Qone8 绑架浏览器首页的恶意流氓软件完美删除与移除方案

古人常说夜半时分头昏昏脑胀胀容易做错事，这句千古名言肯定是真。刚刚不小心阖上几个眼，就被一个惹人厌的流氓恶意软件给黏上身，还是业界中鼎鼎大名的浏览器首页绑架强制垃圾广告程序：「Qone8」。

自从好几根手指头数得出来的年月以前，曾上过 FlashGet 假选项真广告的一次当后，记忆中便再不曾沾上过这类恶意程序，不过这样的优良纪录就在今夜洗黑了 Orz。

这次因为临时需要一套很稀有的工具程序，在网络上大量搜寻时著了此道。甚至让我连是在下载还是安装时发生的都完全没印象。

总之，Qones8 就这样悄悄地占据我的 Microsoft IE 与 Google Chrome 这两套浏览器，被更改了设定，被装上了扩充套件，甚至连首页都被绑架到恶意网站。

一般来说，网络上都找得到软件商提供的简易木马与后门清除程序，如果不想自己亲自动手移除，你倒是可以考虑安装这类软件。

不过我个人不甚喜欢这些第三方软件，所以在自己检查过系统后，发现 Qone8 可真还佛心来著，竟然提供卸载程序（Uninstall）。不啰嗦，直接移除再说。至于能不能移除干净，应该也不用我多说吧。

卸载（移除）Qone8 软件步骤

首先，开启「程序和功能（或称新增移除程序）」界面[1]。方法如下图一所示，在 Windows 8 的左下角视窗 Logo 上，按下鼠标右键，开启快速链接功能表。或是透过传统的控制台呼叫方式达成[2]。

图一、Windows 8 工具列快捷选单，快速链接功能表。

接著，点选快速链接功能表中的「程序和功能」选项，开启图二所示的系统程序管理工具。

你将在图二中找到一个名为「qone8 unistaller」的程序。从小写开头的英文字，就能知道他藏的有多低调。

图二、解除安装或变更程序选单

执行移除命令后，会出现 Qone8 的对话视窗，你可以在下面图三至图六中看到连续的软件操作。最后，移除工具便会将 Qone8 自系统解除安装。

图三、移除软件前询问验证码（除了Y与N的文字验证外，我还是第一次看见卸载软件也搞图形验证 XD）

图四、询问元件移除，通通勾选起来。

图五、软件再次确认你是否要执行移除。

图六、Waiting…

图七、完成移除作业。

修正浏览器遭 Qone8 绑架页面

虽然你现在解除安装 Qone8，但是凡走过必留下痕迹，导致有许多垃圾文件与数据变更还是残留在我们的系统内部。例如 Microsoft Internet Explore 浏览器以及 Google Chrome 浏览器，仍处于被 Qone8 绑架页面的状态。

请参考图八所示，有个简单方法就是直接在浏览器图示上点选鼠标右键开启工作表，并在 Google Chrome 软件图示上按压鼠标右键，开启软件功能表，再点选内容。

图八、Google Chrome 浏览器属性变更。

请参考图九所示，屏幕上会跳出「Google Chrome - 内容」视窗画面，我们从图中可以发现有两个栏位是值得我们关注的，分别是「目标」与「开始位置」，栏位中存放的是 Google Chrome 浏览器的执行档位置，用于呼叫 Chrome 浏览器主程序（IE 浏览器也是采取相同方式）。

只要一被 Qone8 入侵系统，浏览器执行档位置将会被变更为「C:\Program Files\Internet Explorer\iexplore.exe http://start qone8 com/type=sc&ts=85377&from=smt&uid=VEDFOLNIR.com_IS_BEST…」的长字串状态，而这就是被绑架首页的真面目。

前半段的「C:\Program Files\Internet Explorer\iexplore.exe」是原始的正确呼叫指令，后半段的「http://start qone8 com/type=sc&ts=85377&from=smt&uid=VEDFOLNIR.com_IS_BEST…」则是恶意广告的网址，用以变更浏览器的启动状态。

该恶意字串中甚至包含用户辨识码，我猜测背后有广告联盟的获利模式存在，才有网站或开发者想让广大的网络用户被迫中奖。（广告网址已经过修改才放上来，免得又帮人打广告。）

因此，我们只要将被变更过的恶意网址从「目标」与「开始位置」中分别移除掉即可，就能还给浏览器一个干净的初始状态。

图九，Google Chrome 浏览器文件属性内容。

如果你坚持原汁原味，底下两条 IE 与 Chrome 的原始位置信息可供你们替换，分别是：

1. IE 的目标位址是「“C:\Program Files\Internet Explorer\iexplore.exe”」，而开始位置为「%HOMEDRIVE%%HOMEPATH%」。
2. Google Chrome 的目标位址是「“C:\Program Files (x86)\Google\Chrome\Application\chrome.exe”」，开始位置为「“C:\Program Files (x86)\Google\Chrome\Application”」。

