共享客户端）会在标准安装过程中安装间谍软件。如果不仔细阅读安装列表，您可能不会注意到自己将安装文件共享应用程序之外的内容。那些声称自己是付费软件替代品的“免费”软件尤为如此。要知道，天下可没有免费的午餐！

图片归Sharman Networks 2002-2004所有，保留所有权利。 众所周知，Kazaa的下载程序包带有间谍软件，尽管它的官方声明并非如此。

• 随看随下——它是指网站或弹出式窗口自动尝试在计算机上下载并安装间谍软件的情况。您可能收到的唯一警告是浏览器的标准消息，告知您软件的名称并询问是否要安装它。
  

供图 Internet Explorer安全警告

然而，如果您的安全设置太低，甚至不会看到该警告。

• 浏览器加载项——这是一些用来增强网络浏览器功能的软件，比如工具栏、动画帮手或附加搜索框。它们有时名副其实，但有时也会包含一些间谍软件元素。还有些时候，它们本身就是罩着薄薄面纱的间谍软件。人们将一些特别卑鄙的加载项称为浏览器劫持软件。这些加载项将自己牢牢地嵌入在计算机中，不下番功夫根本无法清除它们。

供图 Bonzi Buddy是一种“加载项”应用程序，其程序包中包含间谍软件。

• 伪装成反间谍软件—— 这就是书中所说的最恶毒的诡计。这种软件会让您相信它是用来检测和删除间谍软件的工具。

运行这种工具时，它会告诉您计算机未感染间谍软件，而同时却在安装它自己的间谍软件。

当间谍软件安装在您的计算机上后，它们可以进行任何活动。

大多数间谍软件在计算机启动时都会作为后台应用程序运行，因此它们至少会占用随机存取内存（RAM）并消耗处理器的处理能力。它可以不断地弹出广告，让您的网络浏览器变慢，直至停止响应。它可以重置您的浏览器主页，让您在每次打开浏览器时都看到一个广告。有些间谍软件会重定向您的网络搜索，以此控制您看到的结果，从而令您的搜索引擎完全失效。此外，它还可以修改计算机用来连接到互联网的动态链接库（Dynamically Linked Libraries，DLL），进而导致那些难以诊断的链接失败。

某些类型的间谍软件可以修改互联网设置，它们会在您通过拨号服务进行连接时，让调制解调器拨打昂贵的付费电话号码；有些间谍软件就像是不守规矩的客人，它们会更改您的防火墙设置，并引入其他您不需要的软件；还有一些间谍软件非常聪明，当您尝试在Windows注册表中删除它们时，它们可以检测到您的操作并加以拦截。

从间谍软件制造者的角度来说，间谍软件所进行活动的目的并不总是确定的。他们使用间谍软件的目的之一是增加广告商网站的访问量统计数据。如果这些软件能强制您的计算机显示大量弹出式广告和虚假的搜索结果，他们就能因为重复向您显示该则广告而获得报酬。每次您偶然点击该广告时，就表示您对广告中的产品感兴趣，间谍软件制造者就将因此而获得提成。

应用间谍软件的另一个目的是窃取会员的信用额度。像mazon.com和Ebay.com等大型购物网站都设置了信用机制，如果某个网站能够成功地将客户引领到它们的商品页面，该网站就能获得信用额度。某些间谍软件应用程序会捕获用户查看Amazon和Ebay等网站的请求，然后将其带到这些网站，以此来获得信用额度。

其他类似软件

恶意软件—— 一般是指在未经明确许可的情况下对计算机进行改动（进行恶意或“有害”的活动）的所有程序
广告软件——一种专门用来显示不请自来的广告的程序 ——一种用于捕获击键操作或网站推介积分的特殊间谍软件——一种深深嵌入在浏览器代码和核心功能中的恶意程序
偷盗软件
浏览器劫持软件

告密者
有些计算机程序真的会对您进行监视，也有些应用程序会潜伏在您的计算机上，专门截获用户名和密码之类的个人信息。这些程序包括Bugdrop、Back Orifice和VX2。它们更像是病毒或黑客工具，而不是间谍软件。


