hiduba这个浏览器主页劫持者，恶意我盯了它快三个月了。篡改它不是主页那种笨拙的流氓软件，不会弹窗告诉你“修复主页”，恶意它玩的篡改是暗度陈仓——你装了个免费PDF转换器，它跟着进来；你下载了某游戏加速器，主页它藏在安装包第三页的恶意“推荐安装”里，默认勾选，篡改字体小到要用放大镜才能看清。主页

最恶心的恶意是它改主页的方式。不是篡改简单改你浏览器设置里的那个URL，它直接往你注册表里写东西，主页往快捷方式后面加参数。恶意你手动改回about:blank，篡改重启电脑，主页它又给你弹回那个塞满假新闻和赌博广告的导航站。我朋友的电脑就是这么被废掉的——他花了四个小时重装系统，结果装完QQ，主页又没了。

技术上它其实很粗糙。它靠的是“计划任务”里一个随机命名的vbs脚本，每五分钟检测一次主页值。你杀进程没用，它用WMI重启自己。你删文件，它有个备份藏在C盘用户目录的AppData下，文件名伪装成“d3d9.dll”。这种手法十年前的木马就在用，但到现在依然有效，因为大多数人不会去翻计划任务。

我试过手动清理。安全模式下删注册表项，清掉计划任务，再用Process Monitor监控所有写默认浏览器键值的进程。折腾了四十分钟，终于安静了。但第二天开机，那破导航站又回来了——原来它还有个服务，叫“HidubaService”，服务描述写着“Microsoft Windows Update Helper”，签名居然是有效的，用的是个盗来的企业证书。

这种恶意篡改最讨厌的地方在于，它让你觉得自己被冒犯了。你花钱买电脑，装个正经软件，它却在背后偷偷改你东西，还装得跟系统组件一样。我后来查到，hiduba背后是某广告联盟，按导航站搜索框的点击量分成。你每点一次那个假百度搜索，他们赚两分钱。

对付它，杀毒软件基本没用。360报过一次，但查杀后重启又复发。火绒能拦，但需要手动开启“主页锁定”功能。真正有效的方法只有一个：重装系统，然后安装软件时把所有“推荐安装”“快捷方式”“主页设置”的勾全去掉。就这么简单，但大多数人做不到——因为安装软件时那个“下一步”按钮太显眼了，而“自定义安装”藏在左下角，灰色小字。

我最后把朋友的电脑弄干净了。不是靠技术，是靠一个笨办法：装完系统后，用组策略禁止所有非白名单程序写入注册表的HKCU\Software\Microsoft\Internet Explorer\Main键值。现在那台电脑干净得像新出厂一样。但我知道，hiduba没消失，它只是换了个名字，藏在某个新软件的安装包里，等着下一个急着用破解版软件的人。