Qone8 修改默认搜寻引擎

由于 Google Chrome 极佳的同步处里功能，让 Chrome 的用户信息与扩充工具可被完整备份到云端。因此，在我们被 Qone8 入侵后，这些恶意信息也会被同步更新并被记忆在云端之上。为免夜长梦多，接下来我们得自己动手删掉这些信息。

请参考图十所示，在 Chrome 设定页面中有一项「搜寻」选项，用来设定透过网址列进行搜寻时要使用哪个搜寻引擎。一般默认情况下都是 Google，不过魔鬼就藏在细节中，让我们开启「管理搜寻引擎」按钮继续看下去。

图十，搜寻 - 管理搜寻引擎。

请参考图十一所示，在新开启的「搜寻引擎」视窗中，我们可以揪出这次恶意软件的小恶魔，已经被植入默认的搜寻引擎列表中，在没有手动删除的情况下，往后不管你更换多少台电脑，Qone8总会如影随形跟著你，所以，请轻轻的将鼠标游标移动到 Qone8 上头，按下删除吧。（Delta-Homes 是另一家恶意程序… 翻桌。）

图十一，默认搜寻设定。

进阶 Qone8 资料移除

经过上面提到的软件卸载与恶意网址的移除后，我试著用 Windows 提供的强大登陆编辑程序（Regedit）进行分析，发现还是残留一些废物信息在系统中。这些垃圾信息对系统稳定度影响不大，可以先不用去管他。

但是如果你非要杀他个干干净净，我有两点建议可以提供给大家：

1. 同时按压「Windows 标志键[3]」与「R键」，呼叫出「执行」视窗，在视窗中的文字串输入「Regedit」，借以开启登录编辑程序。接著，在登陆编辑程序的功能表上点选「编辑」中的「寻找」（Ctrl+F快速组合键），搜寻「qone8」字串，将所有出现的相关资料夹、机码、字串，通通删除。但是记得在删除前要先确认该字串的目的，我个人建议可以找有一定电脑能力的朋友帮忙。
2. 搜寻电脑目录下，所有关于 Qone8 字串的资料夹与文件，并移除之（快速键：Windows 标志键 + F 键）。例如我在自己的电脑中，就找到「C:\Users\username\AppData\Roaming\qone8」，直接整个移除「qone8」资料夹即可（AppData 是隐藏资料夹，记得开启显示，或是直接输入对应文件位置）。

结语

如果 Qone8 只是为了扩展知名度，在创业初期采用强迫安装的方式，我倒还能接受，只要他们还是做正当生意。

但是我在开新系统玩过他们的网站后，发现它们家到处都是恶意软件与病毒，很明显这是一间透过窃取资料与操控远端电脑等技术来达成他们的某些目的，玩的是 Cracker 破坏者的那套短线操作手法。因此，如果你被这些恶意网站与软件沾上，请尽快找技术人员提供协助，并且不要继续在该电脑上输入隐私资料，以上。

读者常见问答 Q&A

Windows XP 执行 Uninstall 一直卡在 Waiting 无法卸载？（读者 starus）

读者 starus 提问：
我是用 XP 系统的，进入「控制台 / 新增移除程序」后有找到 uninstall，但是点开后就一直停在「Waiting…」无法卸载，拜求帮我想想办法，谢谢！

工字号回复：
流氓恶意软件之所以难缠，正是因为它的卸载程序往往只是个装饰品！背景会有守护行程（Watchdog Process）在背地里互相监控、锁定文件，故意阻止用户正常解除安装。

有效排除步骤：

1. 工作管理员强制中断：先重新开机，按下 Ctrl + Shift + Esc（或 Ctrl + Alt + Del）开启工作管理员，查看处理程序列表，将所有名称可疑、路径不明的背景程序强制结束工作，再尝试执行卸载。
2. 进入「安全模式」强制清理（最推荐）：重新开机时连续狂按键盘 F8 键，选择进入「安全模式（Safe Mode）」。在安全模式下，第三方驱动与恶意常驻程序都不会被载入，这时再到「新增或移除程序」执行解除安装，或是直接手动把 Qone8 的目录与登录档砍掉，成功率几乎百分之百！
3. 安全忠告：Windows XP 官方早已全面终止安全更新与漏洞修补，继续连网使用就像大门敞开不设防，随时会被各类流氓软件与勒索病毒再次绑架，强烈建议尽快升级至现代作业系统才是长久安宁之道。

参考文献

1. 微软（Microsoft）的作业系统（Operation System）在 XP 以前，都称为新增移除程序；在 Vista 之后，则更名为「程序和功能」，但都同样藏在控制台的程序集底下。
2. 如果不清楚程序和功能（新增移除程序）的管理工具呼叫方式也不要紧，可同时按压「Windows 标志键[3]」与「X键」，亦可呼叫出「快速链接功能表（如图一所示）」，再进行选取。或者，同时按压「微软键」与「R键」，呼叫「执行」界面，在文字串中输入「Control」执行，亦可呼叫出「控制台」，再从中找出程序集，而「程序和功能」便在里头。
3. Windows 标志键（Windows Key，我一般惯称微软键）是在实体键盘的左下方，位在 Ctrl 与 Alt 之间，有小微软旗帜的那颗按键：「

」。