雅虎助手號稱「上網助手」，實則展現教科書級流氓軟體特徵：捆綁安裝、偷渡元件、難以移除、竄改瀏覽器、植入驅動程式隱藏進程、大量寫入註冊表、自我守護機制嚴密。本文在乾淨虛擬機環境（VMware + XP SP2）實測記錄其安裝、服務、系統影響全貌。

一、安裝機制剖析

1. 推廣手法轉型： XP SP2 擋下 ActiveX 自動安裝提示後，改以「免費/共享軟體捆綁」為主，利用使用者「一路按下一步」習慣靜默安裝。
2. 一拖三偷渡： 安裝雅虎助手實際同步植入「網路實名」與「雅虎郵箱通」兩套獨立程式；移除主程式時，夾帶元件不隨之移除，且各自卸載對話框預設勾選「保留其他元件」，形成交叉修復機制。
3. 完善自我保護： 安裝、守護、卸載、修復環環相扣，非手動深度清理無法徹底移除。

二、號稱「貼心服務」實測：名不副實

功能項目	宣稱效果	實測結果
彈出視窗過濾	過濾廣告彈窗	27 項專業測試僅通過 12 項（通過率 44%），不及 XP SP2 內建/Maxthon 內建功能
清除痕跡	清除瀏覽歷史	執行後報告「無網址記錄」，但 IE 歷史側欄記錄完好無損
外掛管理專家	管理瀏覽器增益集	僅列出雅虎相簿；隱藏自行植入的十幾個 BHO/工具列按鈕
恢復 IE 外觀	清理右鍵選單/工具列	報告「無可清理項目」，實際上雅虎搜尋右鍵選單、工具列按鈕仍在
IE 工具列重置	重置工具列按鈕	按鈕閃爍片刻隨即自動恢復，系統原生功能被劫持
系統穩定性	無負面影響	虛擬機環境下輸入「清華大學」搜尋，連續 6 次藍屏死機

三、系統植入痕跡全景掃描

1. 檔案系統植入量

• 網路實名： Downloaded Program Files 37 檔+1 資料夾、System32\Drivers 植入 CnMinPK.sys、Program Files 15 檔+1 資料夾 → 共 53 檔/2 資料夾。
• 雅虎助手： Downloaded Program Files 30 檔+1 資料夾、System32\Drivers 植入 CnMinPK.sys、Program Files 79 檔+7 資料夾 → 共 114 檔/9 資料夾。
• 大量檔案以隱藏屬性寫入 Downloaded Program Files，便於快速修復。

2. 註冊表寫入量

• 網路實名：122 機碼、408 數值
• 雅虎助手：251 機碼、656 數值
• 正規卸載+重開機後，註冊表項目仍大量殘留！

3. 多管齊下的自動載入機制

1. Run/RunOnce 等標準啟動鍵值（CnsMin、helper.dll、MiniMsgr…）。
2. 核心模式驅動 CnMinPK.sys：安全模式也會載入、隱藏進程、msconfig 看不到。
3. 模組間交叉守護/修復（Rundll32 雙進程互為守護進程，任務管理器無法結束）。
4. BHO (Browser Helper Object) 植入 IE，隨瀏覽器自動載入。
5. 卸載對話框誘導勾選「修復其他元件」，實現交叉重裝。
6. 捆綁第三方安裝程式靜默安裝。

4. 系統服務表 (SSDT) 掛鉤

IceSword 偵測到除 Ntoskrnl.exe 外，CnMinPK.sys 掛鉤 SSDT，屬核心層級攔截，一般使用者無感但極難清除。

5. 大量執行緒與訊息鉤子

未開啟瀏覽器時，雅虎助手模組仍建立驚人數量執行緒；後台掛載大量鉤子函數，監控系統訊息流。

結論與建議

雅虎助手/網路實名展現典型流氓軟體全套特徵：欺騙安裝、過度植入、竄改系統、阻礙移除、核心層級駐留、誤導功能宣稱。建議使用者：

1. 拒絕捆綁安裝，自訂安裝時取消所有附加元件。
2. 若已安裝，請使用 Geek Uninstaller、Revo Uninstaller 等深度移除工具，或依本文註冊表/檔案清單手動清理。
3. 改用現代瀏覽器（Chrome/Edge/Firefox）內建功能替代其宣稱服務。
4. 企業環境建議透過軟體限制原則 (SRP) 或 AppLocker 封鎖其安裝檔執行。