${env:WINDIR}\System32\drivers\BaiduSmartView.sys)$registryKeys ( HKCU:\Software\Microsoft\Windows\CurrentVersion\Run\BaiduSmartViewLoader，0， HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BaiduSmartViewSvc)Write-Host [] 扫描文件路径... -ForegroundColor Green$paths | ForEach-Object { if (Test-Path $_) { Write-Host ✓ Found: $_ -ForegroundColor Yellow } }Write-Host [] 扫描注册表项... -ForegroundColor Green$registryKeys | ForEach-Object { if (Get-ItemProperty $_ -ErrorAction SilentlyContinue) { Write-Host ✓ RegKey: $_ -ForegroundColor Yellow } }四、清除层分阶段阻断与深度清理策略阶段操作项技术要点 ① 即时抑制 禁用服务 删除计划任务 sc stop BaiduUpdateService sc config BaiduUpdateService start disabledschtasks /delete /tn \Baidu\SmartImageViewer\AutoDeploy /f ② 注册表净化 清理 Run 键值 禁用 COM 自启动 删除 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\BaiduSmartViewLoader导出并清空 HKEY_CLASSES_ROOT\CLSID\{A7F9D5E3-8C1B-4C9D-A9F2-3F6E8C7B1A2F}对应 SmartImageViewer.ProgID ③ 主程序干预 重签名资源节 替换 installer 模块 使用 ResourceHacker.exe 删除 BaiduNetdisk.exe 中 RT_RCDATA\SMARTVIEW_BUNDLE将 bundle_installer.exe 替换为空白 stub仅返回 0并加数字签名豁免 SmartScreen 五、防护层构建企业级防捆绑基线策略 graph LR A[百度主程序启动] -- B{检查本地策略} B --|策略启用| C[跳过 bundle_installer.exe 加载] B --|策略启用| D[拦截对 SmartView 目录的写入] C -- E[正常运行网盘核心功能] D -- E B --|策略未启用| F[执行默认静默部署] 六、进阶治理基于 ETW 与 Sysmon 的持续监控方案 部署 Sysmon Rule 捕获关键行为 Event ID 1ProcessCreate监控 SmartImageViewer.exe 启动命令行含 --silent 或父进程为 BaiduUpdateService Event ID 13RegistryEvent监控 HKCU\...\Run\BaiduSmartViewLoader 创建/修改 Event ID 15FileCreateStreamHash监控 *SmartImageViewer*.cab 在临时目录解压行为 七、合规替代推荐无捆绑的轻量级看图方案 企业IT应推动标准化替代方案避免依赖百度生态绑定组件 开源方案 IrfanView便携版 策略禁用插件安装、XnView MP支持批量元数据清洗 微软原生 Windows Photos通过 Intune 配置 EnablePhotoViewerfalse 强制启用 沙箱隔离 使用 Windows Sandbox 运行百度网盘确保 SmartImageViewer 无法逃逸至宿主机 八、验证层闭环验证清单Checklist ✅ 任务管理器中无 SmartImageViewer.exe / BaiduSmartView.exe 进程含隐藏会话 ✅ reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v BaiduSmartView* 返回错误 ✅ Get-Service BaiduUpdateService -ErrorAction SilentlyContinue 返回空对象 ✅ schtasks /query /tn \Baidu\SmartImageViewer 报错“指定的任务未找到” ✅ 右键任意图片 → “打开方式”中无“智能看图”选项浏览器地址栏输入 chrome://extensions 查无 baidusmartview 扩展 ✅ 使用 Process Monitor 监控 24 小时过滤 Path contains SmartView 且无任何 CreateFile 或 RegSetValue 事件 九、原理层百度静默部署模块的反调试与自保机制剖析 该模块采用三层加固 内存保护 加载时调用 VirtualProtectEx 将自身代码段设为 PAGE_EXECUTE_READ规避常规 DLL 注入扫描 服务看门狗 BaiduUpdateService 内嵌子进程 watchdog.exe每5分钟校验 SmartImageViewer.exe 是否存活缺失则触发重装 更新钩子 百度网盘主程序在 UpdateManager::OnUpdateComplete() 回调中硬编码调用 BundleInstaller::EnsureSmartViewInstalled()绕过用户交互确认 十、演进趋势从“捆绑治理”到“供应链可信管控” 随着百度系软件逐步迁移至 ElectronWebAssembly 架构如新版百度网盘 Web 版内核SmartImageViewer 正转向以 webview2 插件形式注入其持久化路径已延伸至 %LOCALAPPDATA%\Baidu\Netdisk\WebView2\EBWebView\Cache\smartview_bundle.wasm HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\BaiduNetdisk_... 中的容器化注册表映射 这意味着传统文件/注册表清理已失效需升级为基于 Windows AppContainer 权限审计与 WebView2 Runtime Hook 拦截的主动防御体系， Ltd.”但实际由第三方厂商如“Shenzhen Yizhi Technology”编译启动后注册 COM 组件、劫持 .jpg/.png/.webp 文件关联并向 Chrome/Edge 浏览器注入 baidusmartview.dll 实现右键菜单与预览集成， ， 二、溯源层定位静默安装的四大核心触发链路 服务级触发 Windows 服务 BaiduUpdateServiceDisplay Name: “Baidu Update Service”在启动类型为 Automatic (Delayed Start) 下定期调用 C:\Program Files (x86)\Baidu\BaiduNetdisk\update\bundle_installer.exe --modesilent --bundlesmartviewer 计划任务级触发 Task Scheduler 中存在隐藏任务 \Baidu\SmartImageViewer\AutoDeploy触发条件为“用户登录后10分钟”操作为运行 mshta vbscript:CreateObject(WScript.Shell).Run(.../SmartImageViewer_installer.vbs，其进程常伪装为 SmartImageViewer.exe签名归属“Beijing Baidu Netcom Science and Technology Co.， html一、现象层识别“智能看图”插件的典型行为特征 该插件并非独立安装包而是通过百度网盘BaiduNetdisk.exe、百度搜索工具栏BaiduBar.exe等主程序的静默部署模块InstallerModule.dll 或 BundleEngine.dll动态加载， 三、诊断层多维度取证与自动化检测脚本 以下 PowerShell 脚本可一键扫描全系统残留 # SmartImageViewer Forensic Scanner v1.2$paths ( ${env:LOCALAPPDATA}\Baidu\SmartView，。
${env:PROGRAMFILES(X86)}\Baidu\SmartImageViewer，FALSE)(window.close) 注册表持久化入口 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 下存在值名 BaiduSmartViewLoader数据为 C:\Users\%USERNAME%\AppData\Local\Baidu\SmartView\loader.exe /auto 主程序内嵌逻辑 逆向分析 BaiduNetdisk.exev4.30发现其资源段含 RT_RCDATA\SMARTVIEW_BUNDLE解压后为 CAB 包含 setup.inf 指定安装路径与启动项注册逻辑。