间谍软件的合法性

么在未经用户允许的情况下，安装难以删除的软件是合法的吗？当然不是。在美国，不断有州立法机构推出法案，明确禁止使用间谍软件，包括犹他州的《间谍软件控制法案》和加利福尼亚州的《保护消费者反间谍软件法》。但即使没有这些新颁布的州立法，联邦法律也已禁止使用间谍软件。《计算机欺骗和滥用法》对任何未授权的软件安装做了相应的规定，任何形式的欺骗性交易行为还会违反《联邦贸易委员会法》。此外，《电子通信隐私法》还规定，如果公司触犯了客户的个人信息安全，则属于非法行为。

与反垃圾邮件法一样，这些反间谍软件法在实践中也很难有效实施，而犯罪者也深知这一点。实际上，人们很难找到确凿的证据来证明各家间谍软件公司与其产品之间的关联。此外，在与互联网有关的诉讼中，人们常常会就哪个法庭有权审理案件而争论不休。要知道，非法并不一定意味着可以轻易禁止。

如何保护自己不受间谍软件的侵扰？当您认为计算机上已经感染了间谍软件时，又应如何处理？下面是一些建议。

使用间谍软件扫描器。
用户可以使用一些信得过的应用程序来检测和删除间谍软件，包括Ad-aware、Spybot和Microsoft AntiSpyware（当前正处于测试阶段）。这三个应用程序的个人版本都是免费提供的，它们的工作与防病毒软件类似，并可以提供主动式保护和检测。此外，它们还会检测Internet Cookie，并告诉您这些Cookie所指向的网站。

注意：在获知计算机上所安装的间谍软件后，您有时需要寻找一些有关如何删除它的具体说明。右侧的“间谍软件帮助”框中列出了其中一些说明的链接。若要获得更多链接，请参见本文末尾的“了解更多信息”部分。下面是其他的几种解决方案：

使用弹出式窗口阻止程序。
目前，包括Internet Explorer 6.0和Mozilla Firefox 1.0在内的很多浏览器都能够阻止所有网站上弹出的窗口。您可以将此功能设置为“打开”，也可以让它在网站要弹出新窗口时显示警报。此功能还可以告诉您弹出式窗口的来源，并有选择地打开来自可信来源的窗口。

禁用Active-X。
大多数浏览器的安全首选项设置都允许用户指定各个网站在计算机上可执行的某种特定操作。由于很多间谍软件应用程序是利用了Windows中一种称为Active-X的特殊代码，因此禁用浏览器上的Active-X无疑是一个不错的方法。需要注意的是，如果禁用了Active-X，同时也就禁用了对此代码的合法使用，这可能会影响某些网站的功能。

在安装新软件时多加注意。
一般而言，当一个站点询问您是否要在计算机上安装某个新软件时，保持怀疑的态度将使您受益匪浅。如果它不是您所熟悉的插件，比如Flash、QuickTime或最新的Java引擎，最安全的操作是拒绝安装新组件，除非您有理由信任它们。如今的网站在设计上非常完备，它们的绝大多数功能都是在浏览器内部实现的，因而只需要少许几个标准插件即可。另外，先拒绝安装再检查是否需要，这种做法并没有什么害处。一个值得信任的站点始终会让您有机会返回并下载所需的组件。

使用“X”关闭弹出式窗口。
试着了解计算机系统消息的外观，这样您就可以发现“赝品”。在了解了系统警报的标准外观后，一般很容易就能判断出二者的差别。尽量不要使用“否”按钮，而是使用工具栏一角的“X”关闭窗口。更为可靠的方式是，使用软件中内置用来“关闭窗口”的按键组合。这一组合可以在浏览器的“文件”菜单中找到。

间谍软件帮助
Microsoft DLL帮助数据库 ——下载最初的DLL
SpywareGuide：间谍软件列表——了解有关某个特定间谍软件的信息
SpywareInfo：浏览器劫持：删除劫持——了解有关删除浏览器劫持程序的说明