迅速定位到对应进程，发现 bubble.exe这个应用是拉取远端OSS的图片，并本地生成弹框。

"C:\Program Files (x86)\MGTVPCC\bubble.exe" {"id":9488818,"msg_type":88005,"data":{"alertConf":{"screen":1,"sound":1,"vibrate":1},"biTag":"6b0fb05f55249c453098a6853ab2b41a","content":"陈德容三公加入侯佩岑队！王珞丹祝绪丹双向奔赴组队，宋妍霏想选李晟当队友？叶童挑战唱跳女团\u003e\u003e","id":142980759,"image":"https://ossimg.hitv.com/platform_oss/A66DDEB0A79347F4A83975EF013A2939.jpg?x-oss-process=image/resize,m_fixed,w_320,h_179","jumpSchema":"","jumpType":1,"msgTtl":39391,"payload":"{\"showTime\":8,\"channel\":24,\"messageId\":142980759,\"videoId\":\"22740352\",\"title\":\"\",\"type\":\"23\",\"content\":\"mgtvpcclient://video?videoId=22740352\u0026clipId=\u0026plid=\u0026source=60cfbk6kp\u0026pos=pushmessage\",\"tid\":\"MG-0418_124_142980759\",\"thread-id\":\"notifications-recommend\"}","pushTime":0,"styleType":1,"title":"《乘风2025》二公个人排名公布！"},"rd_time":0}

于是想到了一个奇怪的用法，弹一个我最爱的车出来，哈哈哈。（图为8金TD天蝎）

继续排查是哪个父进程创建的该子进程。

立刻定位到"C:\Program Files (x86)\MGTVPCC\UpdateService.exe"

注意到这里进程权限相当高，使用的是 “NT AUTHORITY\SYSTEM”权限，windows系统的最高权限。

跟着进程C:\Program Files (x86)\MGTVPCC\UpdateService.exe，看到推送域名解析push.log.mgtv.com

看看后续还进行了什么操作，立刻定位到bubble的子进程进程: C:\Program Files (x86)\MGTVPCC\upload.exe。

访问地址https://pcc-v1.log.mgtv.com/dispatcher.do，后边携带的参数应该是该API收集的用户信息。

• 收集的数据：

  • 设备信息（did、uuid、mac、pix 屏幕分辨率）。

  • 系统信息（sver=Windows 10、termid=8）。

  • 用户行为（logtype=pv 页面访问统计、sessionid 会话ID）。

  • 客户端版本（ver=6.8.3_1.1.50）。

  • 网络信息（abroad=0 国内/外标识）。

 继续分析竟然还发现一个奇怪的事情

芒果TV你干嘛拉起我的搜狗输入法？

三、掠影

既然我们最终目的是阻止其弹框，给出几种阻止弹框的方式。

1、生成替代文件法

重命名 bubble.exe为bubble.exe.bak，新建文本文件并命名为bubble.exe，并设置只读，可以使bubble.exe无法再后台拉起。

小概率可能会在下次软件更新时应用更换名字被纠正。（他们绝对不会因为我一个用户修改应用名，所以这种概率不大）

这种手法比较古老，远古时期阻止U盘蠕虫病毒时就是这个办法。

2、防火墙出入站阻止法

 防火墙设置阻止应用联网。

考虑到bubble.exe只是生成弹框，而非联网拉取信息的应用，可能这种方法并不奏效。

3、火绒弹窗拦截大法

 在火绒里边添加对应应用的弹窗拦截。

此方法会导致弹窗闪出闪没，属于两个应用之间互相battle，效果一般般。

4、阻止推送服务运行

 在服务中禁用该服务

5、阻止对应域名解析

把push.log.mgtv.com域名解析ban掉

四、启示

各种做应用推广的产品经理们，求求你们动动你们的脑子好么，真是什么阿猫阿狗都能做产品经理了，根本不考虑用户体验的？你怎么敢在游戏期间弹广告的？

我打着游戏你给我退出全屏弹个广告，这能忍？这应用要不是我平时还看，我必然直接卸载。